Varför flyttade vi servrarna till Island

Översättarens kommentar. Simple Analytics — en webbplatsanalystjänst som fokuserar på integritet (på vissa sätt motsatsen till Google Analytics)

Som grundare av Simple Analytics har jag alltid varit medveten om vikten av förtroende och transparens för våra kunder. Vi har ett ansvar för dem så att de kan sova gott. Valet måste vara optimalt både ur ett integritetsperspektiv och för både besökare och kunder. Därför har valet av serverlokalisering blivit en av våra viktigaste frågor.

Under de senaste månaderna har vi gradvis flyttat våra servrar till Island. Jag vill förklara hur allt gick till, och framför allt varför. Det var en utmanande process, och jag skulle vilja dela med mig av vår erfarenhet. Artikeln innehåller vissa tekniska detaljer, som jag försökt skriva på ett begripligt sätt, men jag ber om ursäkt om de är för tekniska.

Varför flytta servrar?

Allt började med att vår webbplats lades till i EasyList. Det är en lista över domännamn för annonsblockerare. Jag frågade varför vi lades till, eftersom vi inte spårar besökare. Vi till och med följer inställningen "Inte spåra" (Do Not Track) i webbläsaren.

Jag skrev en sådan kommentar till i en pull-request på GitHub:

[...] Så om vi fortsätter att blockera bra företag som respekterar användarnas integritet, vad är syftet med det? Jag tycker att det är fel, man bör inte sätta varje företag på listan bara för att de skickar förfrågningar. [...]

Och fick svar från @cassowary714:

Alla håller med dig, men jag vill inte att mina förfrågningar skickas till ett amerikanskt företag (i ditt fall Digital Ocean [...])

Först gillade jag inte svaret, men i diskussionen med gemenskapen påpekades hans rätt. Den amerikanska regeringen kan verkligen få tillgång till våra användares data. Vid den tidpunkten körde vi verkligen våra servrar på Digital Ocean, de kunde helt enkelt ta vår disk och läsa datan.

Det finns tekniska lösningar på problemet. Du kan se till att en stulen (eller kopplad av någon anledning) disk blir obrukbar för andra. Fullständig kryptering komplicerar åtkomsten om nyckeln saknas (anmärkning: nyckeln har endast Simple Analytics). Det går fortfarande att få små fragment av data genom att fysiskt läsa serverns RAM-minne. Servern kan inte fungera utan RAM-minne, så i detta avseende måste man lita på sin hostingleverantör.

Det fick mig att fundera på vart vi skulle flytta våra servrar.

Ny plats

Jag började söka i denna riktning och snubblade över en sida på Wikipedia med en lista över länder som utmärkt sig genom censur och övervakning av användare. Där finns en lista över "internetfiender" från den internationella icke-statliga organisationen "Reporters Without Borders", som har sitt huvudkontor i Paris och kämpar för pressfrihet. Ett land klassificeras som en internetfiende när det "inte bara censurerar nyheter och information på nätet utan också genomför nästan systematiska repressalier mot användare."

Utöver denna lista finns det en allians kallad Five Eyes även känd som FVEY. Detta är ett förbund mellan Australien, Kanada, Nya Zeeland, Storbritannien och USA. Under de senaste åren har dokument visat att de avsiktligt spionerar på varandras medborgare och utbyter insamlad information för att kringgå lagliga begränsningar för spionage inom sina länder (källor). Den före detta NSA-anställda Edward Snowden beskrev FVEY som en "övernationell underrättelseorganisation som inte lyder under sina länders lagar". Det finns också andra länder som samarbetar med FVEY i andra internationella kooperativ, inklusive Danmark, Frankrike, Nederländerna, Norge, Belgien, Tyskland, Italien, Spanien och Sverige (de så kallade 14 Eyes). Jag kunde inte hitta bevis för att alliansen 14 Eyes missbrukar den insamlade underrättelsen.

Efter detta beslutade vi att vi inte kommer att hosta i något av länderna på listan över "internetfiender" och att vi definitivt kommer att undvika länderna inom alliansen 14 Eyes. Det räcker med fakta om kollektiv övervakning för att avstå från att lagra våra kunders data där.

När det gäller Island säger den ovan nämnda Wikipedia-sidan följande:

Islands konstitution förbjuder censur, och det finns en stark tradition av att skydda yttrandefrihet, som även sträcker sig till internet. […]

Island

Under sökandet efter det bästa landet för dataskydd dyker Island upp om och om igen. Därför bestämde jag mig för att noggrant undersöka det. Observera att jag inte talar isländska, vilket kan ha gjort att jag missat viktig information. Ge en återkoppling, om du har någon information i ämnet.

Enligt rapporten Freedom on the Net 2018 från Freedom House fick Island, tillsammans med Estland, 6/100 poäng när det gäller censur (ju lägre, desto bättre). Det är det bästa resultatet. Tänk på att inte alla länder utvärderades.

Island är inte medlem i Europeiska unionen, men är en del av det Europeiska ekonomiska området och har gått med på att följa lagstiftning om konsumenträtt och affärsrätt som liknar lagstiftningen i andra medlemsstater. Detta inkluderar lagen om elektronisk kommunikation (Electronic Communications Act 81/2003), som införde krav på datalagring.

Lagen gäller för leverantörer av telekommunikationstjänster och kräver lagring av uppgifter i sex månader. Den stipulerar också att företag får lämna ut information om telekommunikation endast i brottmål eller frågor som rör allmän säkerhet, och att sådan information inte får lämnas ut till någon annan än polisen eller åklagaren.

Även om Island i allmänhet följer lagarna i det Europeiska ekonomiska området har de en egen inställning till dataskydd. Till exempel uppmuntrar den isländska lagen Dataskyddslagen anonymitet för användardata. Internetleverantörer och värdar bär inget rättsligt ansvar för det innehåll de publicerar eller överför. Enligt isländsk lag är det registratorn av domänen .is som ansvarar för lagligheten av användningen (ISNIC). Regeringen inför inga begränsningar för anonym kommunikation och kräver ingen registrering vid köp av SIM-kort.

En annan fördel med att flytta till Island är klimatet och läget. Servrar avger mycket värme, och den genomsnittliga årstemperaturen i Reykjavik (Islands huvudstad, där de flesta datacenter ligger) är 4,67 °C, så det är en utmärkt plats för kylning av servrar. För varje watt som används av servrar och nätverksutrustning går det proportionellt väldigt lite watt till kylning, belysning och andra driftkostnader. Dessutom är Island den största producenten av 'ren' energi per capita i världen och faktiskt den största producenten av el per capita, med ungefär 55 000 kWh per person och år. Jämfört med det genomsnittliga EU-snittet på under 6000 kWh. De flesta hostingföretag i Island får 100% av sin elektricitet från förnybara källor.

Om du drar en rak linje från San Francisco till Amsterdam kommer du att korsa Island. Hos Simple Analytics har de flesta kunder sitt ursprung i USA och Europa, så det är meningsfullt att välja just denna geografiska plats. Ytterligare fördelar med Island är lagarna som skyddar privatlivet och den ekologiska ansatsen.

Flytt av servrar

Först behövde vi hitta en lokal hostingleverantör. Det finns ganska många och det är verkligen svårt att avgöra vilken som är den bästa. Vi hade inte resurserna för att prova alla, så vi skrev några automatiserade skript (Ansible) för att konfigurera servern för att enkelt kunna byta till en annan host om så behövdes. Vi valde företaget 1984 med sloganen 'Vi skyddar privatlivet och medborgerliga rättigheter sedan 2006'. Vi gillade denna slogan och ställde dem några frågor om hur de skulle hantera våra data. De lugnade oss, så vi fortsatte med installationen av huvudservern. Och de använder endast elektricitet från förnybara källor.

Under processen stötte vi dock på flera hinder. Denna del av artikeln är ganska teknisk. Tveka inte att gå till nästa. När du har en krypterad server, låses den upp med hjälp av en privat nyckel. Denna nyckel får inte lagras på själva servern, det vill säga det måste anges på distans vid serverstart. Men vad händer om strömmen går? Så alla webbplatsförfrågningar till servern kommer inte att utföras efter omstart?

Det är därför vi har lagt till en primitiv extra server framför huvudservern. Den tar emot sidvisningsförfrågningar och skickar dem direkt till huvudservern. Om huvudservern kraschar, kommer den extra servern att lagra förfrågningarna i sin egen databas och upprepa dem tills ett svar tas emot. På så sätt förloras inga data efter strömavbrott.

Låt oss återgå till serverstart. När den krypterade huvudservern startas måste vi ange ett lösenord. Men vi vill inte åka till Island eller be någon där att gå in i serverhallen, av uppenbara skäl. För att få fjärråtkomst till servern används vanligtvis det säkrade protokollet SSH. Men detta program är endast tillgängligt när servern eller datorn är igång, och vi behöver ansluta före fullständig serverstart.

Så vi hittade Dropbear, en mycket liten SSH-klient som kan köras från minnesdisk för initialisering (initramfs). Och vi kan tillåta externa anslutningar via SSH. Nu behöver vi inte flyga till Island för att starta vår server, hurra!

Flytten till den nya servern i Island tog oss ett par veckor, men vi är glada att vi till slut gjorde det.

Spara endast nödvändiga data

Vi på Simple Analytics lever efter principen "Spara endast nödvändiga data" och samlar in så lite som möjligt.

I webbapplikationer är det ofta praxis med mjukt raderande av data. Det innebär att data faktiskt inte tas bort, utan bara blir otillgängliga för slutanvändaren. Vi gör inte så — om du raderar dina data försvinner de från vår databas. Vi använder hård radering. Observera: de kommer att finnas kvar i krypterade säkerhetskopior i högst 90 dagar. Vid ett misstag kan vi återställa dem.

Vi har inga fält för delete_at 😉

För kunder är det viktigt att veta vilka data som lagras och vilka som raderas. När någon raderar sina data, säger vi det rakt ut. Användarens data och analys tas bort från databasen. Vi raderar också kreditkortsinformationen och brevet från Stripe (betalningsleverantören). Vi behåller betalningshistoriken som behövs för skattebetalning och lagrar våra loggfiler och databasbackupkopior i 90 dagar.

Fråga: Om ni endast lagrar minimi konfidentiella data, varför behövs all denna skyddsåtgärd och extra säkerhet?

Vi vill vara världens bästa analysföretag som fokuserar på integritet. Vi kommer att göra allt vi kan för att erbjuda de bästa analysverktygen utan att inkräkta på besökarnas privatliv. Även när vi skyddar stora mängder anonymiserad information om besökare, vill vi visa att vi tar integritet på stort allvar.

Vad händer härnäst?

När vi förbättrade integriteten ökade hastigheten för skripten som är inbäddade på webbsidor lite. Det är logiskt, eftersom de tidigare lagrades på CDN CloudFlare, ett nätverk av servrar runt om i världen som snabbar upp laddningen för alla. Nu överväger vi att sätta upp ett mycket enkelt CDN med krypterade servrar som endast kommer att leverera vår JavaScript och temporärt lagra förfrågningar från webbsidor innan de skickas till huvudservern i Island.

Källa: habr.com