云存儲(chǔ)隱私問題有哪一些

云計(jì)算中的數(shù)據(jù)機(jī)密性是企業(yè)關(guān)注的一個(gè)主要問題，但是提供商通常缺乏詳細(xì)信息。這是采用服務(wù)之前要問的問題。

每個(gè)人都應(yīng)該擔(dān)心成為互聯(lián)網(wǎng)上某處數(shù)據(jù)泄露的受害者。但是組織還需要更加關(guān)注其“受信任”的提供程序如何使用其機(jī)密數(shù)據(jù)，尤其是與機(jī)密數(shù)據(jù)有關(guān)的文件，這些機(jī)密數(shù)據(jù)委托給云計(jì)算提供商的存儲(chǔ)設(shè)施。

本文提供了有關(guān)云存儲(chǔ)的背景知識(shí)，并提出了五個(gè)常識(shí)性問題，以詢問提供商有關(guān)云存儲(chǔ)隱私以及他們?nèi)绾问褂每蛻魯?shù)據(jù)的信息。因?yàn)镈ropbox公司是眾所周知的供應(yīng)商，所以可以用它來說明有關(guān)云平臺(tái)中數(shù)據(jù)保護(hù)的一些要點(diǎn)，但是請(qǐng)注意，這些觀察結(jié)果也適用于許多其他云存儲(chǔ)供應(yīng)商，不僅是Dropbox公司。

典型的隱私政策視具體情況而定

典型的云存儲(chǔ)隱私策略通常使用大量詞語來傳達(dá)很少的有用信息。Dropbox隱私頁面提供了2，000個(gè)字的詳細(xì)信息，但未提供有關(guān)誰可以查看和使用企業(yè)的數(shù)據(jù)的任何特定參考。實(shí)際上，很多隱私討論都是關(guān)于Dropbox如何處理企業(yè)的信息的，企業(yè)政策注釋包括cookie，聯(lián)系人和使用情況。

但是客戶數(shù)據(jù)的安全性和隱私性呢？

以一個(gè)數(shù)據(jù)可用性如何工作為例。用戶甚至可以使用多因素身份驗(yàn)證使用其用戶ID和密碼登錄Dropbox。然后，他們決定通過DropboxGUI與誰共享文件。此時(shí)，用戶可能會(huì)假設(shè)未經(jīng)明確許可，沒有人可以查看其Dropbox文件。但是他們錯(cuò)了。

首先，Dropbox報(bào)告稱，從2018年7月到2018年12月，該公司提供了526份搜查令的內(nèi)容。因此，盡管Dropbox使用256位高級(jí)加密標(biāo)準(zhǔn)對(duì)它存儲(chǔ)的數(shù)據(jù)進(jìn)行加密，但很顯然它還擁有加密密鑰。畢竟，如果企業(yè)沒有鑰匙，就無法提供內(nèi)容以響應(yīng)搜查令。

用戶許可

除了政府法院的命令外，Dropbox用戶通過接受服務(wù)條款（ToS）協(xié)議來授予Dropbox廣泛的許可。其用語解釋了企業(yè)如何為用戶提供各種服務(wù)，例如文檔預(yù)覽和光學(xué)字符識(shí)別，但是ToS表示，“要提供這些功能，Dropbox可以訪問、存儲(chǔ)和掃描企業(yè)的東西。并且此許可擴(kuò)展到我們與之合作的會(huì)員和受信任的第三方?！?/p>

客戶的寶貴和機(jī)密的業(yè)務(wù)數(shù)據(jù)只是對(duì)Dropbox更多的“東西”。Dropbox似乎可以在不違反接受服務(wù)條款（ToS）的情況下完成數(shù)據(jù)所需的任何操作。

向云存儲(chǔ)供應(yīng)商提出的數(shù)據(jù)保護(hù)問題

如果沒有其他要求，用戶有權(quán)知道如何使用其數(shù)據(jù)文件。如果“私人和機(jī)密”只是一個(gè)泡沫，那么Dropbox和其他公司應(yīng)該對(duì)此予以清除。

這里有五個(gè)問題要問任何潛在的或當(dāng)前的供應(yīng)商以確保云存儲(chǔ)的隱私和安全性。明確的答案將幫助企業(yè)更好地了解數(shù)據(jù)文件的真實(shí)性和機(jī)密性。

（1） 關(guān)于加密密鑰：假設(shè)文件數(shù)據(jù)已在存儲(chǔ)設(shè)備上加密，誰可以訪問加密密鑰？

（2） 關(guān)于技術(shù)支持對(duì)數(shù)據(jù)文件的訪問：技術(shù)支持（員工、承包商或第三方）是否有權(quán)訪問企業(yè)存儲(chǔ)在云服務(wù)中的文件？

（3） 關(guān)鍵字掃描：企業(yè)或任何第三方掃描還是以其他方式處理數(shù)據(jù)文件？如果是這樣，如何處理在掃描過程中獲得的信息？

（4） 關(guān)于數(shù)據(jù)文件的副本：為了提供安全冗余的服務(wù)，是否可以安全地假設(shè)云計(jì)算提供商將企業(yè)的數(shù)據(jù)文件備份或復(fù)制到另一個(gè)位置或系統(tǒng)？如果是這樣，有什么控制措施可以阻止內(nèi)部人員或第三方訪問其數(shù)據(jù)文件的這些副本？

（5） 審核：企業(yè)如何審核有關(guān)未經(jīng)授權(quán)對(duì)客戶數(shù)據(jù)文件的內(nèi)部訪問的內(nèi)部策略？

具體來說，對(duì)于Dropbox，無法在其各種隱私、服務(wù)條款或透明度頁面中找到任何關(guān)于這些問題的明確答案。企業(yè)應(yīng)確保在使用此類服務(wù)之前進(jìn)行研究。

盡管不是特別知名，但包括Tresorit、SpiderOak和pCloud在內(nèi)的一些云存儲(chǔ)供應(yīng)商已實(shí)現(xiàn)了零知識(shí)服務(wù)。這些云存儲(chǔ)提供商在客戶的數(shù)據(jù)文件離開其電腦之前對(duì)其進(jìn)行加密。然后只能使用只有客戶擁有的密鑰來解密文件。

責(zé)任編輯：ct