Pourquoi nous avons transféré les serveurs en Islande

Note du traducteur. Simple Analytics — un service d'analyse pour sites web axé sur la confidentialité (en quelque sorte l'antithèse de Google Analytics)

En tant que fondateur de Simple Analytics, j'ai toujours gardé à l'esprit l'importance de la confiance et de la transparence pour nos clients. Nous avons la responsabilité de leur permettre de dormir sur leurs deux oreilles. Le choix doit être optimal en termes de confidentialité tant pour les visiteurs que pour les clients. Ainsi, l'un des aspects les plus cruciaux pour nous a été le choix de l'emplacement des serveurs.

Au cours des derniers mois, nous avons progressivement déménagé nos serveurs en Islande. Je souhaite expliquer comment tout cela s'est déroulé, et surtout, pourquoi. Ce fut un processus difficile et j'aimerais partager notre expérience. L'article contient certains détails techniques que j'ai essayé d'écrire dans un langage accessible, mais je m'excuse s'ils sont trop techniques.

Pourquoi déménager les serveurs?

Tout a commencé lorsque notre site a été ajouté à EasyList. Il s'agit d'une liste de noms de domaine pour les bloqueurs de publicité. J'ai demandé pourquoi nous avions été ajoutés, étant donné que nous ne traçons pas les visiteurs. Nous respectons même la configuration « Ne pas suivre » (Do Not Track) dans le navigateur. J'ai écrit

un tel commentaire sur le pull request sur GitHub sur […] Donc, si nous continuons à bloquer de bonnes entreprises qui respectent la confidentialité des utilisateurs, quel en est le sens ? Je pense que c'est mal, il ne faut pas mettre chaque entreprise sur cette liste simplement parce qu'elle envoie des requêtes. […]:

Et j'ai reçu

@cassowary714 réponse à partir de Tout le monde est d'accord avec vous, mais je ne veux pas que mes requêtes soient envoyées à une entreprise américaine (dans votre cas Digital Ocean […]:

Au début, je n'aimais pas la réponse, mais dans la discussion avec la communauté, on m'a signalé qu'il avait raison. Le gouvernement américain peut effectivement accéder aux données de nos utilisateurs. À cette époque, nos serveurs étaient effectivement chez Digital Ocean, ils pouvaient simplement retirer notre disque et lire les données.

Il existe une solution technique au problème. Vous pouvez faire en sorte qu'un disque volé (ou déconnecté pour une raison quelconque) devienne inutilisable pour d'autres. Un chiffrement complet compliquera l'accès en l'absence de clé (

note : seule Simple Analytics possède la clénote : la clé est uniquement détenue par Simple Analytics). Il est toujours possible d'obtenir de petits fragments de données en lisant physiquement la RAM du serveur. Le serveur ne peut pas fonctionner sans RAM, donc à cet égard, il faut faire confiance au fournisseur d'hébergement.

Cela m'a amené à réfléchir à l'endroit où déplacer nos serveurs.

Nouveau lieu

J'ai commencé à chercher dans cette direction et je suis tombé sur une page Wikipédia avec une liste de pays qui se sont distingués par la censure et la surveillance des utilisateurs.. Il y a une liste des « ennemis d'Internet » par l'organisation non gouvernementale internationale « Reporters sans frontières », basée à Paris, qui défend la liberté de la presse. Un pays est classé comme ennemi d'Internet lorsque « non seulement il censure les nouvelles et les informations en ligne, mais il mène également des répressions quasi systématiques contre les utilisateurs ».

En plus de cette liste, il existe une alliance appelée Five Eyes alias FVEY. Il s'agit d'une alliance entre l'Australie, le Canada, la Nouvelle-Zélande, le Royaume-Uni et les États-Unis. Au cours des dernières années, des documents ont montré qu'ils espionnaient délibérément les citoyens les uns des autres et échangeaient les informations collectées afin de contourner les restrictions législatives sur l'espionnage à l'intérieur de leur pays (sources). L'ancien employé de la NSA, Edward Snowden, a décrit FVEY comme « une organisation de renseignement supranationale qui n'est pas soumise aux lois de ses pays ». D'autres pays collaborent également avec FVEY dans d'autres coopérations internationales, y compris le Danemark, la France, les Pays-Bas, la Norvège, la Belgique, l'Allemagne, l'Italie, l'Espagne et la Suède (appelés les 14 Eyes). Je n'ai pas pu trouver de preuves que l'alliance des 14 Eyes abuse des renseignements collectés.

Après cela, nous avons décidé de ne pas nous héberger dans aucun des pays de la liste des « ennemis d'Internet » et de bien éviter les pays de l'alliance des 14 Eyes. Le fait de la surveillance collective est suffisant pour justifier le refus d'y stocker les données de nos clients.

Concernant l'Islande, la page Wikipédia mentionnée ci-dessus indique ceci :

La Constitution de l'Islande interdit la censure, et il existe une solide tradition de protection de la liberté d'expression, qui s'étend également à Internet. […]

Islande

Lors de ma recherche du meilleur pays en matière de protection de la vie privée, l'Islande est revenue sans cesse. J'ai donc décidé de l'étudier en détail. Veuillez noter que je ne parle pas islandais, ce qui signifie que j'ai peut-être omis des informations importantes. Faites-le savoir, si vous avez des informations sur le sujet.

Selon le rapport Freedom on the Net 2018 de Freedom House, en matière de censure, l'Islande et l'Estonie ont obtenu 6/100 points (moins c'est mieux). C'est le meilleur résultat. Notez que tous les pays n'ont pas été évalués.

L'Islande n'est pas membre de l'Union européenne, mais elle fait partie de l'Espace économique européen et a accepté de suivre une législation sur la protection des droits des consommateurs et du droit commercial, similaire à celle des autres États membres. Cela comprend la Loi sur les communications électroniques (Electronic Communications Act 81/2003), qui impose des exigences de conservation des données.

La loi s'applique aux fournisseurs de services de télécommunication et prévoit la conservation des enregistrements pendant six mois. Elle stipule également que les entreprises peuvent fournir des informations sur les télécommunications uniquement dans le cadre d'affaires criminelles ou pour des questions de sécurité publique et que ces informations ne peuvent être fournies qu'à la police ou au ministère public.

Bien que l'Islande respecte généralement les lois de l'Espace économique européen, elle a sa propre approche de la protection de la vie privée. Par exemple, la loi islandaise sur la protection des données encourage l'anonymat des données utilisateur. Les fournisseurs d'accès Internet et les hébergeurs ne peuvent pas être tenus légalement responsables du contenu qu'ils hébergent ou transmettent. Selon la législation islandaise, la légalité de l'utilisation du domaine .is est de la responsabilité du registraire de zone de domaine (ISNIC). Le gouvernement n'impose aucune restriction à la communication anonyme et ne demande pas d'enregistrement lors de l'achat de cartes SIM.

Un autre avantage de déménager en Islande est le climat et l'emplacement. Les serveurs génèrent beaucoup de chaleur, et la température moyenne à Reykjavik (la capitale de l'Islande, où se trouvent la plupart des centres de données) est de 4,67 °C, ce qui en fait un excellent endroit pour refroidir les serveurs. Pour chaque watt consommé par les serveurs et l'équipement réseau, il faut proportionnellement très peu de watts pour le refroidissement, l'éclairage et d'autres coûts indirects. De plus, l'Islande est le plus grand producteur mondial d'énergie « propre » par habitant et le plus grand producteur d'électricité par habitant, avec environ 55 000 kWh par personne et par an. En comparaison, la moyenne dans l'UE est de moins de 6000 kWh. La plupart des hébergeurs en Islande obtiennent 100 % de leur électricité à partir de sources renouvelables.

Si vous tracez une ligne droite de San Francisco à Amsterdam, vous traverserez l'Islande. Chez Simple Analytics, la majorité de nos clients viennent des États-Unis et d'Europe, il est donc logique de choisir cette localisation géographique. D'autres arguments en faveur de l'Islande sont ses lois protégeant la vie privée et son approche écologique.

Transfert de serveurs

Tout d'abord, il fallait trouver un fournisseur d'hébergement local. Ils sont assez nombreux, et il est vraiment difficile de déterminer le meilleur. Nous n'avions pas les ressources pour tous les essayer, donc nous avons écrit quelques scripts automatiques (Ansible) pour configurer le serveur afin de pouvoir facilement passer à un autre hébergeur si nécessaire. Nous avons choisi une entreprise 1984 avec le slogan « Protéger la vie privée et les droits civils depuis 2006 ». Nous avons aimé ce slogan et leur avons posé quelques questions sur leur traitement de nos données. Ils nous ont rassurés, alors nous avons poursuivi l'installation du serveur principal. Et ils utilisent uniquement de l'électricité provenant de sources renouvelables.

Cependant, au cours de ce processus, nous avons rencontré plusieurs obstacles. Cette partie de l'article est assez technique. N'hésitez pas à passer à la suivante. Lorsque vous avez un serveur chiffré, il est déverrouillé à l'aide d'une clé privée. Cette clé ne peut pas être stockée sur le serveur lui-même, c'est-à-dire qu'il faut la saisir à distance lors du démarrage du serveur. Attendez, que se passe-t-il en cas de coupure de courant ? Cela signifie que toutes les requêtes des pages web vers le serveur ne seront pas exécutées après un redémarrage ?

C'est pourquoi nous avons ajouté un serveur supplémentaire primitif devant le serveur principal. Il reçoit simplement les requêtes de visualisation des pages et les envoie directement au serveur principal. Si le serveur principal tombe, le serveur supplémentaire conservera les requêtes dans sa propre base de données et les répétera jusqu'à ce qu'il reçoive une réponse. Ainsi, après une panne de courant, il n'y a pas de perte de données.

Retour à l'amorçage du serveur. Lorsque le serveur principal chiffré démarre, nous devons entrer un mot de passe. Mais nous ne souhaitons pas nous rendre en Islande ou demander à quelqu'un de se connecter là-bas, pour des raisons évidentes. Pour accéder à distance au serveur, un protocole sécurisé SSH est généralement utilisé. Mais ce programme n'est disponible que lorsque le serveur ou l'ordinateur fonctionne, et nous devons nous connecter avant le démarrage complet du serveur.

Ainsi, nous avons trouvé Dropbear, un très petit client SSH qui peut être exécuté depuis un disque en mémoire vive pour l'initialisation initiale (initramfs). Et il est possible de permettre des connexions externes via SSH. Plus besoin de se rendre en Islande pour démarrer notre serveur, hourra !

Le déménagement vers le nouveau serveur en Islande nous a pris quelques semaines, mais nous sommes heureux de l'avoir enfin fait.

Ne conserver que les données nécessaires

Nous, chez Simple Analytics, vivons selon le principe de "Ne conserver que les données nécessaires", en rassemblant leur quantité minimale.

Dans les applications web, il est souvent pratiqué la suppression douce des données. Cela signifie que les données ne sont en réalité pas supprimées, mais deviennent simplement inaccessibles pour l'utilisateur final. Nous ne le faisons pas - si vous supprimez vos données, elles disparaîtront de notre base de données. Nous utilisons une suppression stricte. Remarque : elles resteront dans des sauvegardes chiffrées pendant un maximum de 90 jours. En cas d'erreur, nous pouvons les récupérer.

Nous n'avons pas de champs delete_at 😉

Il est important pour les clients de savoir quelles données sont conservées et lesquelles sont supprimées. Lorsque quelqu'un supprime ses données, nous le disons directement. L'utilisateur et ses analyses sont supprimés de la base de données. Nous supprimons également la carte de crédit et le courrier de Stripe (fournisseur de paiement). Nous conservons l'historique des paiements, nécessaire pour les déclarations fiscales, et nous gardons nos fichiers journaux et sauvegardes de la base de données pendant 90 jours.

Question : si vous conservez seulement un minimum de données confidentielles, pourquoi devriez-vous avoir toute cette protection et cette sécurité supplémentaire ?

Eh bien, nous voulons être la meilleure entreprise d'analyse au monde axée sur la confidentialité. Nous ferons tout ce qui est en notre pouvoir pour fournir les meilleurs outils d'analyse, sans empiéter sur la vie privée de vos visiteurs. Même en protégeant d'énormes volumes d'informations anonymisées sur les visiteurs, nous voulons montrer que nous prenons la confidentialité très au sérieux.

Et après ?

Lorsque nous avons amélioré la confidentialité, la vitesse de chargement des scripts intégrés dans les pages web a légèrement augmenté. Cela a du sens, car auparavant, ils étaient hébergés sur le CDN CloudFlare, un ensemble de serveurs dans le monde entier qui accélèrent le chargement pour tous. Nous envisageons maintenant de mettre en place un CDN très simple avec des serveurs cryptés, qui ne fourniront que notre JavaScript et stockeront temporairement les requêtes de pages web avant de les envoyer au serveur principal en Islande.

Source : habr.com