Case | DPIA op Red Hat OpenShift: alle lichten op groen
Containers
Red Hat OpenShift is een containerplatform. Maar wat zijn die containers?
Als je een applicatie maakt, wil je hem in een standaard omgeving kunnen draaien. ‘Containers’ bieden zo’n standaard omgeving. Met een tool als ‘Kubernetes’ kun je beschrijven wat je applicatie nodig heeft en het platform configureert die omgeving dan automatisch. Containers maken het gemakkelijker om een applicatie betrouwbaar en schaalbaar te draaien. Daarom bieden alle grote cloud (en ook veel kleine) providers containers aan, gehost op hun infrastructuur. Maar je kunt ook je eigen containerplatform hosten. Dat klinkt heel privacy vriendelijk, maar is dat ook zo?
Het onderzoek
Het is normaal dat een applicatie loggegevens naar een aparte logserver schrijft, net als dat een applicatie een database gebruikt en bestanden kan opslaan. Allemaal dingen waar de bouwer van de applicatie controle over heeft. Maar lekken er buiten die controle om persoonsgegevens uit een container?
Om dit te testen maakten we een heel simpele applicatie die maar 1 ding deed: persoonsgegevens rondstrooien in een container. Vervolgens hebben we gekeken of deze gegevens buiten de container terechtkwamen. Daarbij hebben we al het netwerkverkeer van het platform in kaart gebracht. Ook hebben we alle opslag, tijdelijk en vast, doorzocht. Verder hebben we een support request bij Red Hat ingediend. Daarbij hebben we de meest uitgebreide scripts om diagnostische gegevens van het platform en de containers te verzamelen gebruikt, om te kijken of de persoonsgegevens in de diagnostische gegevens zitten die naar Red Hat opgestuurd worden. Ons werk werd vergemakkelijkt doordat Red Hat OpenShift open source software is: als we iets onbekends zagen, konden we steeds terugzoeken waar het vandaan kwam.
De uitkomst
Het onderzoek heeft drie potentiële risico's aan het licht gebracht:
1. Als de applicatie bouwer en de systeembeheerder samen drie specifieke beveiligingszondes op elkaar stapelen, dan kunnen er persoonsgegevens in een supportverzoek naar Red Hat terecht komen. En voor elk van die beveiligingszondes los, is het standaard praktijk om dat niet zo te doen. Daarom is dit risico laag, maar we bevelen voor de zekerheid wel aan om hier expliciet instructies over te geven aan de applicatiebouwers en de beheerders.
2. Als beheerders voor hun werk inloggen op de support site van Red Hat en als er diagnostische gegevens voor een supportverzoek verzameld worden, dan verwerkt Red Hat enkele loggegevens over de beheerders. Dat is op zich prima, alleen moet het datacentrum wel documenteren dat deze gegevens door Red Hat verwerkt worden.
3. Ten slotte zat er een bug in de support-site van Red Hat voor medewerkers van het datacentrum. Door deze bug werden er een klein aantal niet-essentiële cookies geplaatst voordat er toestemming was gegeven. Red Hat heeft deze bug inmiddels verholpen.
Eén risico is dus volledig opgelost. De andere twee risico's zijn lage (of verwaarloosbare) risico's.
De conclusie: Alle lichten op groen! In een setup zoals die van ODC-Noord blijven de persoonsgegevens volledig onder controle van de applicatiebouwer.
Wij moesten ook even in onze ogen wrijven: we zijn het gewend om tientallen, vaak hoge, risico’s te vinden. Mooi om te zien dat het ook anders kan!
Bekijk onze DPIA op de website van de Rijksoverheid.
