میزبانی شخصی به عنوان یک تمرین حرفه‌ای

Cuadernos Lacre
https://solo2.net/fa/daftar/articulos/porseshe-miane-abr-va-zirzamin-self-hosting.html

خوب است با خنثی کردن کلمه‌ای شروع کنیم که بدون دلیل می‌ترساند: سرور. سرور یک ماشین مرموز در یک اتاق سرد نیست. به سادگی کامپیوتر شخص دیگری —یا کامپیوتر خودتان— است که اطلاعات را ذخیره می‌کند و به کسی که درخواست می‌کند تحویل می‌دهد. برای دهه‌ها ما اطلاعات مشتریان خود را در یک پوشه، در یک فایل‌باکس، روی میز دفتر نگه داشتیم و هیچ‌کس به خاطر آن خوابش را از دست نداد. اطلاعات ترسناک نبود چون روی کاغذ بود؛ لازم نیست چون روی دیسک است هم ترسناک باشد.

«ابر» هم اثیری نیست. کامپیوتر یک شرکت است، تقریباً همیشه دور و تقریباً همیشه متعلق به دیگری. من این را ناخواسته روزی یاد گرفتم که با اطمینان از اینکه فایل‌هایم در Google Drive امن هستند، متوجه شدم که پوشه در کامپیوترم حاوی اسناد من نیست، بلکه حاوی میانبرهایی به اسنادی است که در جای دیگری زندگی می‌کردند. اگر آن جای دیگر تصمیم می‌گرفت تعطیل کند، قیمت را تغییر دهد یا اشتراک را لغو کند، آرامش من هم با آن می‌رفت. من وسایلم را نداشتم؛ اجازه دسترسی به آن‌ها را داشتم.

از همین‌جا پرسش این دفترچه زاده می‌شود، پرسشی که بیانش از پاسخ‌دادنش آسان‌تر است: داده‌های مشتریانت باید کجا زندگی کنند؟ و داده‌های خودت؟ گفتگوی عمومی آن را چنان مطرح می‌کند که گویی تنها دو پاسخِ روبه‌روی هم وجود دارد — ابرِ سکوهای بزرگ یا اینکه خودت کار را به‌دست بگیری —، تقریباً مسئله‌ای جناحی. اما این دو راه نیستند: سه راه‌اند، و هیچ‌کدام عملِ ایمانِ کورکورانه نیست. اگر با تأمل خوانده شوند، ظرافت‌های بیشتری دارند و بیش از آنچه به‌نظر می‌رسد می‌طلبند.

آسان است که فکر کنیم محرمانگی موضوع وکلا، پزشکان یا روزنامه‌نگاران است و بقیه چیزی برای پنهان کردن ندارند. این یک اشتباه است، و از نوع گران‌قیمت آن. تقریباً هر کسب‌وکاری داده‌های مشتریان خود را که مشمول قانون است نگه می‌دارد و بسیاری، بدون اینکه بدانند، اطلاعاتی را نگه می‌دارند که بسیار حساس‌تر از آن چیزی است که به نظر می‌رسد.

یک مغازهٔ مبل‌فروشی نام و نشانی و تلفن خریدار را یادداشت می‌کند؛ اگر تسهیلاتی در کار باشد، اطلاعات مالی او را هم. یک شرکت بازسازی یا دکوراسیون عکس‌های داخل خانه‌های مشتریانش و نقشه‌های کامل مسکن آن‌ها را نگه می‌دارد. یک شرکت نظافتی با نقشه‌های دفترهایی که تمیز می‌کند سروکار دارد، که اغلب با رنگ‌ها و شماره‌هایی نشانه‌گذاری شده‌اند که می‌گویند کدام کارمند کجا، چه ساعتی و با کدام کلید وارد می‌شود. هیچ‌یک از این‌ها چیز مهمی به‌نظر نمی‌رسد تا آنکه آدم از خود بپرسد برای چه کسِ دیگری ارزش دارد: آن نقشه‌های نظافت، اگر با چشمی دیگر دیده شوند، نقشهٔ کاملی است برای کسی که بخواهد برای دزدی وارد شود.

اینکه یک کسب‌وکار کوچک است یا اینکه مبل می‌فروشد به جای دفاع در دعاوی حقوقی، داده‌های آن را بی‌ارزش نمی‌کند و باعث نمی‌شود قانون در مورد آن متوقف شود. فقط باعث می‌شود صاحب آن تمایل داشته باشد کمتر به آن فکر کند. و کم فکر کردن به چیزی که مسئولیت شماست، دقیقاً همان جایی است که مشکلات شروع می‌شود.

در اینجا یک اعتراض فوری مطرح می‌شود و معقول است: اگر من همه چیز را روی کامپیوتر دفترم داشته باشم، اگر خراب شود چه می‌شود؟ سوال خوبی است. پاسخ این است که شبکه امنیتی که ما نزد ارائه‌دهندگان بزرگ تصور می‌کنیم، متواضعانه‌تر —و قابل تقلیدتر— از آن چیزی است که به نظر می‌رسد.

وقتی داده‌هایم را در مرکز داده یک شرکت چندملیتی می‌گذارم، اعتماد می‌کنم که آن‌ها در چندین جا نسخه دارند. و احتمالا دارند: در مکان دوم، شاید در سوم. اما آن افزونگی بی‌نهایت نیست و بالاتر از همه متعلق به من نیست: همچنان یک هارد دیسک است که من صاحب آن نیستم، توسط کسی مدیریت می‌شود که من ایمانی به او دارم که تقریباً هرگز تأیید نمی‌کنم.

آن شبکه را خودم هم می‌توانم ببافم، و با یک مزیت تعیین‌کننده. سرویس روزانه من در کامپیوتر دفتر زندگی می‌کند. از آنجا یک نسخه رمزگذاری شده را در کامپیوتر یک شرکت دوست —یک همکار در حرفه، یک دفتر مورد اعتماد دیگر— نگه می‌دارم و یک نسخه رمزگذاری شده دیگر، اگر بخواهم، نزد همان ارائه‌دهنده اروپایی که درباره‌اش صحبت می‌کردیم. تفاوت در همه چیز است: آنچه من در بیرون می‌گذارم، سرویس من یا داده‌های آشکار من نیست، بلکه یک نسخه رمزگذاری شده است که فقط من می‌توانم باز کنم. ارائه‌دهنده بیرونی یک صندوق در بسته را نگه می‌دارد که کلید آن را ندارد. من اطلاعاتم را به او نمی‌سپارم: من چند بایت را به او می‌سپارم که بدون من هیچ معنایی ندارند.

اجازه دهید یک داستان شخصی تعریف کنم، زیرا این موضوع را بهتر از هر استدلالی نشان می‌دهد. برای بیش از ده سال من مشتری وفادار CrashPlan بودم، یک سرویس پشتیبان‌گیری که از نظر فنی فوق‌العاده بود. من از تمام کامپیوترهای خودم و خانواده‌ام —شرکتی و خانگی، همه چیز— در ابر آن‌ها پشتیبان می‌گرفتم، با نسخه‌هایی که می‌توانستم با هر فرکانسی که می‌خواهم بازیابی کنم و در زمان به یک فایل خاص از ماه‌ها قبل برگردم. بعد از اولین نسخه، فقط تفاوت‌ها را به صورت رمزگذاری شده و فشرده ارسال می‌کرد، به طوری که من یک پشتیبان عظیم را تقریباً بدون هیچ تلاشی به‌روز نگه می‌داشتم. بارها مرا نجات داد، از یک سند پیش‌پاافتاده تا یک دیسک کامل. قیمت در طول سال‌ها بالا رفت و برایم مهم نبود: با خوشحالی پرداخت می‌کردم.

چیزی که نمی‌دانستم این بود که CrashPlan در محاسبات اشتباه کرده بود: آن‌ها با قرارداد وعده فضای ذخیره‌سازی نامحدود، هم در فضا و هم در زمان را داده بودند. و فضا ضرب در زمان —سال‌ها تاریخچه، نسخه‌هایی در هر چند دقیقه— رشد می‌کند تا زمانی که ناپایدار شود. یک روز آن‌ها به همه ما اطلاع دادند که سرویس رو به پایان است. آن‌ها این کار را با ظرافت و با یک مهلت سخاوتمندانه، تقریباً یک سال، انجام دادند و وسایلی را برای دانلود داده‌هایمان در اختیار ما قرار دادند. اما یک نفر با بیش از ده سال نسخه‌های مختلف از تمام دیسک‌هایش کجا می‌رود؟ آنجاست که متوجه می‌شوید نه راهی برای دانلود همه چیز دارید و نه جایی برای گذاشتن آن، و حتی اگر می‌توانستید، هزینه انبار جدید گزاف می‌شد.

چهار چیزِ ضروری را نجات دادم. باقی وقتی کلید را خاموش کردند رفت. من آسوده بودم، اطلاعاتم در امان بود... تا آنکه دیگر نبود. و نه به‌خاطر خیانتی: CrashPlan رفتاری بی‌عیب داشت — برخلاف Evernote که سال‌ها بعد رفتاری شرم‌آور داشت —؛ به‌سادگی، فرشتهٔ نگهبانم در ابر، با تمام حق، تصمیم گرفت دیگر فرشتهٔ نگهبان نباشد. اما نتیجه برای من یکسان بود: آنچه امن می‌پنداشتم، ناپدید شد.

آنچه این داستان واقعاً می‌آموزد بیشتر با طبیعت انسانی در ارتباط است تا تکنولوژی. وقتی کسی احساس می‌کند چیزی مسئولیت اوست، به صورت پیشگیرانه عمل می‌کند: نسخه تهیه می‌کند، پشت خود را محکم می‌کند، با قضاوت درست تردید می‌کند. وقتی باور می‌کند —به اشتباه— که مسئولیت بر عهده یک شخص ثالث بزرگ و توانمند است، شل می‌شود و اجازه می‌دهد امور بگذرد. آن آرامش تفویض شده احتیاط نیست: بلکه بدون رتوش، شکلی از بی‌مسئولیتی است.

آن بی‌مسئولیتی آرام بسیار شبیه والدینی است که پسرشان را در گران‌ترین مدرسه ثبت‌نام می‌کنند، بعد از آن هزینه مدرک کارشناسی ارشد او را می‌پردازند و با آن معتقدند که وظیفه خود را انجام داده‌اند. آن‌ها انجام نداده‌اند. والدین بودن یعنی نگران بودن از اینکه او امروز چه آموخته، چه چیزی را نمی‌فهمد، ارزش‌هایش، اعتماد به نفسش. اگر در بیست و پنج سالگی آن پسر بلد نباشد کار کند یا رفتار کند، تقصیر مدرسه‌ای نیست که پول را گرفته: تقصیر کسی است که تفویض اختیار کرده و با این باور که همین کافی است، پرداخت کرده است. پرداخت به شخص ثالث از مسئولیت سلب نمی‌کند. هرگز نکرده است.

با داده‌ها هم همین‌گونه است، و تاریخ نزدیک آن را تأیید می‌کند. پنجاه یا صد سال پیش یک حرفه‌ای چیزهای مربوط به مشتریانش را در پوشه‌هایی، در دفتر کارش یا در خانه‌اش، نگه می‌داشت و خود را مسئول آن‌ها می‌دانست. به‌ندرت چیزی گم می‌شد. به جهان دیجیتال گذر کرده‌ایم و، با سهولتی حیرت‌آور، همه‌چیز را در «ابر» بارگذاری می‌کنیم — که چیزی جز رایانهٔ یک شرکت چندملیتی نیست — و دیگر نگران نمی‌شویم. و اغلب حادثه‌ها رخ می‌دهند، و شرکت‌هایی هستند که همه‌چیز را از دست می‌دهند، و آنگاه گفته می‌شود: تقصیر Google بود، تقصیر Microsoft بود. نه. اطلاعات از آنِ توست، یا از آنِ مشتریانت، اما مسئول تویی.

میزبانی وسایل خودتان یک هوس فنی نیست: بازپس‌گیری آن آرامش دهه‌های پیش است، آرامش دانستن اینکه هر چیز کجاست و چرا. در این میان، حفاظت از داده‌ها نوسان ناگهانی پاندولی را تجربه کرده است —از نبود هیچ قانونی، زمانی که هر کسی بدون فکر داده‌های مشتری را به نمایش می‌گذاشت، تا الزامی که با سختی نامتناسب بر دوش کوچک‌ترین‌ها می‌افتد، فریلنسری که تلفن مشتری را به پیک می‌دهد. من در مورد هدف بحث نمی‌کنم؛ من ناهماهنگی را مشاهده می‌کنم. اما ناهماهنگی ما را تبرئه نمی‌کند: روزی که دولت ابزاری برای ردیابی و مجازات در مقیاس بزرگ داشته باشد، اندازه دیگر از کسی محافظت نخواهد کرد و عاقلانه است که با خانه‌ای نامرتب منتظر آن روز نمانیم. داشتن داده‌ها تحت کنترل خود به رعایت مقررات کمک می‌کند و به اثبات آن کمک می‌کند. و بالاتر از همه، چیزها را به جای خود برمی‌گرداند: وقتی اطلاعات مال شماست، مسئولیت کاملاً با شماست —هیچ شخص ثالثی برای سرزنش وجود ندارد، و نه شخص ثالثی که شکست او شما را در معرض خطر قرار دهد—.

بی‌انصافی است که این را بدون سایه‌ها تصویر کنیم. نشستن به جای واسطه یعنی برداشتنِ بارِ او: نگه‌داشتن نسخه‌های پشتیبانِ به‌روز، اعمال به‌روزرسانی‌ها، و مسئولیتی قانونی — مسئولیت RGPD — که، در واقع، هیچ‌گاه به‌طور کامل از آنِ تو دست نکشید (مراجع پاورقی مواد مربوطه را شرح می‌دهند). کار هست، و روزی هست که چیزی در وقت نامناسب از کار می‌افتد. آن را پنهان نمی‌کنیم.

اما ترسی که آن واژه، مسئولیت، را در بر گرفته بد کالیبره شده است. خیلی آسان‌تر است که فایل‌هایت را در سرویس ابری‌ای که تعطیل می‌شود از دست بدهی، یا عکس‌هایت را در Google Photos، تا آن پوشهٔ مدارک مهمی را که روی رایانهٔ خودت داری: همان که می‌دانی کجاست و به‌محض ناپدیدشدنش متوجه نبودش می‌شوی. آنچه را از آنِ خود حس می‌کنی، از آن مراقبت می‌کنی؛ آنچه را در دست دیگری امن می‌پنداری، رهایش می‌کنی.

به آلبوم‌های عکس قدیم فکر کن، همان‌های کاغذیِ ظاهرشده که در کشویی نگه داشته می‌شدند. آیا هیچ‌گاه شنیده‌ای کسی بگوید آلبوم خانوادگی‌اش را «گم کرد»؟ از خانه‌ای که سوخت و آلبوم درونش بود شنیده می‌شود؛ اما گم‌کردنش همین‌طوری، نه. و در عوض، کسانی که همهٔ عکس‌هایشان در Google Photos یا Apple Photos بود و چیزی برایشان نماند: این داستان هر چند ماه یک‌بار برمی‌گردد، چون گمان می‌کردند در امان است. Google Photos از عکس‌هایت مراقبت می‌کند، البته که می‌کند؛ اما نه آن‌گونه که پدر و مادری از آلبومی مراقبت می‌کنند که فرزندان و نوه‌هایشان در آن‌اند. این تفاوت را هیچ مرکز داده‌ای درست نمی‌کند: مسئولیت، وقتی از آنِ تو باشد، تنها یک بار نیست؛ بهترین تضمین هم هست.

منابع و مطالعه بیشتر

- مقررات (EU) 2016/679 — ماده ۲۸ (پردازشگر)، ماده ۳۲ (امنیت پردازش)، ماده ۳۳ (اطلاع‌رسانی نقض داده‌ها)، ماده ۳۷ (تعیین افسر حفاظت از داده‌ها).
- آژانس حفاظت از داده‌های اسپانیا — راهنمای عملی برای تحلیل ریسک در پردازش داده‌های شخصی (نسخه فعلی). چارچوبی برای کنترل‌گرانی که عملکردهای فنی خود را بر عهده می‌گیرند.
- شورای حفاظت از داده‌های اروپا — دستورالعمل ۱/۲۰۲۴ در مورد پردازش داده‌های شخصی بر اساس منافع مشروع. همچنین برای تست تناسب در تصمیمات زیرساخت شخصی قابل اعمال است.
- کمیسیون اروپا — دایرکتوری عمومی ارائه‌دهندگان خدمات اطلاعاتی مستقر در حوزه قضایی اروپا. نقطه شروع اداری برای شناسایی گزینه‌های میزبانی مدیریت شده اروپایی.
- Nextcloud GmbH (آلمان) — معماری سازمانی Nextcloud و مستندات انطباق. یک مورد مستند از نرم‌افزار آزاد با حالت‌های میزبانی شخصی و مدیریت شده توسط ارائه‌دهنده اروپایی؛ مفید به عنوان مرجع فنی پروژه‌ای که از سال ۲۰۱۶ در حوزه قضایی اروپا نگهداری می‌شود.

---

Cuadernos Lacre · نشريّة من Menzuri Gestión S.L. · كتبها R.Eugenio · حرّرها فريق Solo2.
https://solo2.net/fa/daftar/