A KPMG afirmou que o DNS do Cloudflare passou na auditoria de privacidade, apesar dos problemas encontrados. Confira os detalhes dessa auditoria!
Após o lançamento do serviço DNS 1.1.1.1 em 2018, as pessoas ficaram preocupadas com o fato de o Cloudflare estar utilizando os dados recebidos do uso de seus resolvedores DNS como uma moeda que poderia ser vendida a terceiros ou enriquecer a empresa de alguma forma.
Sem dúvida, ter grande quantidade de dados sobre os sites visitados pelas pessoas seria benéfico, a Cloudflare sempre afirmou que eles colocam a privacidade em primeiro lugar ao projetar seu serviço 1.1.1.1 limpando logs em 24 horas e nunca escrevendo o endereço IP completo dos usuários nos logs .
“Começamos a conversar com os fabricantes de navegadores sobre o que eles gostariam de um resolvedor de DNS. Uma palavra continuava aparecendo: privacidade. Além do compromisso de não usar dados de navegação para ajudar a direcionar anúncios, eles queriam garantir que limpássemos todos os logs de transações. dentro de uma semana. Essa foi uma solicitação fácil. De fato, sabíamos que poderíamos ir muito além. Comprometemo-nos a nunca gravar os endereços IP de consulta no disco e limpar todos os logs em 24 horas.
Mesmo com essas promessas, com as grandes porções da Internet já utilizando seus serviços, os usuários ainda estavam preocupados com a enorme quantidade de dados sendo alimentados no Cloudflare.
Isso foi ainda mais agravado quando o Cloudflare se tornou o resolvedor de DNS padrão no Firefox para a implementação de DNS-over-HTTPS (DNS sobre HTTPS) do navegador.
Para aliviar as preocupações do usuário, a Cloudflare contratou uma empresa de auditoria independente, a KPMG, para realizar uma auditoria de privacidade do serviço DNS 1.1.1.1.
Agora, o Cloudflare divulgou os resultados de uma auditoria de privacidade do serviço DNS 1.1.1.1 que faz backup da declaração do Cloudflare sobre como os dados da consulta DNS estão sendo armazenados e coletados em seus servidores.
DNS do Cloudflare passou na auditoria de privacidade, apesar dos problemas
Sim. A Cloudflare publicou os resultados da auditoria da KPMG e, embora a auditoria tenha mostrado que a Cloudflare está mantendo sua palavra sobre como lida com os dados do usuário, houve alguns problemas descobertos que exigiam alterações nas divulgações de privacidade da Cloudflare.
Por exemplo, o Cloudflare afirmou originalmente que nenhum endereço IP de consulta é gravado no disco.
A auditoria da KPMG, no entanto, descobriu que a implementação de monitoramento em toda a rede do Cloudflare Netflow/Sflow manteria “0,05% de todos os pacotes” passando pela rede, incluindo os endereços IP das consultas DNS.
Em um post do blog da Cloudflare, John Graham-Cumming, CTO da Cloudflare, afirmou que:
“Queremos ser totalmente transparentes e, durante o exame, descobrimos que nossos roteadores capturam aleatoriamente até 0,05% de todas as solicitações que passam por eles, incluindo o endereço IP de consulta dos usuários do resolvedor. Fazemos isso separadamente do serviço 1.1.1.1 para todo o tráfego que passa em nossa rede e mantemos esses dados por um período limitado de tempo para uso em conexão com a solução de problemas de rede e atenuação de ataques de negação de serviço.”
O Cloudflare também afirmou que todos os logs foram limpos dentro de 24 horas, mas a auditoria revelou que os logs são limpos dentro de 25 horas e que alguns dados anônimos são mantidos indefinidamente.
De acordo com a auditoria da KPMG, apesar de alguns problemas encontrados, o Cloudflare foi configurado para suportar os compromissos públicos com a privacidade.
Em sua auditoria, a KPMG declarou:
“Em nossa opinião, a afirmação da gerência de que o resolvedor de DNS público 1.1.1.1 foi efetivamente configurado para apoiar a consecução dos compromissos de resolvedor público do Cloudflare para o período de 1 de fevereiro de 2019 a 31 de outubro de 2019, com base nos critérios acima, é razoavelmente declarada , em todos os aspectos relevantes.”
Os principais pontos compartilhados pela auditoria da KPMG são:
- Os dados públicos do resolvedor são anonimizados via truncamento do IP de origem (truncamento do último octeto para IPv4 e dos últimos 80 bits para IPv6).
- Os dados do resolvedor público (incluindo IPs de origem anonimizados) são excluídos da plataforma de processamento de fluxo em 25 horas.
- Os registros públicos de resolvedores são excluídos do data warehouse da Cloudflare dentro de 25 horas por meio de configurações de retenção na tabela do banco de dados que armazena os registros públicos de resolvedores.
- Os roteadores de borda implementados nos data centers de colocation são configurados para registrar uma amostra dos dados de log do Netflow/Sflow a uma taxa de amostragem de não mais que 0,05% de todos os pacotes.
- Os roteadores de borda implementados nos data centers de colocation são configurados para rotear apenas o tráfego das portas 80, 443, 853 e 53 para o resolvedor público.
- O Syslog não está ativado nos roteadores de borda implementados nos datacenters de colocation para solicitações aceitas do Public Resolver.
- As configurações do sistema que suportam o resolvedor público foram aplicadas de maneira consistente no período de 1 de fevereiro de 2019 a 31 de outubro de 2019.
- As informações de carga útil do DNS são descartadas dos dados de log de amostra do Netflow / Sflow antes de serem armazenados no armazém de dados do Cloudflare.
- Os dados de log de amostra do Netflow/Sflow são excluídos do data warehouse do Cloudflare dentro de 60 dias.
- O acesso externo aos logs públicos de resolvedores anônimos no data warehouse do Cloudflare é restrito ao APNIC por meio de uma chave de acesso API autorizada exclusiva.
Para os problemas descobertos, o Cloudflare atualizou seus compromissos de privacidade para refletir os resultados dessa auditoria e incluir linguagem que explica como alguns dados podem ser retidos devido ao monitoramento da rede.
A auditoria de privacidade completa do Cloudflare KPMG pode ser lida nesse endereço.
- Como instalar o driver para o controle do Xbox no Ubuntu
- Como instalar o NeoGeo Pocket Emulator no Linux via Snap
- Como instalar o jogo Space Station 14 no Linux via Flatpak
- Como habilitar o repositório Games no openSUSE
