Synchronizacja to nie kopia zapasowa. Jeden błąd może dotrzeć na wszystkie urządzenia

Pytanie "czy masz kopię zapasową?" bardzo często dostaje odpowiedź "tak, wszystko mam w chmurze". To dwie różne rzeczy i różnica ujawnia się dopiero w momencie, w którym coś pójdzie źle - a wtedy jest już za późno na jej odkrywanie.

Mechanizm jest prosty i właśnie dlatego bywa pomijany. Synchronizacja ma jedno zadanie: doprowadzić wszystkie urządzenia do tego samego stanu. Jest w tym całkowicie neutralna. Nie ocenia, czy zmiana była zamierzona. Skasowanie katalogu, nadpisanie pliku pustą wersją, zaszyfrowanie zawartości przez złośliwe oprogramowanie - to wszystko są zwyczajne zmiany, które usługa ma obowiązek rozpropagować. Kopia zapasowa robi coś przeciwnego: przechowuje stan z przeszłości i nie pozwala teraźniejszości go nadpisać.

Poniżej próba pokazania, gdzie dokładnie przebiega ta granica, na czym polega mechanizm okna czasowego, który zamienia usługę synchronizacji w coś na kształt kopii, oraz dlaczego to okno jest znacznie węższe, niż większość osób zakłada.

Cztery różnice, które decydują o wszystkim

Zamiast wyliczać funkcje poszczególnych usług, warto wyodrębnić cechy, które w ogóle odróżniają jeden mechanizm od drugiego. Są cztery.

Kierunek propagacji. Synchronizacja rozsyła każdą zmianę. Kopia zapasowa przyjmuje dane w jedną stronę i nie odsyła ich z powrotem do źródła, dopóki ktoś świadomie nie zażąda odtworzenia. To jest różnica pierwotna, z której wynikają wszystkie pozostałe.

Retencja. Kopia zapasowa istnieje po to, żeby przechować stan sprzed pewnego czasu. Synchronizacja z definicji przechowuje stan bieżący, a historia jest w niej funkcją dodatkową, ograniczoną liczbą dni albo liczbą wersji.

Niezależność od konta. Kopia zapasowa jest odporna na utratę dostępu do systemu, który zabezpiecza. Dane synchronizowane żyją i umierają razem z kontem, przez które są synchronizowane.

Sprawdzalność odtworzenia. Kopia zapasowa jest twierdzeniem, które można przetestować: albo da się z niej odzyskać plik sprzed tygodnia, albo nie. Działająca synchronizacja nie mówi nic o tym, czy da się cofnąć czas.

Usługi konsumenckie spełniają część tych warunków częściowo. I dokładnie ta częściowość jest źródłem nieporozumienia - bo funkcja kosza i historii wersji faktycznie kilka razy uratuje sytuację, co wystarczy, żeby uznać sprawę za załatwioną.

Retencja: gdzie kończy się okno ratunkowe

Warto zebrać w jednym miejscu to, co dostawcy sami deklarują, bo dopiero zestawienie pokazuje skalę.

W OneDrive na koncie prywatnym elementy z kosza są usuwane automatycznie 30 dni po tym, jak tam trafiły; na koncie służbowym albo szkolnym jest to 93 dni, o ile administrator nie zmienił ustawienia. (Restore deleted files or folders in OneDrive - Microsoft) Microsoft zastrzega przy tym warunek, który skraca to okno wielokrotnie: gdy kosz jest pełny, najstarsze elementy są kasowane już po trzech dniach. (Delete, purge or restore files from your OneDrive using the OneDrive mobile app - Microsoft) Osobna funkcja "Restore your OneDrive", dostępna dla abonentów Microsoft 365, pozwala cofnąć wszystkie operacje z ostatnich 30 dni - i ma bardzo istotne zastrzeżenie: plik trwale usunięty z kosza nie może zostać odzyskany nigdy. (Restore your OneDrive - Microsoft)

W Dysku Google pliki przeniesione do kosza są usuwane bezpowrotnie po 30 dniach, a opróżnienie kosza kasuje je od razu. (Delete files in Google Drive - Google)

W Dropboksie zakres historii wersji zależy wprost od planu: 30 dni dla Basic, Plus i Family, 180 dni dla planów Professional, Essentials, Business i Standard, 365 dni dla Business Plus, Advanced i Enterprise. Producent dodaje dwie rzeczy, które w praktyce ważą więcej niż same liczby. Po pierwsze, nie da się przywrócić poprzednich wersji plików trwale usuniętych. Po drugie, wykupienie dłuższej historii nie działa wstecz - po przejściu z planu 30-dniowego na 180-dniowy pełne okno 180 dni jest dostępne dopiero po 150 dniach od zmiany. Dropbox oferuje osobno płatne rozszerzenie historii wersji, więc powyższe wartości są domyślne dla planu, a nie maksymalne możliwe. (Dropbox version history overview - Dropbox)

Z tego zestawienia płynie wniosek, który trudno obejść: w usługach konsumenckich domyślne okno ratunkowe to zwykle miesiąc. Miesiąc wystarcza na wykrycie kasowania, które ktoś zauważył. Nie wystarcza na wykrycie uszkodzenia, którego nikt nie zauważył - a to jest najczęstszy scenariusz przy zdjęciach, archiwach i plikach otwieranych raz na kwartał. Plik uszkodzony w marcu i otwarty w czerwcu nie ma już żadnej dobrej wersji w systemie, który miał go chronić.

Drugi wniosek dotyczy słowa "trwale". We wszystkich trzech przypadkach opróżnienie kosza jest operacją nieodwracalną. Ta operacja jest jednocześnie tym, co użytkownik wykonuje odruchowo, żeby zwolnić miejsce, gdy usługa zaczyna zgłaszać brak przestrzeni. Mechanizm ochronny znika więc dokładnie w chwili, w której na koncie robi się ciasno - czyli w momencie zwiększonego ryzyka pomyłki. Nie jest to wyłącznie kwestia odruchu użytkownika: przywołany wyżej warunek trzech dni dla pełnego kosza OneDrive opisuje ten sam mechanizm po stronie usługi, tyle że wykonywany automatycznie.

Ransomware: dowód leży w instrukcji odzyskiwania

Najlepszy argument za tym, że synchronizacja nie jest kopią zapasową, dostarczają nie krytycy chmury, tylko sami dostawcy - w procedurach, które napisali na wypadek ataku.

Microsoft opisuje odzyskiwanie plików po ataku ransomware jako sekwencję trzech kroków, które trzeba wykonać w kolejności: potwierdzić, że pliki rzeczywiście są zainfekowane, wyczyścić wszystkie urządzenia korzystające z OneDrive, a dopiero potem przywrócić zawartość. Uzasadnienie jest podane wprost: bez wyczyszczenia urządzeń pliki mogą zostać zaszyfrowane ponownie zaraz po przywróceniu. Sama detekcja i prowadzone odzyskiwanie są przy tym elementem Microsoft 365; bez abonamentu przysługuje jedno darmowe powiadomienie i jedno odzyskanie. (How to detect ransomware and recover files using OneDrive - Microsoft)

To zdanie opisuje istotę problemu lepiej niż jakakolwiek definicja. W układzie synchronizowanym odtworzenie danych nie kończy incydentu, bo kanał, którym szkoda dotarła do chmury, nadal działa i nadal jest dwukierunkowy. Odtworzenie trzeba wykonać dopiero po zamknięciu tego kanału. Przy klasycznej kopii zapasowej ten warunek też jest rozsądny, ale nie jest konstrukcyjnie konieczny - nośnik odłączony od komputera nie ma jak zostać nadpisany przez to, co dzieje się na komputerze.

Tę samą myśl formułują agencje bezpieczeństwa, choć w innym kontekście. Poradnik #StopRansomware, opracowany wspólnie przez CISA, MS-ISAC, NSA i FBI, zaczyna listę praktyk przygotowawczych od utrzymywania offline'owych, szyfrowanych kopii danych krytycznych i regularnego testowania ich dostępności oraz integralności. Uzasadnienie jest identyczne co do mechanizmu: wiele odmian ransomware celowo szuka kopii, do których ma dostęp, żeby je skasować albo zaszyfrować i uniemożliwić odtworzenie. (#StopRansomware Guide - CISA) W części dotyczącej środowisk chmurowych ten sam dokument zaleca włączanie ochrony przed usunięciem albo blokady obiektów tam, gdzie usługa to umożliwia, żeby dane nie mogły zostać skasowane ani nadpisane, oraz włączanie wersjonowania jako osobnej warstwy. (#StopRansomware Guide - CISA)

Poradnik stawia warunek wprost i bezwarunkowo: kopie mają być utrzymywane offline. Uzasadnia to tym, że wiele odmian ransomware szuka kopii, do których ma dostęp. Warto zauważyć, dokąd prowadzi samo to uzasadnienie, jeśli potraktować je osobno - jest to bowiem praktyczne pytanie, które czytelnik może sobie zadać: czy proces działający na zainfekowanym komputerze może kopię zmodyfikować? Dysk zewnętrzny podpięty na stałe kablem USB tego warunku nie spełnia, mimo że leży w domu. Katalog synchronizowany oznaczony jako "backup" też nie. To jest jednak kryterium autorskie, wyprowadzone z uzasadnienia, a nie zamiennik wymogu stawianego przez poradnik.

Zalecenia chmurowe - blokada obiektów, ochrona przed usunięciem, wersjonowanie - są w tym samym dokumencie osobną warstwą dla środowisk chmurowych, dokładaną do kopii offline, a nie jej zamiennikiem. Dokument w tej samej sekcji nadal mówi o kopiach offline albo cloud-to-cloud jako o odrębnej praktyce, a o niezmienialnej przestrzeni w chmurze pisze z wyraźnym zastrzeżeniem, żeby korzystać z niej ostrożnie. (#StopRansomware Guide - CISA) Dla czytelnika konsumenckiego ma to konsekwencję praktyczną: żadna z trzech opisanych wyżej usług konsumenckich blokady obiektów użytkownikowi nie udostępnia, więc kopia w usłudze, w której konto jest zalogowane na tym komputerze, nie zastępuje kopii odłączonej.

Trzecie ryzyko: konto, a nie plik

Retencja i ransomware to dwa najczęściej omawiane zagrożenia. Jest jeszcze trzecie, jakościowo inne, bo nie dotyczy pojedynczego pliku, tylko całego zbioru naraz.

Kopia synchronizowana jest przypisana do konta, a konto podlega zasadom, które przewidują usunięcie zawartości niezależnie od tego, czy właściciel popełnił jakikolwiek błąd techniczny.

Microsoft opisuje to dla OneDrive wprost: po przekroczeniu limitu pojemności nie da się już wysyłać, edytować ani synchronizować plików, a dotychczasowe pliki stają się tylko do odczytu - i po sześciu miesiącach przekroczonego limitu pliki mogą zostać usunięte, a raz usunięte są nieodzyskiwalne. (My OneDrive says it's full - Microsoft)

Google stosuje analogiczną zasadę z dłuższym terminem: przy przekroczeniu limitu przez dwa lata lub dłużej cała zawartość konta - Gmail, Zdjęcia, Dysk i kopia zapasowa urządzenia z Androidem - może zostać usunięta, przy czym producent deklaruje powiadomienie z co najmniej trzymiesięcznym wyprzedzeniem i możliwość pobrania danych. (How your Google storage works - Google) Osobno działa polityka nieaktywnych kont: konto nieużywane przez dwa lata jest uznawane za nieaktywne, a jego zawartość i dane mogą zostać usunięte. (Inactive Google Account Policy - Google)

To nie są przepisy stosowane złośliwie ani niespodziewanie - obaj dostawcy zapowiadają je i wysyłają ostrzeżenia. Rzecz w tym, że mechanizm ochronny oparty na koncie ma z definicji ten sam pojedynczy punkt awarii co konto. Utrata dostępu do skrzynki użytej do powiadomień, do numeru telefonu z uwierzytelniania dwuskładnikowego albo zwyczajne przeoczenie e-maila o przekroczonym limicie odcina jednocześnie oryginał i wszystkie jego historyczne wersje, bo to jest ta sama rzecz przechowywana w tym samym miejscu. Warto też zauważyć, że u obu dostawców zawartość kosza wlicza się do limitu - czyli mechanizm ratunkowy sam przybliża moment, w którym limit zostaje przekroczony.

W klasycznej kopii zapasowej ten problem nie istnieje w tej postaci. Archiwum na dysku w szufladzie nie przestaje działać, gdy dostawca poczty uzna, że konto jest nieaktywne.

Co właściwie zamienia jedno w drugie

Skoro synchronizacja z historią wersji ma pewne cechy kopii zapasowej, warto powiedzieć wprost, czego jej brakuje, żeby nią być. Trzy warunki wystarczą.

Historia dłuższa niż czas wykrycia problemu. Jeżeli szkoda może pozostać niezauważona przez pół roku, to trzydziestodniowe okno jest bezwartościowe akurat w tym scenariuszu, w którym miało pomóc. Ta liczba nie jest uniwersalna - wynika z tego, jak często dane są otwierane.

Niemożność nadpisania z zaatakowanego urządzenia. Realizuje się to na dwa sposoby: przez fizyczne odłączenie nośnika albo przez blokadę zapisu po stronie usługi. CISA stawia wymóg kopii offline, a blokadę obiektów i ochronę przed usunięciem zaleca osobno, jako warstwę dla środowisk chmurowych - drugi wariant jest więc uzupełnieniem pierwszego, nie jego zamiennikiem, a w usługach konsumenckich opisanych wyżej i tak nie jest dostępny. (#StopRansomware Guide - CISA)

Sprawdzone odtworzenie. Ten warunek jest najczęściej pomijany, a jest jedynym, który zamienia założenie w wiedzę. CISA formułuje go jako regularne testowanie dostępności i integralności kopii, nie jako jednorazową weryfikację przy konfiguracji. (#StopRansomware Guide - CISA) Kopia, z której nigdy nic nie odtworzono, jest hipotezą.

Żaden z tych warunków nie wymaga rezygnacji z synchronizacji. Wymagają dołożenia czegoś obok - i to jest właściwe rozstrzygnięcie tego sporu. Synchronizacja i kopia zapasowa nie są konkurencyjnymi rozwiązaniami tego samego problemu; rozwiązują różne problemy i dobrze działają razem.

Kiedy sama synchronizacja wystarcza

Wniosek "trzeba mieć kopię zapasową" bywa powtarzany bez rozróżnień i przez to bywa ignorowany. Warto więc określić, kiedy sam mechanizm synchronizacji rzeczywiście domyka sprawę.

Wystarcza wtedy, gdy jedynym realnym zagrożeniem jest utrata urządzenia. Skradziony albo utopiony telefon to scenariusz, w którym synchronizacja sprawdza się doskonale - stan jest aktualny, nie ma potrzeby cofania się w czasie, a nowe urządzenie odtwarza zawartość automatycznie.

Wystarcza także wtedy, gdy dane są krótkotrwałe i ciągle używane. Bieżące dokumenty robocze, otwierane codziennie, są sprawdzane samym faktem korzystania z nich - uszkodzenie zostanie zauważone w ciągu dni, czyli wewnątrz okna retencji.

Nie wystarcza w trzech przypadkach, które z reguły są ważniejsze niż te pierwsze dwa. Archiwum, do którego nikt nie zagląda - bo tam czas wykrycia przekracza retencję. Dane niezastępowalne, takie jak zdjęcia rodzinne - bo tam koszt utraty jest nieskończony, a nie proporcjonalny. Wszystko, co jest istotne w sytuacji utraty dostępu do konta - bo tam mechanizm ochronny dzieli los chronionego zasobu.

Praktyczne kryterium, które da się zastosować bez wchodzenia w szczegóły techniczne, mieści się w jednym pytaniu. Nie "gdzie są moje pliki", tylko: jak stara jest najstarsza wersja, do której mogę wrócić, i czy proces działający na moim komputerze może ją usunąć? Dopóki odpowiedź brzmi "trzydzieści dni, a przy pełnym koszu jeszcze mniej" i "tak", mowa jest o synchronizacji - niezależnie od tego, jak nazywa się przycisk w interfejsie.

Źródła

• Restore deleted files or folders in OneDrive - Microsoft Support
• Delete, purge or restore files from your OneDrive using the OneDrive mobile app - Microsoft Support
• Restore your OneDrive - Microsoft Support
• How to detect ransomware and recover files using OneDrive - Microsoft Support
• Delete files in Google Drive - Google Drive Help
• How your Google storage works - Google One Help
• Inactive Google Account Policy - Google Account Help
• My OneDrive says it's full - Microsoft Support
• Dropbox version history overview - Dropbox Help
• #StopRansomware Guide - Cybersecurity and Infrastructure Security Agency