Безпека хмарного сховища: Google Drive та iCloud

Фундаментальна проблема хмарного сховища

Коли ви завантажуєте файл до Google Drive, Dropbox або iCloud, провайдер шифрує ваші дані під час передавання та зберігання. Це звучить заспокійливо. Але це не те саме, що наскрізне шифрування.

При стандартному хмарному шифруванні провайдер зберігає ключі шифрування. Він може розшифрувати ваші файли для:

• Запитів правоохоронних органів і судових рішень
• Аудитів відповідності
• Аналізу для реклами (Google робив це раніше)
• Внутрішніх розслідувань
• Сканування безпеки (перевірка вірусів, виявлення матеріалів CSAM)
• Недобросовісного співробітника з доступом

Наскрізне шифрування (E2EE) означає, що лише ви зберігаєте ключі. Провайдер не може розшифрувати ваші дані навіть за вимогою суду. Ця різниця надзвичайно важлива для конфіденційних документів.

Що насправді роблять основні провайдери

Google Drive

Google шифрує файли за допомогою AES-256 у стані спокою та TLS під час передавання. Google зберігає ключі. Google сканує файли — на наявність шкідливого ПЗ, порушень політики та, раніше, для потреб реклами. Google виконуватиме законні юридичні запити. Ваші файли не є приватними від Google.

iCloud

Apple шифрує більшість даних iCloud, але традиційно зберігала ключі для резервних копій iCloud — включно з вашими iMessages, які зашифровані наскрізь на пристрої, але резервуються без шифрування в iCloud. Розширений захист даних Apple (введений наприкінці 2022 року) забезпечує справжнє E2EE для більшості категорій iCloud, включно з резервними копіями, iCloud Drive, Фотографіями та Нотатками. Ця функція вмикається за бажанням і не увімкнена за замовчуванням. Увімкніть її в Налаштуваннях > [Ваше ім'я] > iCloud > Розширений захист даних.

Примітка: iCloud Пошта, Контакти та Календар залишаються поза E2EE, оскільки потребують взаємодії з серверами, що не належать Apple.

Dropbox

Dropbox зберігає ключі шифрування для всіх файлів. Dropbox виконував запити правоохоронних органів. Як і Google, співробітник Dropbox з відповідним доступом може читати ваші файли. Немає опції наскрізного шифрування для стандартного Dropbox.

OneDrive

Microsoft зберігає ключі та виконуватиме юридичні запити. Особисте сховище Microsoft 365 додає додатковий рівень автентифікації, але не забезпечує E2EE.

Провайдери, що пропонують справжнє E2EE

Proton Drive

Proton Drive використовує наскрізне шифрування з нульовим знанням. Proton не має ключів до ваших даних. Швейцарська юрисдикція, пройшли аудит. Підходить для конфіденційних документів. Доступний безкоштовний рівень із платними планами для більшого сховища.

Tresorit

Наскрізне шифрування, нульове знання, базується у Швейцарії та Угорщині. Потужні корпоративні та командні функції. Використовується юридичними фірмами, журналістами та медичними організаціями. Дорожче, ніж основні альтернативи.

Filen

Відкритий код, хмарне сховище E2EE з нульовим знанням. Значно дешевше, ніж Tresorit. Пройшов аудит. Гарний баланс ціни та конфіденційності.

Шифрування файлів перед завантаженням

Вам не потрібно змінювати провайдера. Ви можете шифрувати файли локально перед завантаженням до Google Drive, Dropbox або будь-якого іншого сервісу. Якщо провайдер буде скомпрометований або отримає судову вимогу, вони отримають лише зашифровані дані, які не зможуть прочитати.

Cryptomator

Cryptomator — рекомендований інструмент для цього. Він безкоштовний, з відкритим кодом і створює зашифроване сховище всередині вашої існуючої папки хмарного сховища. Ви працюєте з файлами як зазвичай — Cryptomator прозоро шифрує їх перед синхронізацією.

Налаштування:

1. Завантажте Cryptomator з cryptomator.org (перевірте підпис)
2. Створіть нове сховище всередині папки Dropbox або Google Drive
3. Встановіть надійну парольну фразу (збережіть її в менеджері паролів)
4. Додавайте файли до сховища як зазвичай — вони синхронізуються з хмарою у зашифрованому вигляді

Провайдер бачить лише зашифровані блоби з випадковими іменами файлів. Навіть метадані про те, які файли у вас є, залишаються прихованими.

VeraCrypt

Для великих архівів або бекапів добре підходять контейнери VeraCrypt. Створіть зашифрований файл-контейнер, додайте файли, закрийте контейнер, потім завантажте файл контейнера. Більше незручностей, ніж з Cryptomator для щоденного використання, але чудово підходить для архівування.

7-Zip з AES-256

Для швидкого обміну конфіденційними файлами архів 7-Zip із шифруванням AES-256 і надійною парольною фразою є прийнятним. Надсилайте парольну фразу через інший канал (Signal, не електронну пошту).

Практичні рекомендації за сценарієм використання

Повсякденні файли, фотографії, документи — стандартний Google Drive або iCloud є достатнім. Ці файли недостатньо чутливі, щоб виправдати додаткові незручності.

Конфіденційні особисті документи (податкові декларації, скани паспортів, медичні записи) — використовуйте сховища Cryptomator поверх існуючого сховища або перейдіть на Proton Drive.

Конфіденційні ділові документи (контракти, ІВ, юридичні файли) — Proton Drive або Tresorit з обов'язковим E2EE.

Бекапи — увімкніть Розширений захист даних iCloud, якщо ви на Apple. В іншому випадку шифруйте локальні бекапи за допомогою VeraCrypt перед завантаженням.

Не забувайте про спільний доступ

Шифрування хмари захищає файли у стані спокою. Коли ви ділитесь посиланням, ви надаєте доступ. Будьте обережні з:

• Спільним доступом через «Будь-хто з посиланням», коли мали на увазі конкретну особу
• Спільними папками, де кілька людей мають доступ — скомпрометований акаунт одного надає доступ до всього
• Сторонніми застосунками, підключеними до вашого хмарного сховища (перевіряйте їх у налаштуваннях провайдера)

Головний висновок

Шифрування провайдера — це не ваше шифрування. Для будь-чого конфіденційного або оберіть провайдера з нульовим знанням, або зашифруйте файли, перш ніж вони покинуть ваш пристрій. Інструменти для цього є безкоштовними, з відкритим кодом і нескладними у використанні.