I november ble det kjent at Microsoft i løpet av 2016 skal åpne to datasentre, i Frankfurt am Main og Magdeburg, hvor selskapet skal tilby nettskytjenester som i utgangspunktet vil være helt utilgjengelige for innsyn fra amerikanske myndigheter, til tross for at Microsoft er et amerikansk selskap.
Nå har Microsoft kommet med flere detaljer om dette.
Aldri uten eskorte
Som tidligere kjent vil tilgangen til innsyn i dataene som lagres i disse datasenterne, bli kontrollert av en uavhengig dataforvalter. I praksis er det T-Systems, et datterselskap av Deutsche Telekom, som vi få denne rollen.
_logo.svg.png){kind=logo}
I denne ordningen vil Microsoft i utgangspunktet ikke ha noen rettigheter til å kunne aksessere kundedata. Teknikere i selskapet skal likevel kunne søke dataforvalteren om midlertidig tilgang, for eksempel i forbindelse med en supporthenvendelse.
Da vil dataforvalteren kunne gi tilgang til et spesifikt område i en begrenset periode. Når den angitte perioden er over, vil tilgangen automatisk oppheves.
All slik midlertidig tilgang vil bli logget. Dessuten skal tilgangen skje under «eskorte» fra dataforvalteren, som hele tiden vil kunne følge med på hva teknikeren gjør.
Alle tilgangsrettigheter vil bli håndtert av en rollebasert aksessmodell kalt for RBAC. Denne gjelder også fysisk tilgang til datasenterne, hvor også alle besøk fra Microsoft eller underleverandører vil måtte godkjennes av dataforvalteren. Også i slike tilfeller vil de besøkende bli ledsaget av en representant for dataforvalteren.
Ingen av dataene vil bli lagret noe annet sted enn i de to tyske datasenter. Overføringen av data mellom de to datasenterne, eller regionene som kalles for Germany Central og Germany Northeast, vil skje via en dedikert forbindelse fra en tysk leverandør. Dette skal sikre at dataene ikke rutes ut av Tyskland ved en feiltakelse.
Ruting til riktig datasenter
Den eneste forbindelsen de to datasenterne har med resten av Microsoft Azure, en slags tabell som gjør det mulig for den globale Azure-løsningen å vite hvilken region kundens abonnement hører hjemme i, slik at nettlesere og lignende kan rutes til riktig datasenter.
Denne tabellen vil ikke inneholde data som er knyttet til noen enkeltbruker. Rutingen skjer kun ved å ta utgangpunkt i domenedelen av brukernavnet.
Dersom brukernavnet er «max@contoso.de», vil løsningen slå opp «contoso.de» og finne ut at dette domenet hører hjemme i Tyskland. Omdirigeringen til den tilhørende, tyske regionen vil skjer allerede før brukeren taster inn passordet.
Alle de egentlige brukerdataene blir kun lagret i Azure Active Directory (AAD) i ved de to kommende datasenterne.
Det skal heller ikke være mulig for Microsoft å avlytte trafikken ved å opprette et nytt sikkerhetssertifikat. Alle slike sertifikater knyttet til Microsoft Cloud i Tyskland er overlatt til en ekstern sertifiseringsmyndighet (CA). Det vil si at alle nye sertifikater som utstedes i tilknytning til disse tjenestene, vil måtte godkjennes av den eksterne sertifiseringsmyndigheten.
Selv om dette nok lyder ganske overbevisende, er det fortsatt ikke gitt at amerikanske myndigheter vil slå seg til ro med at dette er data de ikke kan få tilgang til. Sannsynligheten er høy for at Microsoft før eller senere vil måtte forsvare denne ordningen gjennom en lang rettsprosess.
