«За 500 миллионов евро мы развернули бы независимый экземпляр Tuta Drive на инфраструктуре BND — с шифрованием, устойчивым к квантовым атакам».
Чтобы ускорить обмен секретной информацией, Федеральная разведывательная служба Германии (Bundesnachrichtendienst, BND), Федеральное управление по защите конституции (Bundesamt für Verfassungsschutz, BfV) и Военная контрразведывательная служба (Militärischer Abschirmdienst, MAD) планируют создать совместную облачную систему — при участии компании Google. Как это скажется на цифровом суверенитете?
Как сообщает «Tagesschau», Федеральная разведывательная служба Германии (BND) намерена выплатить компании Google 500 миллионов евро за хранение информации, относящейся к категории «строго секретно». Источник.
Мы в Tuta потрясены этой новостью. Честно говоря, за 500 миллионов евро мы бы развернули независимый экземпляр Tuta Drive на инфраструктуре BND — с квантово-устойчивым шифрованием. Гибридный протокол шифрования Tuta гарантирует, что все данные передаются с сквозным шифрованием, так что никакие третьи стороны — даже мы в Tuta (не говоря уже о Google) — не смогут получить доступ к этой строго секретной информации. Кроме того, код является открытым и может быть проверен кем угодно, что гарантирует отсутствие «бэкдоров». Когда власти говорят о цифровом суверенитете, они должны подкреплять свои слова действиями — а не вновь попадать в ловушку крупных технологических компаний».
Оценка безопасности: высокий риск
NDR и WDR сообщают, что облако будет основано на Google Distributed Cloud (GDC), а именно на так называемой версии с «воздушным зазором». Эта система будет работать автономно и не будет иметь прямого подключения к Google или Интернету. Вместо этого данные должны храниться в Германии в рамках отдельной, специально защищенной ИТ-сети. Однако, как отмечает Свен Херпиг, руководитель отдела кибербезопасности и новых угроз в Interface — независимой организации, объединяющей ИТ-специалистов и экспертов по кибербезопасности, — проблема заключается в «каждом обновлении Google». Хотя на момент запуска система будет тщательно проверена и надлежащим образом защищена, каждое обновление вносит изменения в эту систему, а эти обновления осуществляются Google. Херпиг говорит: «Это, в свою очередь, поднимает вопрос: насколько значительными должны быть изменения, чтобы обновленная версия требовала повторной оценки и повторного одобрения?»
Также остаётся неясным, придётся ли в конечном итоге обслуживать и эксплуатировать «изолированную» облачную инфраструктуру на месте сотрудникам Google, как это происходит, например, с системами Palantir в Гессене или Баварии.
Решение о покупке Google Cloud подвергает риску конфиденциальные данные. Кроме того, возникает вопрос о независимости: что, если Google решит (или под давлением правительства США) включить в обновление скрытый бэкдор? Что произойдет, если правительство США прикажет Alphabet передать определенные данные в соответствии с американским законом CLOUD Act, законом FISA или Указом № 123333? Отклонит ли Alphabet запрос правительства США или передаст немецкие данные?
Этот риск по-прежнему актуален и реальен, и, учитывая ценность конфиденциальной информации, его следует классифицировать как высокий.
Кто-нибудь за цифровой суверенитет?
И, наконец, к чему это приводит Германию в вопросе цифрового суверенитета? Это всего лишь пустые слова? Вместо того чтобы последовательно реализовывать цель цифрового суверенитета — по крайней мере в сфере внутренней безопасности — федеральное правительство Германии впадает в очередную зависимость и полагается на заверения американского гипермасштабируемого провайдера Google.
Но сейчас есть шанс поддержать и создать европейские альтернативы, и власти должны показать пример! Выбор Google вместо немецких провайдеров — это худшее из возможных решений, которое BND могло принять в данном случае.