Digital suverænitet kan betyde mange forskellige ting, alt efter hvem du taler med.
For nogle betyder det blot, at bede om at blive flyttet til amerikanske cloud-leverandørers europæisk-placerede servere.
For andre betyder det, at skifte væk fra eksempelvis Microsoft Office og i stedet bruge alternativer som LibreOffice eller NextCloud. Andre igen flytter deres egen-udviklede systemer fra eksempelvis Amazon AWS til Europæiske udbydere, og så fremdeles.
Alt sammen forskellige trin på den kontinuerlige rejse mod et højt niveau af digital suverænitet.
Men mange overser de certifikater, der krypterer og derved beskytter kommunikationen mellem vores servere og deres brugere.
Opsummering
Hos Librelab benytter vi fremover udelukkende europæisk udstedte TLS-certifikater.
Den primære årsag er, at vi ikke ønsker kommunikationen mellem vores servere og deres brugere, krypteret med et certikat udstedt af en organisation underlagt amerikansk jurisdiktion.
Sekundært ønsker vi at støtte det europæiske tech-industri.
Eksempelvis er vi begyndt udelukkende at benytte automatisk udstedelse af TLS-certifikater fra italienske Actalis S.p.A., hvor vi tidligere har benyttet Let’s Encrypt.
Problemet
De fleste TLS-certifikater udstedes af amerikanske udbydere, og det udgør en risiko for din digitale suverænitet. Certifikaterne findes primært i to typer:
- OV-certifikater (Organization Validation) verificerer, at den organisation, der anmoder om certifikatet, rent faktisk er den, den udgiver sig for at være. Denne proces kræver manuel validering, tager længere tid og er dyrere.
- DV-certifikater (Domain Validation) verificerer blot, at ansøgeren kontrollerer det pågældende domæne. Disse certifikater udstedes automatisk og hurtigt, hvilket gør dem populære, men også sårbare over for misbrug, hvis dit domæne eller DNS ikke er korrekt sikret.
DV-certifikater er sikre, forudsat at dit domæne og DNS-udbyder er beskyttet mod uautoriseret adgang. Hvis en angriber kaprer dit domæne eller DNS, kan de udstede et gyldigt certifikat, og opsætte en falsk server til at aflytte kommunikationen via et såkaldt Man-in-the-Middle-angreb.
Men selv med et korrekt sikret system forbliver trafikken ikke fuldstændig beskyttet, hvis du bruger amerikanske certifikater. US Cloud Act giver amerikanske myndigheder ret til at kræve adgang til certifikatoplysninger, metadata og visse logfiler, herunder domænenavne, IP-adresser og tidspunkter for kommunikation. Dette betyder, at amerikanske myndigheder uden din viden kan få indsigt i, hvem du kommunikerer med, og hvornår, selvom indholdet af kommunikationen forbliver krypteret.
Let’s Encrypt
Let’s Encrypt er en amerikansk non-profit-organisation, der udfører automatiseret udstedelse af DV-certifikater.
Da de er amerikanske, er de også underlagt amerikansk lovgivning.
Benytter man både amerikanske servere og amerikansk DNS (eksempelvis Azure eller AWS) og samtidig får udstedt certifikater fra Let’s Encrypt, er man teoretisk set i risiko, som beskrevet ovenfor.
Et godt eksempel fra Danmark er Danmarks Radio, der benytter Let’s Encrypt og bruger amerikanske Akamai til at udfylde mange af deres behov, inklusiv DNS:
Hvad kan man gøre?
Ønsker man at minimere sine brugeres risiko for aflytning, skal man flytte til europæisk ejede, kontrollerede og lokaliserede servere, benytte europæisk DNS, og benytte europæisk udstedte certifikater.
Specielt hvis man benytter DV-certifikater, er dette vigtigt.
Selv små skridt, som at flytte til europæiske servere, er bedre end ingen handling overhovedet. At flytte til europæisk ejede, kontrollerede og lokaliserede servere, er det væsentligste skridt, men uden kontrol over DNS og derved automatisk udstedte certifikater, får man ikke fuld valuta for pengene.
Hvad vi gør hos Librelab
Hos Librelab har vi mange systemer, der alle kører på europæisk ejede, kontrollerede og lokaliserede servere.
Nogle af dem er hostede hos eksempelvis Hetzner, der ikke umiddelbart tillader, at vi selv bestemmer hvor certifikater udstedes fra.
Denne hjemmeside er et eksempel herpå. Den ligger på en europæiske service, der tilbyder certifikater fra Let’s Encrypt og Digicert (sidstnævnte er hvad vi pt. benytter).
Vores interne- og kundevendte systemer kører på servere, på hvilke vi er ved at migrere fra certifikater fra Let’s Encrypt til italienske Actalis S.p.A. De er en af de få europæiske udbydere der, ligesom Let’s Encrypt, tilbyder automatisk udstedelse af DV-certifikater.
De første services benytter allerede disse nye certifikater, og vi glæder os til at have migreret alle vores tjenester til at benytte disse.
Der findes naturligvis andre europæiske certifikat-udstedere end Actalis. Eksempelvis tyske D-TRUST og polske Certum, men umiddelbart er det kun Actalis der tilbyder automatisk udstedelse af DV-certifikater, 100% underlagt EU’s lovgivning.
✅Tjekliste
Hvis du vil sikre din digitale suverænitet, og derved også kommunikationen mellem dine servere og dem der benytter dem, er her en tjekliste du kan følge:
- Flyt til europæiske servere – husk både ejerskab, kontrol og geografisk lokalisering (f.eks. Hetzner, OVH, DeiC, DTU Computerome osv.)
- Benyt europæisk DNS (f.eks. One.com, Hetzner)
- Skift til europæisk udstedte certifikater (f.eks. Actalis, D-TRUST m.fl.)
- Valider regelmæssigt, at dine domæner og DNS-indstillinger er sikre.
Hos Librelab hjælper vi organisationer med at opnå højere grad af digital suverænitet. 📧Kontakt os for en uforpligtende snak om, hvordan vi kan hjælpe dig med, at reducere afhængigheden af ikke-europæiske tech-giganter, og styrke din databeskyttelse.
Skriv et svar