06 Ago Conservazione dati su cloud… e GDPR

I dati sul cloud

Molti utenti si affidano a sistemi di conservazione dati su cloud, in pratica quelli che si chiamano “repository” pubblici dai più classici Dropbox e GDrive, che forniscono anche servizi gratuiti o come Amazon S3, OneDrive, Azure che utilizzano anche protocolli diventati uno standard

WeTransfer, che trasferisce grandi file conservandoli “temporaneamente” o meno conosciuti come Mega e Resilio -già conosciuto come Bittorrent-

In ogni caso questi sistemi non possono essere considerati una vera barriera contro i data breach, anzi a volte potrebbero diventare invece un ulteriore spiraglio attraverso cui il nemico può entrare, ma affrontiamo i temi uno per volta

Backup online

PRO: è vero che si possono utilizzare questi sistemi come backup, grazie ad una delle peculiarità che più ci affascina, la cosiddetta “sincronizzazione”, ovvero la capacità di salvare i files non appena li abbiamo modificati, così da avere sempre la copia all’ultima variazione anche sul contenuto online;

CONTRO: ma proprio questa peculiarità è potenzialmente anche un danno, vediamo perché

• Sincronizza diversi apparati: occhio quindi alle condivisioni con altri utenti; nella cartella potremmo mettere informazioni che altri non devono poter vedere, ma soprattutto negli account “personali” (cioè non creati per uso aziendale, anche solo per risparmiare qualche euro) non è possibile definire i criteri di accesso singolarmente alle cartelle, quindi condividere un account con i colleghi (“tanto abbiamo spazio”) o condividere le cartelle e dimenticarsi che il collega poi non lavora più con l’azienda, sottopone i dati a violazioni implicite.
• Sincronizza subito: proprio per avere “l’ultima versione”, non appena salviamo il file questo viene mandato online e da lì ridistribuito su tutti i dispositivi collegati; e se prendiamo un cryptolocker che ci blocca tutti i files? ovvio che questi verranno subito sincronizzati (criptando anche la copia online) e ridistribuiti agli altri dispositivi (trasmettendo anche il virus). Non è d’altronde conosciuta da tutti (nè utilizzata) la possibilità di sospendere la sincronizzazione, e poi… disabilitarla interrompe proprio il meccanismo che tanto ci piace.
• Sincronizza senza avviso: aprimao un file, che è già aperto da un collega, poi salviamo entrambi le nostre modifiche… ovviamente il sistema non può decidere chi dei due ha ragione, pertanto farà due copie (chiamandole “copia in conflitto”) e toccherà ad uno di noi farsi carico di unire le modifiche di entrambi. Ovviamente certi sistemi permettono di bloccare il file, operare in “cooperazione”, ma i costi salgono e gli utenti tendenzialmente da quell’orecchio non sentono.

Difficile quindi affidarsi a questi sistemi per avere un vero backup a prova di “Business Continuity” o “Disaster Recovery”, di sicuro non affidiamoci solo a questi ed affianchiamo altri sistemi.

…e per il GDPR?

Ovviamente bisogna valutare molti aspetti: posizione delle informazioni, criteri di sicurezza, protezione password ed account, criptazione dei dati su cloud e dei protocolli di trasmissione; tutti elementi che concorrono a permetterci di dichiarare (nel Registro e nella DPIA) che un servizio è idoneo o meno alle nostre esigenze, qui di seguito analizziamo i più conosciuti, nel link del Servizio trovate il richiamo alla pagina delle soluzioni di sicurezza adottate.

DROPBOX

Nel 2012 è stata colpita da un attacco che ha sottratto milioni di account, ma da allora è passato tempo e molto è stato fatto in ottica di miglioramento, dagli algoritmi di criptazione a quelli di classificazione dei dati per la condivisione.

La trasmissione dei dati su cloud lavora su SSL/TLS che permette la criptazione dei dati “in transito” per evitare sniffing, soprattutto tra l’applicazione “desktop” ed i server, utilizzando algoritmi AES128 per la codifica/decodifica.

Anche i dati “in storage” sono criptati con la medesima tecnologia AES, ma in questo caso a 256 bit (per ragioni di velocità sui dati in transito si cerca di essere più “leggeri”). Terze parti possono accedere ai dati su cloud solo se si ha uno specifico link o l’account collegato, o condiviso.

L’account può essere protetto con autenticazione a “due fattori”, rendendo così più difficile l’hacking dell’utente.

Infine il Backup DropBox, che consiste nel “mantenere” una release precedente del file ogni volta che questo viene modificato, permettendo di risalire alla versione precedente (mitiga la problematica legata al precedente caso di attacco Cryptolocker).

GDRIVE

Anche in questo caso si adottano protocolli di trasmissione TLS per il transito dati, come per Dropbox, mentre per la versione browser, nel caso di Google più utilizzata rispetto a quella di Dropbox perché viene permessa la cooperazione “online”, viene usato HTTPS.

I dati “in storage” sono criptati AES128, meno sicuro di Dropbox, ma comunque valido.

Come Dropbox è disponibile l’autenticazione a due fattori e il Backup Google Drive, che mantine enella history la precedente versione (in questo caso utile anche in caso di “ripristino” per errore umano durante la cooperazione).

ONEDRIVE (e AZURE)

Anche in questo caso i dati intransito sono protetti con protocolli di sicurezza TLS e HTTPS, mentre in storage con AES256.

È possibile scegliere le aree geografiche in cui far mantenere i dati ad esempio, se non si desidera portarli al di fuori della UE. e in caso di attacco ransomware è possibile recuperare i dati dal cestino stesso o ripristinare una versione precedente; con la versione Premium si possono ripristinare le immagini dei file degli ultimi 30 giorni.

Anche in questo caso l’account è protetto da un’autenticazione a due fattori.

WETRANSFER

WeTransfer è un caso particolare: è un servizio di invio file di grandi dimensioni più che un repository vero e proprio. La differenza consiste nel fatto che i file non vengono mantenuti se non per un periodo di tempo fissato dal tipo di contratto e l’uso di questo strumento è più che altro dedicato ad una consegna di file a terzi.

Tutto bene per quanto riguarda l’invio e lo scarico del file (i protocolli di sicurezza in transito ed in conservazione sono garantiti dai protocolli TLS e algoritmo AES256), ma ci sono alcuni problemi per la comunicazione dell’invio alla controparte, perché per compiere questa operazione viene utilizzata una normalissima mail con un link. Ovviamente la sicurezza della mail, che transita su N server di posta senza alcuna protezione e può essere intercettata da chiunque, lascia il fianco scoperto alla possibilità che qualunque malintenzionato possa entrare in possesso del file senza che ce ne accorgiamo. Per risolvere questo è sufficiente mandare il file a sua volta criptato ad esempio in un file compresso con password.

Inoltre siccome il servizio è utilizzabile senza avere un abbonamento (e quindi essere identificati) è possibile utilizzare lo stesso anche per far “uscire dei file” impunemente (ad esempio documenti riservati dell’azienda); è pertanto utile che il servizio in ambito aziendale venga costantemente monitorato per verificarne l’uso lecito da parte dei dipendenti.

Oggi abbiamo scoperto alcune delle funzionalità e caratteristiche di questi servizi, nei prossimi post analizzeremo quali possono essere i tipi di opportunità per gli hacker riguardo a questi servizi.