Cloud - nejvíc nebezpečná věc pro české firmy!!

Problém?

Cloud - nejvíc nebezpečná věc, zvlášť  tady v čechách!

Tohle téma si schovávám od půlky května. Bacha, TL;DR :) 

Na Facebooku proběhl post Radka Hulána:

"O data v cloudu se typicky starají lidé s mnohem lepšími znalostmi než váš lokální admin (včetně důrazu na zabezpečení) a jsou k dispozici 24/7. Pro menší firmy nedává dle mého vůbec smysl mít vlastní servery, licence, administrace, pokud daná věc existuje jako cloudová služba…"

(pro datové archeology přidám ještě link na zálohu)

Pod postem se rozhořela klasická česká diskuse. Pár výcuců:

  • až vypadne cloud, přijde firma o tisíce
  • citlivá data nesmí pryč
  • proti výpadku lokálního serveru se dá aktivně něco dělat
  • Hlavně si sám sobě můžu dělat zálohy jak chci a kdy chci
  • A pak jsem zažil chybu, při které zmizel důležitý soubor z placeného "Google Docs pro firmy", na kterém aktivně pracovalo 100+ lidí…
  • kdyz si poridim hostovany exchange u MS, jak sezenu admina?
  • SSL samotné není zárukou zcela bezpečné komunikace
  • Nic není zárukou bezpečné komunikace v okamžiku, kdy svá data pustíte ven.
  • …

Základní doporučení je samozřejmě nevlastnit žádný počítače, protože pak se nemusím trápit myšlenkou, jestli není v řadiči sběrnice nějakej odposlechovej software. Taky je dobrý nemít umělý koleno, protože to má určitě výrobní číslo, který je v cloudu na nebezpečným úložišti - což radikálně ohrožuje moji svobodu a tím pádem i bezpečí… :)

"Cloud" je skloňované slovo ve všech médiích. Podobně jako BigData. Evidentně polarizuje společnost na 2 skupiny. Češi si myslí, že v Cloudu o svoje data během mžiku přijdou. Řiká se, že každej čech je odborníkem na fotbal a marketing, podle projevů na internetu jsme všichni experti na cloud a IT bezpečnost. Když se to zkombinuje s tím, že si všechno uděláme nejlíp sami, nastane pekelná kombinace. 


O čem je vlastně řeč?

Podle mě většina českých mudrců o Cloudu ví stejně jako Jen Barber o "IT":


Takže: Cloud není nic jinýho než zase servery, ramky a harddisky. Bam! Jedinej rozdíl mezi Zdendovou serverovnou a Cloudem je v business modelu (podepřeným nějakou virtualizační technologií). Ta hranice je tenčí než rejžovej papír. Můžu mít svůj server u rodičů v ložnici na UPC lince nebo ho můžu dát do serverovny nebo si ho můžu celej pronajmout (už není můj!) a nebo si koupím jen "tolik kapacity co potřebuju" a když mi to nestačí, během pár vteřin dokoupím "víc". To "během pár vteřin dokoupím víc" je podle mě esencí definice slova cloud computing. Je jedno, jestli si kupuju víc GHz v serveru (IaaS) nebo I/O operací do SQL (PaaS) nebo GoodData projektů (SaaS).

Cloud je o flexibilitě. Cloud je o unlimited undo službách. Cloud je o ohromných business možnostech. Cloud je o nestahování kalhot před brodem.


Složité plánování

Někdy v půlce roku 2008 jsme v dřívější práci řešili projekt tvujusmev.cz pro Sony Czech a.s. Lidi měli nahrávat fotky usmívajících se obličejů, ze kterých pak porota vybrala nejlepší úsměv, který se vytiskne na plachtu 5x5m a v horkovzdušném balónu přeletí Prahu (zjednodušeně řečeno). Nahrávat může kdokoliv jakékoliv množství fotek, neprovádí se žádná registrace - prostě nahraju fotku a dám k ní své jméno + email. Limit na velikost nahrávané fotky nebude. Celé to bylo promoakce na SONY foťáky s funkcí smileshutter - co umí zmáčknout spoušť v momentě, kdy se někdo směje.

Udělali jsme odhad, že tam pár desítek tisíc lidí nahraje 5 fotek, každou kolem 3-5Mpix. Znali jsme konkrétní (veliké) peníze, které Sony utratí za kampaně a došli k závěru, že potřebujeme další blade server a do začátku párset GB storage pro fotky. Pointa tohohle příběhu je strašně bizzarní. Všechny čísla se splnila - lidi přišli, fotky nahrávali jako zuřivý a projekt se povedl na jedničku. S jediným rozdílem, že většina fotek byla nakonec nahraná z mobilu a na disku si ukously tak 15GB. Stejně tak to mohlo ale dopadnout obráceně - mohli jsme mít >2TB fotek v ultra rozlišení a nevědět kam s nima. 

Kdybysme fotky dali do cloud storage, "pay-as-you-go" náklady přenesl na klienta a podobnou úvahou neztrácel čas, ušetřili jsme tak 200.000,- Kč.


"Provozní nám zakázal dávat vodu z kohoutku!"

Typická česká restaurace vydělává kačky na 0.2l Cole za 35,- Kč. Stejně jako nebudete po návratu z poza hranic chápat, proč je tak složité dostat kohoutkovou vodu, divíme se, v čem maj český firmy problém s cloudem. V Keboole se potkáváme s lidma, kteří musí rozhodnout o tom, jestli mohou používat naše služby v Cloudu nebo ne. Před lety jsem se dostal k příběhu, jak jeden soud v US plánoval v Cloudu analyzovat data o vězních, zatímco česká papírna odmítla do Cloudu dát svoje data o prodaných rolích toaleťáku - je to nebezpečný! 

Nutno říct, že se to v čechách hodně zlepšuje. Zhruba před 1.5 rokem nám jeden polobankovní klient napsal:

"Dobrý den pane Kvasničko, děkujeme za včerejší velmi zajímavou prezentaci. Neshledali jsme žádný důvod, který by nám zakazoval umístit data v cloudu pro případné nasazení goodata v xxxx. Proto bychom rádi využili možnosti vyzkoušení toolu během následujících týdnů…"

Každopádně "český Franta" i v roce 2013 stále ví, že Cloud je terminální stanice každé firemní infrastruktury! 


Tak v čem je problém? Proč rigidní právník v český bance může říct, že je Cloud pro jejich dceřinou společnost ok, ale "normální" podnikatel to vidí jinak? Válím to v hlavě pár dní a vydestiloval jsem následující ohrožení:

  • strach o práci - všichni ti chytráci v diskusích zmiňují nízkou bezpečnost cloudu a svorně tvrdí, že jima postavená infrastruktura je bezpečnější, nikdy nemá výpadek konektivity, nikdy v ní nehoří, nikdo do ní nikdy nepronikne, atd… Nevidím za tím nic než strach, že jejich dominantní postavení v dané práci vezme vniveč, protože non-IT oddělení získají kontrolu nad svými daty a pana "Administratora" se nikdo nebude potřebovat na nic ptát.
  • provize od stávajícího vendora - není nic hošího než nemuset koupit další chassi k diskovému poli. EMC² pláče, obchody nejdou a CTO nemá kick-backy od firem typu TechData.com (kick-back má tady nejčastěji podobu zájezdu do Alp pro zákazníka měsíce). Pokud náklady na provoz informačního portálu pražanům vyjdou dneska na ~100 mio Kč / rok (vůbec neověřuju, je to plácnutí do vody - čistě příklad), nebude asi jakákoliv optimalizace zdrojů průchozí přes konzumenty kick-backů. 1/2 z těhle věcí nemá v Cloudu vůbec místo

  • neznalost - resp. povědomí nabyté čtením diskusí v českých e-zinech. Hlášky typu "Webový Office NE! Spadnou internety a celá firma stojí." má logiku stejnou jako "Barák bez vlastní vodárny NE! Nepoteče voda a nespláchneme záchody."
  • EU vs USA - to se 99% SMB segmentů netýká, nicméně Cloud provider není jen Amazon/Google/Rackspace
  • interní směrnice - je často důsledkem IT důvodů nebo politického lobby, které nemá nic společného s tím, kdo může poskytnout dané firmě nejlepší možné řešení. Takové směrnice buď bezmyšlenkovitě stojí na obecném "EU" doporučení, které firemní právník s CTO za zády alibisticky interpretuje jako veto a de-facto nařídí, aby vše bylo on-premise (lokální instalace na vlastním HW). 
  • "něco se na mě zjistí" - přestanu kontrolovat část procesu (tím trpí Keboola nejvíc - GoodData syndrom). Pokud se nebavíme přímo s majitelem firmy, je všechno co zákazníkovi nabízíme potenciálním ohrožením existujícího managementu, protože dělá data transparentní. "Slice&Dice" je pro takové lidi nůž do zad :)

  • odpovědnost za rozhodnutí (alibismus) - cokoliv nového je pro některé lidi složité prosadit. Je prostě lepší tlačit káru dál ve vyjetých kolejích, než časem obhajovat, proč jsem se pod něco podepsal.
  • absence příkladů od velkých lokáních hráčů - tady asi nejvíc mohou zamakat firmy typu netmail.cz, které, pokud mám správné informace, mají v portfoliu top-notch hráče, ale né úplně dobře to mohou publikovat, takže je tady nenajdeme


Český paradox - obava z dostupnosti

Když v roce 2011 postihl Amazon AWS jeden z největších výpadků, měli cloud-hateři žně. Spousta služeb závislá na AWS byla v pr*eli, někteří ale jeli dál. Tradááá! :-) K přežití takto masivního výpadku stačilo mít dobře navrženou architekturu infrastruktury a využít možnosti provozovat služby rozkopírované mezi více lokalit (Multi-AvailabilityZone režim). 

Asi nejznámější (extrémní) příklad služby, která má precizně vyřešenou odolnost proti výpadku cloudu, je Netflix.com. V Netflixu si udělali interní službu "Chaos Monkey" (nedávno uvedená jako open source), která prochází jejich infrastrukturu v Amazon AWS a náhodně si vybírá serverové instance a vypíná je. Architekti Netflixu vědí, že takový škůdce existuje a že určitě přijde a něco vypne. Nejde se spoléhat, že "se mi to nestane". Díky tomu pak staví řešení, které je proti výpadkům odolné "by design".

Pro českého IT mistra je ale Cloud nebezpečné místo, protože určitě nebude (něco) fungovat a bude průser!


Český paradox - obava z bezpečí dat

Několikrát v životě se mi stalo, že jsem po telefonu požádal o připojení vzdáleného terminálu k zhavarovanému serveru (řeší se to pomocí krabičky, která má se vůči serveru chová jako klávesnice, myš a monitor, ale směrem k uživateli funguje jako program v prohlížeči, takže je možné ovládat od internetu odpojený server) a po zalogování koukal na plochu cizího serveru, protože to obsluha zapoměla přepojit a předchozí uživatel se zapoměl odhlásit. Podobné věci jsou v Cloudu vyřešené systémově mnohem lépe - nejenom certifikacema fyzické bezpečnosti - nepovede se vám "tam" vběhnout, inzultovat důchodce v roli vrátného a rozkopat konkurenční firmě server. Kvalitativně je bezpečnost v Cloudu o světelné roky před 99% všech serveroven. Z jednoduchého důvodu - Cloud provider chce být nejlepší a tak se snaží, což se o vašem IT říct skoro určitě nedá. 


Co cizina?

NASA říká, že by bez Identity Managementu (AWS IAM) v Cloudu neuřídila přístup k datům, který generují roboti na Marsu, Pfizer do Cloudu přenáší výzkum léků, NASDAQ tam analyzuje burzovní data, Obama na něm postavil svoji první prezidentskou kampaň a letiště v Norimbergu v Cloudu provozuje portál obsahující osobní data svých zákazníků. Seznam pár "AWS" případových studií je tady (důležité je říct, že Amazon AWS není jediný Cloud provider, vybral jsem si ho jen jako osobně nejbližšího zástupce) 


Long story short…

Problém bude vždycky v lidech. Pokud provozujete problematickou webovou aplikaci, ke které se má někdo připojit online, budou vaše data stejně špatně chráněná v interní serverovně jako v Cloudu. Pokud s tím budete ale něco chtít dělat, bude v Cloudu mnohem rychlejší postavit kaskádu firewallů, demilitarizovanou zónu a zapojit systém aktivní kontroly průniku. Všechno tohle dává práci šikovným lidem a bere ji lemplům. Nevím, jestli to je nebo není tím pravým důvodem, proč v čechách lidi tolik křičí, když na Cloud přijde řeč…


Kdo dočetl až sem, může hodit oko na stručný seznam služeb, které používáme v Keboole: http://padak.keboola.com/cloud-vyhazujeme-penize-oknem

UPDATE 22.10.2013: Americká armáda přechází na Google Apps s 50 000 lidmi - link.

Cloud - vyhazujeme peníze oknem?

Máma mi vždycky říkala, ať si vezmu hypotéku a koupím si byt, že v pronájmu platím cizím peníze a až pronájem skončí, nic mi nezbyde. Že je lepší splácet to samé bance a že jsem divnej když nemám stavební spoření...

Tehdá, před ~11 lety, jsem se po civilce začal starat v První multimediální o servery. Časem jsme měli 3 racky v GTS Nagano, pár serverů v Casablanca, pár serverů v TTC u SuperNetworks (Zdeněk mi opakovaně kradl křížový šroubováky!:), rack serverů v kanceláři, switche Cisco Catalyst, optický konvertory, diskové pole, 2 nezávislé konektivity do kanceláře, hromadu OpenVPN linek, spoustu interních subnetů routovaných přes OSPF, telefonní ústřednu Daktelu a dedikovanej Windows server s Synergy ERP (peklo na zemi!), který se kupovalo na leasing. Všechno jsme vlastnili a bylo to "super" (hlavně v účetnictví - myslím, že to mělo celej vlastní šanon :-). 

Aby tohle drželo pohromadě, bylo potřeba řešit věci jako arp-proxy, konfiguraci routovacího daemona, jak si povídat s SCSI řadičem když odešel disk v RAID poli, nastavit spínanou zásuvku od APC, LVM v Linuxu, správný snapshoty disků, VLANy, dohledovej system Nagios, nasmlouvat si kopu skladový pohotovosti u dodavatele HW a mraky dalších věcí. Myslím, že jsem První multimediální na vybudování takový infrastruktury utratil za pár let několik milionů a po čase to byla jen kopa starýho železa.

To ale bylo před 10 lety. Dneska si v Keboole všechno pronajímáme. Od systému na správu zdrojových kódů, centrální analýzy logů, služby na profilling aplikací, autentizaci uživatelů, dohledový systém až po službu na řízení projektů… 

Zkusmo jsem prošel přijaté faktury a sepsal podle nich za co všechno někomu platíme. Měsíčně to vyjde na cca 300.000,- Kč a stoupá to (jsme firma o 20 lidech). Když nic jiného, bude třeba tenhle soupis pro někoho inspirací.

UPDATE: doplnil jsem ceny, pokud není napsáno jiné, jsou to finální ceny za měsíc používání. U OVH, AWS a GoodData cenu neuvedu.

github ($50)- repository zdrojových kódů, dáváme sem hlavně věci, co jsou veřejné
bitbucket ($10) - repository zdrojových kódů privátních věcí
papertrail ($125) - služba, kam posíláme logy a můžeme je tady analyzovat, nad logama se mohou pouštět různé dotazy, které je možné podle výsledku někam notifikovat, zkoušel jsem ještě Splunk Storm a Loggly, ale Papertrail nám sedl nejvíc
sendgrid ($10) - tohle je náš centrální mail relay ze serverů, nikdo nás podle IP nepovažuje za spammery a email traffic se dobře monitoruje
newrelic ($300) - serverový profiling aplikací, naprosto super věc, díky tomu vidíme, kde nám co vázne :-)
okta ($125) - nám zajišťuje správu hesel a autentizaci do jiných služeb, přičemž pro vstup do našeho okta.com portálu potřebujeme HW autentizační zařízení (smartphone), dobře se tu sdílí hesla do věcí, jako je firemní twitter (=vysoká bezpečnost přístupů) UPDATE: odpískal jsem Oktu, důvody jsou složité a nebudu je sem dávat
OVH (-) - nám dodává servery pro některé datové transformace, máme to někde na východě Kanady
PagerDuty ($49) - používáme pro distribuci notifikací (zalogované problémy detekuje Papertrail, který založí v PagerDuty "problém" a postará se, že se o něm dozvíme)
Paymo ($110) - tady trackujeme práci na projektech
Pingdom ($10) - nám nezávisle hlídá dostupnost serverů, kterou veřejně publikujeme
Evernote ($60) - máme firemní sponzorovanou skupinu, já ho miluju a jsem Evernote propagátor :)
Foocall ($40) - používáme na volání do zahraničí. v telefonu si tím vygenerujeme lokální telefonní číslo (pevnou linku), na kterou pak zavoláme a foocall hovor přesměruje kam potřebujeme. skvěle použitelné i na EDGE internetu, cena za minutu téměř zanedbatelná 
Google Apps ($120) (by netmail.cz) - emaily, dokumenty, BigQuery, hangouty, atd..
Trello ($20) - skvělá věc na správu projektů (hodně orientovaná na konkrétní úkoly), nediktuje vám žádnou metodiku, taková cloudová tabule s kartičkama
Vimeo ($12)- videoserver pro Keboola Academy video tutoriály
LiquidPlanner ($125) - ganttovy diagramy - řízení složitějších projektů :-)
GoToMeeting ($49) - hodně jsme to používali před Google Hangoutem, postupně ustupuje, ale pořád imho mnohem lépe fungující věc na online schůzky (nahrávání, fullscreen mod, app v telefonu, i pro lidi co nemají Google účet, ovládání cizí klávesnice, atd...)
Zendesk ($1380) - supportní systém, tady řídíme věci na support@keboola.com. Zendesk je zároveň obrovský zákazník GoodData
AWS (-) - sem nám teče nejvíc $$, v AWS máme servery, databáze, fronty, Redshift, DNS, CloudSearch, atd...
GoodData (-) - srdce našeho podnikání :-)
Apiary ($500 jednorázově) - v něm máme dokumentaci všech API, jsme hrdý držitel faktury číslo 1 :-)  
OpenBrand ($0) - tady máme naše brand assety :)
Dropbox ($0), Mailchimp ($0) - všichni znáte
+ pár "devel" věcí, jako je Travis ($0), Packagist ($0), aj.

Jsem přesvědčený, že před 10 lety by nemohla Keboola fungovat. Nedostali bysme se k tak klíčovým technologiím, jako je GoodData, Redshift, Papertrail, apod. Díky cloudu mohou (nejenom) firmy z mého seznamu pronajímat svoje služby v modelu "pay-as-you-go" - což nám dává možnost růst, měnit technologii a škálovat tak, jak je potřeba. Malá firma, jako jsme my, může směle přijímat výzvy, které byly dřív vyhrazené svalnatějším společnostem. Dneska se nebojím, že něco technicky nezvládneme. Vše je jen o chytrém návrhu architektury.

K otázce v nadpisu: určitě jo, ale s každou lopatou prachů vyhozenou oknem, nám do baráku leze nová příležitost. 
Díky za takový svět!

P.S. Co s tou mámou? Přišlo už bydlení v pronájmu do módy nebo mám něco začít hledat? :-)