Google lancia "feature" che garantiscono "controlli sovrani"... (inclusa la cifratura "client-side")
Ho appena letto questo annuncio (del 04/05/2022): => "Announcing Sovereign Controls for Google Workspace" di Javier Solter, Vice President and General Manager, Google Workspace - https://cloud.google.com/blog/products/workspace/announcing-sovereign-contro... nel quale leggo che "/....//Today, we’re announcing Sovereign Controls for Google Workspace, which will provide digital sovereignty capabilities for organizations, both in the public and private sector, to control, limit, and monitor transfers of data to and from the EU starting at the end of 2022, with additional capabilities delivered throughout 2023..../" Google, quindi, strizza l'occhio all'EU e fa un passo avanti dicendo: "/Ok, cara EU! Utilizzateci tranquillamente... dato che restererete 'sovrani' dri vostri dati, esattamente come desiderate/". Rispetto alla crittografia, leggo anche: "/...This commitment builds on our existing Client-side encryption, Data regions, and Access Controls capabilities..../" Quel "Client-side encryption" mi ha incuriosito e... ho cercato di approfondire. Scopro che sarebbe una "feature" gia' disponibile da tempo [*]: -------- /Google Workspace already uses the latest cryptographic standards to encrypt all data at rest and in transit between our facilities. We’re taking this a step further by giving customers direct control of encryption keys and the identity service they choose to access those keys. With Client-side encryption, customer data is indecipherable to Google, while users can continue to take advantage of Google’s native web-based collaboration, access content on mobile devices, and share encrypted files externally.../ -------- Ho anche capito che questa gestione "client-side" della chiave di cifratura è, di fatto, possibile _A_CONDIZIONE_ di utilizzare determinati servizi: "/enabling Client-side encryption requires you to choose a key access service partner: Flowcrypt, Fortanix, Futurex, Thales, or Virtru. Each of these partners have built tools in accordance with Google’s specifications and provide both key management and access control capabilities. /" ....ed allora mi si confondono le idee. Come faccio a gestire "client-side" la chiave, se questa gestione deve passare per un terzo? Ripeto: ho le idee confuse... Forse con il dire: "/With Client-side encryption, customer data is indecipherable to Google/" intendono che tali dati restano inaccessibili a loro (Google), ma comunque accessibili a chi detiene le chiavi (il partner terzo)? ...non capisco. Il punto che vorrei sollevare in questa sede, pero', è un altro: credo occorra fare un po' di chiarezza su questo punto, capendo esattamente cosa viene proposto e argomentando la discussione affinche' i decision-maker possano (...ammesso che lo vogliano) comparare cio' che dice Google rispetto a cio' che interessa veramente (in termini di "Sovranita' Digitale"). Insomma: se non si fa nulla.... scommetto che tutti (i decision-maker) si fermeranno al titolo e diranno: "/Oh! Finalmente abbiamo risolto. Procediamo a spron battuto, ora, con la migrazione totale dei servizi.... D'altronde loro sono compliant!/" Bye, DV [*] https://cloud.google.com/blog/products/workspace/new-google-workspace-securi... -- Damiano Verzulli e-mail:damiano@verzulli.it --- possible?ok:while(!possible){open_mindedness++} --- "...I realized that free software would not generate the kind of income that was needed. Maybe in USA or Europe, you may be able to get a well paying job as a free software developer, but not here [in Africa]..." -- Guido Sohne - 1973-2008 http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html
Buongiorno Damiano, Damiano Verzulli <damiano@verzulli.it> writes: [...]
Ho anche capito che questa gestione "client-side" della chiave di cifratura è, di fatto, possibile _A_CONDIZIONE_ di utilizzare determinati servizi
eh già, molti utenti non sono capaci di: 1. creare una coppia di chiavi pubblica/privata in autonomia su un dispositivo di cui si fidano 2. gestire in autonomia la ditribuzione della tua chiave pubblica/privata sui propri dispositivi Io Google (et al) li capisco anche: devono rendere la vita facile a chiunque, mica possono perdere /consumatori/ solo perché non sono in grado di fare quanto sopra!?!
"/enabling Client-side encryption requires you to choose a key access service partner: Flowcrypt, Fortanix, Futurex, Thales, or Virtru. Each of these partners have built tools in accordance with Google’s specifications and provide both key management and access control capabilities. /"
Ecco appunto: le chiavi te le /creano/ e gestiscono loro, tu devi limitarti a superare il controllo di accesso... magari con SPID B-)
....ed allora mi si confondono le idee. Come faccio a gestire "client-side" la chiave, se questa gestione deve passare per un terzo?
Il trucchetto narrativo è semplice, mi pare: loro mica pretendono che tu ti gestisca le tue chiavi client-side, ti dicono che i tuoi dati sono crittografati client-side con chiavi /fornite e gestite da terzi/... e così ti illudono che i tuoi dati sono al sicuro /client-side/, mentre /server-side/ magari /qualcuno/ riesce a ottenere le tue chiavi e magari aggiungerci le proprie... nel caso tu le voglia sostituire Una volta che capisci bene il giro del fumo la cosa fa ridere :-D
Ripeto: ho le idee confuse... Forse con il dire: "/With Client-side encryption, customer data is indecipherable to Google/" intendono che tali dati restano inaccessibili a loro (Google), ma comunque accessibili a chi detiene le chiavi (il partner terzo)? ...non capisco.
Io ho l'impressione che tu abbia capito benissimo ;-)
Il punto che vorrei sollevare in questa sede, pero', è un altro: credo occorra fare un po' di chiarezza su questo punto, capendo esattamente cosa viene proposto e argomentando la discussione affinche' i decision-maker possano (...ammesso che lo vogliano) comparare cio' che dice Google rispetto a cio' che interessa veramente (in termini di "Sovranita' Digitale").
Forrest Gump dice: «Sovrano è chi sovrano fa» Chiunque fornisca a terzi la gestione delle proprie chiavi sta fornendo loro anche la gestione dei propri dati; una cosa del genere va bene solo in contesti /estrememante/ fidati e ben circoscritti, come nel caso di un sistemista che si occupa di sicurezza dei dati per la propria azienda... o per la propria famiglia [...] Saluti, 380° P.S.: tempo fa alla radio sentivo una "striscia" satirica in cui l'autore si divertiva a descrivere i lavori più strampalati che ci si poteva inventare, tipo "obliteratore di biglietti conto terzi"; qui siamo al "gestore di chiavi inutili conto terzi" -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.
participants (2)
-
380° -
Damiano Verzulli