Хранить файлы в облаке как минимум удобно — чтобы не занимать место на устройстве. А еще это может быть полезно при хранении чувствительной информации. Например, если есть риск изъятия устройства при обыске или пересечении границы.
В памятке рассказываем, каким критериям должно соответствовать безопасное облачное хранилище, и предлагаем несколько вариантов.
Если вы хотите быть уверены в сохранности ваших данных, важно, чтобы сервис соответствовал следующим критериям:
Zero-knowledge encryption или шифрование с нулевым разглашением. Подход к шифрованию, исключающий доступ оператора сервиса к содержимому пользовательских данных и ключам их расшифровки. Это делает нежелательное извлечение таких данных злоумышленниками невозможным.
Открытый исходный код. Подход в разработке ПО, основанный на свободном пользовательском доступе к исходному коду и возможности его изучать, аудировать и дополнять. Главное преимущество — независимая коллективная экспертиза, позволяющая выявлять уязвимости и исключать бэкдоры.
Но открытый код — не панацея. Есть сервисы и с закрытым кодом, которые считаются достаточно безопасными — в том числе о них расскажем ниже. Главный критерий, на который следует обращать внимание при выборе проприетарного ПО — прохождение сервисом независимого аудита.
«Безопасная география». Важно знать, где находятся головной офис и дата-центры компании. То есть законы какой страны она вынуждена соблюдать. Этот критерий весьма относителен. К сожалению, если разработчики находятся в России, их софт (например, ЯндексДиск, Облако Mail и «Диск» от Сбера) лучше не использовать. К ним в любой момент могут прийти силовики и потребовать выдать ваши данные или установить бэкдор, чтобы обходить шифрование, если таковое в сервисе предусмотрено.
Однако иностранные юрисдикции не менее неоднородны. Некоторые зарубежные спецслужбы сотрудничают с российскими, гласно или негласно. Конечно, условный Цюрих лучше условного Пекина, хотя оба находятся за пределами России. Но важно помнить одно: при необходимости спецслужбы друг с другом договорятся, а крайними окажетесь вы. Поэтому важно внимательно следить и за политическим контекстом.
Облачное хранилище от швейцарской компании Proton AG, создателей электронной почты Proton Mail с повышенным уровнем безопасности, которая, помимо прочего, хороша тем, что там можно создать бесплатный аккаунт, оставляя минимум данных о себе.
Шифрование с нулевым разглашением. Все содержимое шифруется на стороне пользователя. Proton не может получить доступ как к содержимому ваших файлов, так и к значительной части важных метаданных — хоть и не всех.
С сентября 2024 года все сервисы Proton Drive имеют открытый исходный код. Это значит, что независимые эксперты могут провести собственный аудит их безопасности.
Облачное хранилище, ориентированное на высокий уровень безопасности. Базируется в Швейцарии и Венгрии.
Tresorit использует шифрование с нулевым разглашением. Также сервис позволяет защищать ссылки паролем, устанавливать срок действия, ограничивать количество загрузок и отслеживать активность.
Исходный код Tresorit закрыт, но при этом он считается достаточно надежным. В частности, в феврале 2024 года продукт Tresorit получил авторитетную независимую сертификацию, соответствующую стандарту Common Criteria EAL4+ с усилением AVA_VAN.5.
Nextcloud — это экосистема немецкой компании Nextcloud GmbH с более чем 200 сервисов для работы с данными, включающая платформу для хостинга облачного хранилища на собственном сервере. Помимо хранения файлов, в Nextcloud можно редактировать документы, вносить события в календарь, вести переписку и создавать видеоконференции.
Nextcloud действительно можно установить на собственный сервер — и это большое преимущество. Если для этих целей вы будете пользоваться услугами провайдера, важно, чтобы сервер находился в безопасной юрисдикции.
О том, как это сделать, подробно рассказывается в инструкции «Теплицы социальных технологий».
Кастомная настройка позволяет добиться приемлемого уровня защиты данных, в частности, опционально, пользователь может включить сквозное шифрование.
С сентября 2024 года все продукты Nextcloud имеют открытый исходный код.
Во-первых, у всех вышеперечисленных сервисов закрыт исходный код. О сквозном шифровании заявляет только Сберовский «Диск».
Однако главную роль здесь играет то, что Россия — это, к большому сожалению, заведомо небезопасная юрисдикция. Пользуясь российскими сервисами, вы не можете быть уверены в том, что ваши данные не окажутся в распоряжении третьих лиц. Например, силовиков.