国外に出す必要は、ありません

問われるのは、通信がどこで検査されるかだけではありません。それを復号する点がどこに在るか、 そしてシステムが書き留めたものが最終的にどこへ行くかです。

実際に国境を越えているもの

一般的な SSE では、通信はベンダの PoP の中で復号されます。その PoP が国内にあったとしても、 コントロールプレーンはたいてい国内にありません。ポリシー、端末インベントリ、監査記録、 識別情報の対応付け、運用テレメトリは、ベンダのクラウドの中、ベンダの管轄の下にあります。 つまりその管轄の法的手続きが届く範囲にあります。

この区別が見えなくなるのは、問いの立て方が違うからです。「通信を保存していますか」には 「いいえ」と答えるのが簡単です。主権を決めるのは何を保持し、それはどこに在るのかのほうで、 静かに出ていくのはメタデータの側です。

3つとも、置き場所を決めるのは運用者です

• 復号点。Edge が TLS を終端します。自社が所有するハードウェアの上でも、 自分で選んだリージョンでも動きます。他人のそれを経由する経路はありません。
• コントロールプレーン。ポリシー、識別情報と NHI の登録、受け入れと失効。 Edge の隣に置きます。開発元のクラウドの中ではありません。そもそも持っていないからです。
• 記録。すべての判定はメタデータとして監査に残り、その監査は 配備自身が書く場所に書かれます。役立てるためにどこかへ送る、ということはありません。

認証局もこの一覧に入ります。発行を受けて手元に置くのではなく、インストール時に手元の機械で 生成します。フリートの信頼の根は、最初から管理の外に存在したことがありません。

マルチリージョンが、所在を希望から性質に変えます

1つの配備を1つの国に置くのは簡単なほうです。複数の国にまたがる事業者は、 各顧客の通信をその顧客の国で復号し、各顧客の記録をその国に書く必要があります。 しかも1つのサービスとして運用しながらです。

residency boundary はそのためにあります。失効を全世界に複製せず、リージョンに閉じて配ること。 識別情報をプールせずにリージョン間を束ねる identity mesh。あるリージョンの復号権限が 別のリージョンのものにならないよう、リージョンごとに分けた傍受ルート。そして端末が本来届くべき Edge に届くための geo-steering。これらはオープンソースの範囲であって、 商用の階層ではありません。現在地のページに、実際に何が公開されたかを書きます。

開発元から見えるもの。何もありません

ライセンスサーバはなく、phone-home もありません。こちらに到達できない配備もそのまま動き続けます。 ポリシーも、端末インベントリも、監査ログも、開発元には届きません。

これはプライバシーポリシーに書いた約束ではありません。あれはベンダが改訂できる文書です。 そのためのコード経路が存在しないのです。公開されたソースを開発元の宛先で検索してみてください。 1件も出てきません。grep できる約束は、別の種類の約束です。

DSSE が解決しないこと

書いておく価値があります。主権は、ベンダが「主張していないことまで読者に想定させたくなる」誘惑が 最も強い話題だからです。

• 他の依存関係まで国内化されるわけではありません。外部の ID プロバイダ、上流のリゾルバ、 利用者が実際に訪れる SaaS。それらは在るところに在り続けます。変わるのは、 復号と記録がその一覧にもう1か国を足さなくなることです。
• コンプライアンス上の判断を代わりに下すものでもありません。所在の要件は国・業種・契約で 異なりますし、このページのどれも法的助言ではありません。製品が提供するのは置き場所を決められることで、 それがどこであるべきかについての意見ではありません。