Bezpieczeństwo przechowywania w chmurze: Dysk Google i iCloud

Podstawowy problem przechowywania w chmurze

Gdy przesyłasz plik na Dysk Google, do Dropboxa lub iCloud, dostawca szyfruje dane w trakcie przesyłu i w spoczynku. Brzmi uspokajająco. Ale to nie to samo co szyfrowanie end-to-end.

Przy standardowym szyfrowaniu w chmurze klucze szyfrujące ma dostawca. Może odszyfrować Twoje pliki na potrzeby:

• Żądań organów ścigania i nakazów sądowych
• Audytów zgodności
• Analiz reklamowych (Google robiło to w przeszłości)
• Wewnętrznych dochodzeń
• Skanowania bezpieczeństwa (wykrywanie wirusów, materiałów CSAM)
• Nieuczciwego pracownika z dostępem

Szyfrowanie end-to-end (E2EE) oznacza, że klucze masz tylko Ty. Dostawca nie odszyfruje danych nawet na wezwanie sądu. W przypadku wrażliwych dokumentów ta różnica ma ogromne znaczenie.

Co naprawdę robią główni dostawcy

Dysk Google

Google szyfruje pliki algorytmem AES-256 w spoczynku i TLS w przesyle. Klucze ma Google. Google skanuje pliki — w poszukiwaniu złośliwego oprogramowania, naruszeń zasad, a w przeszłości także na potrzeby reklam. Google zastosuje się do prawomocnych żądań prawnych. Twoje pliki nie są prywatne wobec Google.

iCloud

Apple szyfruje większość danych iCloud, ale w przeszłości przechowywało klucze do kopii zapasowych iCloud — w tym do iMessage, które są szyfrowane end-to-end na urządzeniu, ale w kopii iCloud były zapisywane bez E2EE. Zaawansowana ochrona danych (wprowadzona pod koniec 2022 roku) włącza prawdziwe E2EE dla większości kategorii iCloud, w tym kopii zapasowych, iCloud Drive, Zdjęć i Notatek. Trzeba ją włączyć samodzielnie — nie jest domyślna. Włączysz ją w Ustawienia > [Twoje imię] > iCloud > Zaawansowana ochrona danych.

Uwaga: Poczta iCloud, Kontakty i Kalendarz pozostają poza E2EE, bo muszą współpracować z serwerami innymi niż Apple.

Dropbox

Dropbox przechowuje klucze do wszystkich plików. Dropbox stosował się do żądań organów ścigania. Podobnie jak w Google, pracownik Dropboxa z odpowiednim dostępem mógłby przeczytać Twoje pliki. Standardowy Dropbox nie oferuje szyfrowania end-to-end.

OneDrive

Microsoft przechowuje klucze i zastosuje się do żądań prawnych. Magazyn osobisty w Microsoft 365 dodaje dodatkową warstwę uwierzytelniania, ale nie zapewnia E2EE.

Dostawcy oferujący prawdziwe E2EE

Proton Drive

Proton Drive stosuje szyfrowanie end-to-end zerowej wiedzy. Proton nie ma żadnych kluczy do Twoich danych. Szwajcarska jurysdykcja, audyty. Nadaje się do wrażliwych dokumentów. Dostępny plan darmowy i płatne plany z większą przestrzenią.

Tresorit

Szyfrowanie end-to-end, zerowa wiedza, siedziba w Szwajcarii/na Węgrzech. Rozbudowane funkcje dla firm i zespołów. Korzystają z niego kancelarie prawne, dziennikarze i placówki medyczne. Droższy od popularnych opcji.

Filen

Otwartoźródłowa chmura z szyfrowaniem E2EE zerowej wiedzy. Znacznie tańsza niż Tresorit. Audytowana. Dobry kompromis między ceną a prywatnością.

Szyfrowanie plików przed wysłaniem

Nie musisz zmieniać dostawcy. Możesz szyfrować pliki lokalnie, zanim prześlesz je na Dysk Google, do Dropboxa czy innej usługi. Jeśli dostawca zostanie zhakowany lub otrzyma wezwanie, dostanie szyfrogram, którego nie odczyta.

Cryptomator

Cryptomator to zalecane narzędzie do tego celu. Jest darmowy, otwartoźródłowy i tworzy zaszyfrowany sejf w istniejącym folderze chmury. Pracujesz z plikami normalnie — Cryptomator przezroczyście szyfruje je przed synchronizacją.

Konfiguracja:

1. Pobierz Cryptomator z cryptomator.org (zweryfikuj podpis)
2. Utwórz nowy sejf w folderze Dropboxa lub Dysku Google
3. Ustaw silne hasło (zapisz je w menedżerze haseł)
4. Dodawaj pliki do sejfu jak zwykle — trafiają do chmury zaszyfrowane

Dostawca widzi tylko zaszyfrowane bloki danych z losowymi nazwami plików. Nawet metadane o tym, jakie pliki masz, są ukryte.

VeraCrypt

Do dużych archiwów i kopii zapasowych dobrze sprawdzają się kontenery VeraCrypt. Utwórz zaszyfrowany plik-kontener, dodaj do niego pliki, zamknij kontener i prześlij plik do chmury. Na co dzień to więcej zachodu niż Cryptomator, ale do archiwizacji sprawdza się świetnie.

7-Zip z AES-256

Do szybkiego udostępnienia wrażliwych plików wystarczy archiwum 7-Zip z szyfrowaniem AES-256 i silnym hasłem. Hasło przekaż innym kanałem (Signal, a nie e-mail).

Praktyczne zalecenia według zastosowania

Codzienne pliki, zdjęcia, dokumenty — standardowy Dysk Google lub iCloud wystarczy. Te pliki nie są na tyle wrażliwe, by uzasadniać dodatkowy wysiłek.

Wrażliwe dokumenty osobiste (zeznania podatkowe, skany paszportu, dokumentacja medyczna) — używaj sejfów Cryptomatora w istniejącej chmurze lub przejdź na Proton Drive.

Wrażliwe dokumenty firmowe (umowy, własność intelektualna, akta prawne) — Proton Drive lub Tresorit z wymuszonym E2EE.

Kopie zapasowe — jeśli korzystasz z Apple, włącz Zaawansowaną ochronę danych w iCloud. W przeciwnym razie szyfruj lokalne kopie VeraCryptem przed wysłaniem.

Nie zapominaj o udostępnianiu

Szyfrowanie w chmurze chroni pliki w spoczynku. Udostępniając link, przyznajesz dostęp. Uważaj na:

• Udostępnianie „każdemu, kto ma link”, gdy chodziło o konkretną osobę
• Foldery współdzielone przez wiele osób — przejęcie konta jednej z nich daje dostęp wszystkim
• Aplikacje zewnętrzne połączone z Twoją chmurą (sprawdzaj je w ustawieniach dostawcy)

Najważniejszy wniosek

Szyfrowanie dostawcy to nie Twoje szyfrowanie. W przypadku wszystkiego, co wrażliwe, wybierz dostawcę zerowej wiedzy albo szyfruj pliki, zanim opuszczą Twoje urządzenie. Narzędzia do tego są darmowe, otwartoźródłowe i nietrudne w obsłudze.