Политика без логов: что это значит на практике

Три разных типа логов, которые называют одним словом

Логи соединений — это метаданные сессии: какой аккаунт подключился, с какого исходного адреса, к какому узлу, в котором часу и сколько байт передал. Содержимого трафика в них нет, но по совокупности они позволяют сопоставить конкретного человека с конкретным временем и адресом. Для установления связи «пользователь — активность» этого обычно достаточно, поэтому именно такие записи представляют главный интерес.

Логи трафика — это уже содержимое или как минимум адреса назначения: какие домены запрашивались, какие сервисы использовались. Собирать их технически тяжело и дорого, объём растёт на терабайты в сутки, и на практике их не ведёт почти никто. Когда сервис заявляет «мы не храним логи трафика», это верное, но малосодержательное утверждение — важнее первый тип.

Платёжные и учётные записи существуют у любого сервиса, который берёт деньги. Дата, сумма, идентификатор транзакции. Обойтись без них нельзя: этого требуют и платёжный провайдер, и налоговый учёт. Честная формулировка звучит так: биллинг существует, он отделён от сетевой инфраструктуры, и связать платёж с сетевой активностью через него нельзя, потому что сетевой активности нигде не записано.

Что храним мы и по какой причине

Идентификатор подписки. Нужен, чтобы сервер мог проверить право на подключение и соблюсти лимит одновременных устройств — их три на любом тарифе. Хранится, пока действует подписка, и ещё 30 дней после — на случай возобновления, чтобы вам не пришлось перенастраивать устройства. Дальше запись удаляется вместе с привязками.

Дата и сумма платежа. Хранятся три года, потому что этого требует бухгалтерский учёт. Запись содержит идентификатор подписки и параметры транзакции, но не содержит ни адресов, ни локаций, ни времени подключений.

Агрегированные счётчики нагрузки. Каждая локация раз в 30 секунд сообщает, сколько сессий она обслуживает и какой объём трафика проходит. Эти цифры видны на странице статуса сети и используются для автоматического подбора узла. Индивидуальные данные в них не выделяются: это сумма по узлу, а не список участников.

Серверы без диска: как это устроено и что даёт

Узел загружается по сети, разворачивает систему в оперативную память и работает оттуда. Постоянного диска у него нет вовсе либо диск не используется для системных данных. Всё, что могло бы стать журналом, живёт в tmpfs и исчезает при перезагрузке — примерно так же, как содержимое буфера обмена после выключения компьютера.

Практическое следствие: физическое изъятие узла даёт мало. Как только машина теряет питание, состояние обнуляется — ни истории соединений, ни ключей сессий, ни конфигурации с чувствительными данными на носителе не остаётся. Восстанавливать нечего не потому, что данные хорошо спрятаны, а потому, что их нет.

Оговорка, которую редко проговаривают: пока узел работает, оперативная память содержит текущее состояние активных соединений. Это неизбежно — маршрутизировать пакеты, не зная, куда их отправлять, невозможно. Отличие в том, что это состояние существует секунды и не накапливается в журнал.

Что доказывает независимый аудит и чего он не доказывает

Аудит — это проверка конфигурации и процессов на конкретную дату. Аудитор получает доступ к серверам и коду, смотрит, включено ли журналирование, как настроено хранение, куда уходят метрики, и публикует отчёт. Хороший отчёт содержит перечень проверенного, методику и найденные замечания, а не одну страницу с печатью.

Границы у такой проверки понятные. Отчёт описывает состояние на момент проверки: конфигурацию можно изменить на следующий день. Аудитор проверяет то, что ему показали, — если часть инфраструктуры не вошла в область работ, о ней в отчёте ничего не будет. И аудит ничего не говорит о будущем поведении компании, о смене владельца или о юрисдикции.

Тем не менее разница между сервисом с публичным отчётом и сервисом без него существенная. Первый принял на себя внешнюю проверку и оставил документ, за который отвечает третья сторона. Второй просто написал абзац на сайте. Заявление без проверки — это заявление, и относиться к нему стоит соответственно, включая наше.

Честно: проверить обещание снаружи вы не можете

Со стороны пользователя доступа к серверу нет. Вы не видите конфигурацию журналирования, не знаете, какие метрики уходят наружу, не можете отличить узел без диска от узла с диском. Любое утверждение о логах — это доверие компании, а не проверяемый факт. Так устроена любая услуга, где инфраструктура находится на стороне поставщика.

Косвенные признаки всё же есть, и их стоит смотреть. Опубликованный отчёт независимого аудита с указанием методики. Наличие прозрачного отчёта о запросах и о том, что на них было отвечено. Отсутствие требования указывать имя и телефон при регистрации: данные, которых не собрали, невозможно передать. Внятная политика конфиденциальности, где перечислено, что хранится и сколько, а не общие слова о заботе о приватности.

Обратные признаки тоже показательны. Бесплатный сервис без подписки живёт на чём-то: чаще всего на продаже данных о поведении или на рекламе, и это прямо противоречит обещанию не собирать сведения. Отсутствие юридического лица и адреса означает, что предъявить претензию некому. Формулировки вида «мы храним минимальные технические данные» без расшифровки означают ровно то, что расшифровка вам не понравилась бы.