Logi serwera a prywatnośćPaństwa hosting przestał logować. Państwa serwer nie.

Teraz to Państwo są adresatem

Czytelnik, który chce się dowiedzieć, kto odwiedził Państwa stronę, nie zaczyna od Państwa dostawcy hostingu. Zaczyna od Państwa, ponieważ to Państwo są jedynym podmiotem w tym łańcuchu, który ma bezpośredni interes w zachowaniu zapisu, adres do doręczeń oraz żaden raport przejrzystości do opublikowania później.

To niewygodne zdanie do napisania dla firmy hostingowej, więc oto stojąca za nim arytmetyka. Opublikowany tu wykaz mówi, że logi dostępu HTTP są niszczone w cyklu dwudziestu czterech godzin i że później nigdzie nie istnieje żadna historia adresów. Standardowy serwer WWW na maszynie wynajętej od nas przechowuje własny log dostępu przez około dwa tygodnie, w nocnej kopii zapasowej przez rok, i nikt nie ustawił żadnej z tych liczb celowo. Staranny wybór hosta jest niweczony przez domyślne ustawienie, którego nikt nie przeczytał.

Co naprawdę zawiera jedna linia logu dostępu

Domyślny format w obu popularnych serwerach WWW jest niezmienny od dwudziestu pięciu lat i niemal nikt nie czyta go jako zapisu dotyczącego osoby. Warto raz przeczytać go w ten sposób, ponieważ każde z poniższych pól to osobne ujawnienie informacji, a one się sumują.

Siedem pól, jedna linia, zapisywana dla każdego żądania wysyłanego przez przeglądarkę — co przy jednym wyświetleniu strony daje zwykle gdzieś między dwadzieścia a osiemdziesiąt linii. Nic z tego nie było decyzją. Wszystko to jest zapisem.

Dziewięć miejsc, w których własny stos technologiczny zapisuje odwiedzającego

Niemal każdy spór o logowanie dotyczy pierwszego wiersza. To ten, o którego istnieniu ludzie wiedzą, a jednocześnie daleko mu do najbardziej ujawniającej rzeczy na maszynie.

Ostatni wiersz jest tym, który niweczy większość dobrych intencji. Skrócenie rotacji logów z czternastu dni do jednego zmienia to, co znajduje się na dysku, i nie zmienia zupełnie niczego w kopii, która została zrobiona o trzeciej nad ranem i będzie przechowywana przez rok. Usunięcie zapisu, który już Państwo zreplikowali, jest zmianą lokalizacji, a nie usunięciem.

Dwa pola, które zdradzają więcej niż adres

Adres to pole, o które wszyscy się spierają, i to takie, które ma najkrótszy użyteczny okres życia: zmienia się, jest współdzielony, a w sieci komórkowej należy do operatora, a nie do osoby. Dwa pola obok niego są po cichu gorsze.

Adres odsyłający opisuje czytelnika, nie żądanie

Odpowiada na pytanie, którego nikt nie zadał: gdzie ta osoba była chwilę wcześniej. To może być przesłany jej prywatny link do dokumentu, wewnętrzny system zgłoszeń, podgląd w kliencie pocztowym albo strona, której nie chcieliby Państwo łączyć z własną. Przeglądarki obcinają dziś ścieżkę, gdy cel znajduje się w innym originie, co pomaga — i nie daje zupełnie nic w przypadku linków wewnątrz Państwa własnej strony, gdzie pełna ścieżka wciąż jest wysyłana i wciąż zapisywana.

User agent to zalążek odcisku cyfrowego

Sam w sobie to tłum. W połączeniu z adresem, nagłówkiem języka, kolejnością żądań i zestawem akceptowanych formatów, bardzo często wskazuje jednego odwiedzającego na przestrzeni tygodni — bez cookie, bez zgody i bez tego, by ktokolwiek zdecydował się cokolwiek śledzić. To właśnie ten mechanizm sprawia, że zdanie “przechowujemy tylko logi serwera” jest słabsze, niż wydaje się osobie, która je wypowiada.

Sekrety trafiają do logu, ponieważ były w adresie URL

To błąd, dla którego warto przeczytać tę stronę, ponieważ jest powszechny, jest cichy i całkowicie leży w zakresie Państwa kontroli. Wszystko po znaku zapytania jest częścią linii żądania, a to właśnie linia żądania trafia do zapisu.

• Linki do resetowania hasła. Jednorazowy token w parametrach zapytania jest zapisywany jawnym tekstem w logu dostępu, w kopii zapasowej logu dostępu oraz na każdym proxy między czytelnikiem a Państwem.
• Linki z zaproszeniem i rezygnacją z subskrypcji. Ten sam kształt, dłuższy czas życia i zwykle brak terminu ważności w ogóle.
• Identyfikatory sesji przekazywane w adresie URL. Rzadkie w nowym kodzie, wciąż obecne w starym, i pełne przejęcie konta dla każdego, kto posiada ten plik.
• Klucze API przekazywane do przeglądarki. Klucz w parametrach zapytania to klucz w logu, klucz w adresie odsyłającym wysłanym do strony trzeciej i klucz w historii przeglądania czytelnika.
• Pole wyszukiwania. Wyszukiwarka na stronie, która wysyła zapytanie metodą GET, zapisuje każde hasło, jakie ktokolwiek kiedykolwiek wpisał na Państwa stronie, obok adresu, który je wpisał.

Rozwiązaniem nie jest ustawienie logowania. Trzeba przenieść wartość do nagłówka lub treści żądania, gdzie żaden domyślny format jej nie zapisze, i zrotować wszystko, co już zostało zapisane. Filtr logów usuwający tokeny to kolejna rzecz do utrzymania, i zawiedzie przy pierwszej okazji, gdy ktoś doda nowy parametr.

Co można od Państwa zażądać i przez kogo

Inne przewodniki na tej stronie dotyczą instrumentów prawnych docierających do firmy hostingowej w jurysdykcji wybranej właśnie w tym celu. Instrument, który dociera do Państwa własnych logów, jest prostszy: doręcza się go Państwu, tam gdzie Państwo są, a lokalizacja maszyny nie ma nic do rzeczy.

• Żądanie cywilne we własnym kraju. Ktoś, kto pozywa w związku z komentarzem, wyciekiem albo zakupem, żąda od operatora strony tego, co operator posiada. Tym operatorem są Państwo, a dwa tygodnie logów dostępu to coś, co łatwo nakazać do wydania.
• Żądanie od czytelnika. Na mocy europejskiego prawa ochrony danych osobowych każda osoba może zapytać, co Państwo o niej przechowują, a adres jest zdolny być daną osobową: Trybunał Sprawiedliwości potwierdził to już w 2016 roku w Case C-582/14, w którym dynamiczny adres przechowywany przez operatora strony internetowej stanowił dane osobowe, ponieważ istniała zgodna z prawem droga dotarcia do abonenta. Samo przechowywanie musi być też uzasadnione — Article 5(1)(e) mówi, że nie dłużej niż to konieczne, a “tak akurat wysłano paczkę” nie jest celem.
• Ktokolwiek złamie zabezpieczenia maszyny. Najbardziej prawdopodobnym czytelnikiem Państwa logu dostępu wcale nie jest sąd. Logi są rzadko szyfrowane, rzadko monitorowane i niemal nigdy nieuwzględniane w modelu zagrożeń, a na każdym serwerze skonfigurowanym w typowy sposób leżą w przewidywalnej ścieżce.
• Każdy, do kogo dotrą Państwa kopie zapasowe. Kopia przechowywana poza siedzibą to kopia w innej firmie, pod inną jurysdykcją, podlegająca instrumentom prawnym, których Państwo nie czytali.

Nic z tego nie jest poradą prawną, a ta firma nie jest Państwa prawnikiem. To ta sama logika wykazu, zastosowana po Państwa stronie łącza: czego nie można wydać, tego nie można od Państwa zażądać, a wszystko inne to kwestia tego, czyj sąd pyta. Jak to wygląda po stronie hostingu, opisano w tym, co naprawdę dzieje się, gdy policja pyta hosta.

Przechowywać mniej, nie tracąc orientacji

Instynkt po przeczytaniu aż dotąd podpowiada, by wyłączyć logowanie całkowicie, i jest to zły ruch: serwera bez logów nie da się debugować, nie da się sensownie ograniczać liczby żądań, i nie powie Państwu, że akurat trwa do niego włamanie. Celem nie jest zero. Celem jest zachowanie tej części, która odpowiada na pytanie operacyjne, i odrzucenie tej, która odpowiada wyłącznie na pytanie o osobę.

Dwie z tych sześciu zmian nie kosztują zupełnie nic, a znoszą większość ekspozycji opisanej na tej stronie. O ostatniej nikt nie myśli, i to właśnie z jej powodu pozostałe pięć nie daje pełnego efektu.

Strony trzecie, które logują Państwa czytelników za Państwa

Wszystko powyżej dotyczy plików na maszynie, którą Państwo kontrolują. Przeglądarka ładująca Państwa stronę otwiera też połączenie z każdym innym originem wymienionym na stronie, a każdy z nich otrzymuje adres, user agenta i adres odsyłający wskazujący, która ze stron była czytana — jeszcze zanim ktokolwiek odpowie na baner zgody, bo żądanie już zdążyło wyjść.

• Czcionka serwowana przez kogoś innego. Jedna linia w arkuszu stylów, i każdy czytelnik każdej strony jest ujawniany stronie trzeciej dla pliku, który mogliby Państwo hostować w tym samym katalogu co resztę strony.
• Osadzony film albo mapa. Ładowane od razu, na każdej stronie, na której się pojawiają, niezależnie od tego, czy ktokolwiek naciśnie odtwarzanie.
• Widżet czatu albo menedżer tagów. Z założenia obecne na każdej stronie, zdolne wczytać dodatkowy kod, którego Państwo nie sprawdzili.
• Tracker błędów. Najbardziej użyteczny z nich i najbardziej ujawniający: istnieje po to, by przesyłać Państwu stan sesji kogoś innego.
• CDN przed całą stroną. To nie argument przeciwko niemu — to rozsądny kompromis — ale to firma, która widzi każde żądanie, zanim zobaczą je Państwo, przechowuje własne logi i odpowiada przed własną jurysdykcją.

Samodzielne hostowanie pierwszych trzech to zwykle popołudnie pracy, a usuwa więcej obserwacji ze strony trzecich firm niż jakiekolwiek ustawienie na własnym serwerze. To też część tej strony, która poprawia to, co dostają Państwa czytelnicy, a nie tylko to, co można Państwu nakazać wydać, i dlatego warto zrobić to najpierw. Równoważna lista, skierowana na własną ekspozycję, a nie ekspozycję czytelników, znajduje się w dziewięciu rzeczach, które identyfikują stronę.

Co ta firma może z tym zrobić, a czego nie może

Uczciwe wytyczenie granicy jest warte więcej niż zapewnienie, więc oto ona z tej strony.

• Nasze własne logi dostępu HTTP są niszczone w cyklu dwudziestu czterech godzin, nie istnieje historia adresów, nie istnieje zapis lokalizacji logowania i nie przetrwa żaden odcisk cyfrowy. Pełna lista tego, co jednak przetrwa, jest opublikowana jako wykaz i liczy siedem zapisów.
• To, co dociera drogą prawną, jest liczone w raporcie przejrzystości, a to, co faktycznie wydaje ważny nakaz, jest ustalone z góry, a nie decydowane na bieżąco.
• Na VPS albo serwerze dedykowanym logi opisane na tej stronie znajdują się wewnątrz Państwa systemu operacyjnego. Nie czytamy ich, nie wysyłamy ich nigdzie, a także nie możemy ich Państwu skonfigurować — wyłączna dzierżawa działa w obie strony, o to właśnie w niej chodzi.
• To, co możemy unieść, to warstwa poniżej: brak zapisu tożsamości przy rejestracji, rozliczenia wyłącznie on-chain oraz maszyna w wybranej przez Państwa jurysdykcji, a nie tej, w której działa wystawca Państwa karty.

I zdanie, dla którego istnieje ta strona: wybranie hosta na podstawie tego, czego odmawia przechowywania, a następnie samodzielne przechowywanie tego samego przez dwa tygodnie, to decyzja o prywatności unieważniona przez plik konfiguracyjny. Te dwie połowy nie są porównywalne pod względem nakładu pracy. Jedna zajęła tydzień czytania, druga zajmuje popołudnie, a tylko jedna z nich jest dokończona.

Godzinny audyt własnych logów

Żaden z poniższych kroków nie wymaga narzędzia, które trzeba kupić, a każdy z nich mówi coś, czego nie ujawnił poprzedni.

1. Wydrukować jedną linię własnego logu dostępu i przeczytać ją na głos, pole po polu, tak jak zrobiłby to ktoś obcy.
2. Wypisać wszystkie pliki znajdujące się w katalogu logów, a następnie zaznaczyć te, które były otwierane w ciągu ostatniego roku. Niezaznaczone to czyste ryzyko, niedające niczego w zamian.
3. Sprawdzić konfigurację rotacji i zapisać liczbę dni, przez jaką logi są faktycznie przechowywane, a nie liczbę, na jaką, jak się Państwu wydaje, kiedyś przystali.
4. Przywrócić kopię zapasową z zeszłego miesiąca do katalogu roboczego i poszukać w niej logu, który, jak się Państwu wydaje, został usunięty dwa tygodnie temu.
5. Przeszukać własny log dostępu pod kątem słów token, reset, key, session i password. Wszystko, co się znajdzie, to sekret, który już trafił na dysk i wymaga rotacji, a nie tylko poprawki.
6. Otworzyć własną stronę główną z włączonym panelem sieciowym przeglądarki i zapisać każdą domenę, z którą nawiązano połączenie, a która nie jest własna. Każda z nich to firma przechowująca dane Państwa czytelników na mocy własnej retencji.
7. Sprawdzić, który nagłówek przenosi prawdziwy adres zza proxy lub CDN, oraz potwierdzić, czy origin go zapisuje. CDN nie powstrzymuje logowania po stronie originu; przenosi jedynie pole.
8. Otworzyć najnowsze zdarzenie we własnym trackerze błędów i policzyć, ile szczegółów dotyczących prawdziwego czytelnika znajduje się w przesyłanych danych (payload).
9. Świadomie ustalić trzy liczby retencji — dla bezpieczeństwa, analityki i kopii zapasowych — i zapisać je tam, gdzie znajdzie je kolejna osoba, która dotknie tego serwera.
10. Spisać wykaz: co istnieje, gdzie, jak długo, i co zostałoby wydane, gdyby jutro rano nadszedł ważny nakaz. Jeśli ten dokument jest niewygodny do napisania, to właśnie ta godzina jest najbardziej użyteczna z całej listy.

Pytania, które faktycznie są zadawane

Każda cena w tej infrastrukturze jest publikowana w całości, w jednym miejscu. Zobacz cały katalog