Hvilket server hosting firma kan du anbefale?

Lucas - Hosting4Real:

Kasper Braun:

Kasper Bergholt:

Og samtidig med, at du er meget grundig og kritisk kører du pesonfølsomme oplysninger igennem CloudFlare? Det hænger bare ikke rigtigt sammen.

Det gør det idet forbindelsen er SSL-krypteret fra ende til anden.

Men husk nu på at de kan decrypte dataen :P

Siden er langt sikrere med CloudFlare end uden. Det kører over SSL fra brugeren til CloudFlare's servere, hvor de så behandler data (caching, osv.), og så er det krypteret videre via SSL fra CloudFlare til selve serveren.

Jeg er ikke 100% sikker, så jeg har spurgt Jesper Lund fra IT-Politisk forening. Ham mener, som jeg gør, at det er et problem ift. Datatilsynets regler for behandling af personfølsomme oplysninger.

Jeg har dog ikke tid -- eller lyst -- til at rejse problemstillingen direkte el. indirekte (fx via en it-poltiisk ordfører).

Det kan gå ud over for mange, og jeg har ikke lyst til at anmelde nogen.

Men jeg vil da anbefale dig at få godkendt setuppet.

Det skulle dog undre mig meget, når DS har sagt nej til fx Google Apps, hvor databehandleraftaler faktisk var på plads.

Hvem har I konsulteret på spørgsmål?

Og i hvilke(t) land(e) er jeres servere fysisk placeret? 

Kasper Braun:

Kasper Bergholt:

Kryptering ophæver ikke, som jeg læser Datatilsynets bekendtgørelser, kravet om en databehandleraftale. Særligt ikke, når det går igennem servere placeret i USA, underlagt US-lovgivning, herunder The Patriot Act.

Har du fået godkendt setuppet af Datatilsynet?

CloudFlare går gennem det nærmeste datacenter. Det vil for eksempel sige at her fra Danmark går det typisk igennem et datacenter i Sverige.

Vi har ikke fået det godkendt af datatilsynet, da vi fik at vide af nogle der havde styr på lovgivning, at det ikke var noget der var nødvendigt at gøre. Men hvis det er forkert skal vi selvfølgelig have kigget på det.

SSL (som teknisk set er erstattet af TLS) er et lag af kryptering til transport og kun transport.

Lad mig illustrere:

De gule er SSL/TLS.. Så længe data befinder sig i det røde område er de ikke krypterede og CloudFlare kan i princippet gøre med dem hvad de vil - se dem, modificere dem osv.  Det er klassisk MITM. 

Det er meget naivt at tro, at det giver end useren nogen form for sikkerhed i at dataintegriteten er sikret hele vejen fra origin serveren. 

Kasper Bergholt:

Jeg er ikke 100% sikker, så jeg har spurgt Jesper Lund fra IT-Politisk forening. Ham mener, som jeg gør, at det er et problem ift. Datatilsynets regler for behandling af personfølsomme oplysninger.

Jeg har dog ikke tid -- eller lyst -- til at rejse problemstillingen direkte el. indirekte (fx via en it-poltiisk ordfører).

Det kan gå ud over for mange, og jeg har ikke lyst til at anmelde nogen.

Men jeg vil da anbefale dig at få godkendt setuppet.

Det skulle dog undre mig meget, når DS har sagt nej til fx Google Apps, hvor databehandleraftaler faktisk var på plads.

Odense kommune fik tilladelse til at benytte Google Apps.

Kasper Bergholt:

Hvem har I konsulteret på spørgsmål?

Vi har konsulteret flere forskellige personer, men hvem det præcist er har jeg ikke lyst til at kommentere på. Meddelelsen fra dem var dog at da det ikke var offentlige virksomheder der var tiltænkte kunder skulle vi ikke have det - offentlige virksomheder måtte så bare ikke købe hos os.

Kasper Bergholt:

Og i hvilke(t) land(e) er jeres servere fysisk placeret?

Serveren der håndterer kundedata er i øjeblikket placeret i Manchester, England.

Kasper Braun:

Serveren der håndterer kundedata er i øjeblikket placeret i Manchester, England.

Men en traceroute af serveren peger til USA?

EDIT: Den peger til UK, men hvorfor placere resten af serverne i USA så?

Kasper Braun:

Lucas - Hosting4Real:

Kasper Braun:

Siden er langt sikrere med CloudFlare end uden. Det kører over SSL fra brugeren til CloudFlare's servere, hvor de så behandler data (caching, osv.), og så er det krypteret videre via SSL fra CloudFlare til selve serveren.

Du stopper en masse hacker angreb whatever ved at bruge cloudflare.

Men set på den anden side det her er hvad i gør:

Client <---SSL---> Cloudflare <---SSL---> Origin

Du kan allerede se problemet selv - Clienten sender og modtager data via SSL der køre over cloudflare, dvs i bruger et SSL placeret på deres servere.

De har alt mulighed for at læse dataen som bliver sendt fra klienten til jer, før de sender det videre, hvorimod hvis i var i direkte kontakt med klienten, så ville i have et 'hul' mindre.

Hvis i bruger deres shared SSL, så skal de decrypte dataen på deres servere, for at sende det videre under en encrypted forbindelse igen. - Så jeg ved ikke hvor meget mere sikkert det er.

Men det er jo op til jer hvordan i behandler jeres kunders data selvfølgelig! :) - men personligt ville jeg aldrig sende data som dette via et CDN. Om så de kunne læse det eller ej.

Kasper Braun:

CloudFlare går gennem det nærmeste datacenter. Det vil for eksempel sige at her fra Danmark går det typisk igennem et datacenter i Sverige.

Vi har ikke fået det godkendt af datatilsynet, da vi fik at vide af nogle der havde styr på lovgivning, at det ikke var noget der var nødvendigt at gøre. Men hvis det er forkert skal vi selvfølgelig have kigget på det.

Lad mig se.

Cloudflare tager ikke det nærmeste datacenter afstandmæssigt, men nærmere 'nærmeste' datacenter rent netværksmæssigt, de måler mængden af hops der er til klienten, og finder den hurtigste route ud fra en masse data de får ind, så de kan lige så godt gå til datacenteret i London, Paris, Frankfurt eller Amsterdam, helt baseret på hvad der er hurtigst.

EDIT: Frands var hurtigere end mig :p

Frands og Lucas, det er korrekt at de data teknisk set kan blive læst af CloudFlare. Men det hele går igennem automatiske processer. - De har rigtig, rigtig mange kunder. Sidst de skrev om det offentligt mener jeg nok de generede en million log-linjer per minut.

Og ligeså vel som de kan læse data - ja så kan vores hostingudbyder jo også gå ind og se vores kunders navne- og adresseoplysninger - hvis de vil.

Har du et link til omtale af, at Odense Kommune endelig har fået Datatilsynets tilladelse til at anvende Google Apps? Jeg kan kun finde nej'er og måske'er.