Cloud-Computing und die Sicherheit

[itari]

Ganz ehrlich: Wer hat schon mal darüber nachgedacht, die Daten grundsätzlich auch im Programm verschlüsselt zu verwenden? Warum? Weil sie normalerweise ja unverschlüsselt im RAM liegen und auch von mit Superuser-Rechten ausgeführten Programmen über die Prozessgrenzen hinaus gelesen werden könnten. Wieso sollte mich das interessieren, ich bin doch der alleinige Herrscher über meine Rechnerwelt ... könnte jetzt jemand sagen. Klar doch und wir müssen jetzt auch nicht die Angriffe von Mal-Ware diskutieren. Aber wenn ich dem Trend folgend, meine Daten einer Cloud zur Verarbeitung reiche, dann sieht es auf einmal anders aus.

Weiter lesen hier - auch die Kommentare sind interessant.

Itari

 

[itari]

Nun wird endlich auch die Rechtssicherheit thematisiert: http://www.heise.de/newsticker/meld...echtssicherheit-fuer-Cloud-Daten-1278767.html

Itari

 

[Ap0phis]

"Datensicherung in der Cloud!" Ein Widerspruch in sich!

NIEMALS werde ich so blauäugig sein!

Leider folgen imho viel zu viele User mehr oder weniger Gedankenlos den vielen Internet-Trends.

Habe gerade mal einen Versicherungsvergleich für mein KFZ machen wollen.
Habe alles wahrheitsgemäß aber möglichst neutral eingegeben und am Ende wollten die vor der Ausgabe der Ergebnisse meine kompletten persönlichen Daten haben. Schade aber auch!

 

[_TokTok_]

"Datensicherung in der Cloud!" Ein Widerspruch in sich!

Wo liegt hier der Widerspruch?

Leider folgen imho viel zu viele User mehr oder weniger Gedankenlos den vielen Internet-Trends.
Habe gerade mal einen Versicherungsvergleich für mein KFZ machen wollen.
Habe alles wahrheitsgemäß aber möglichst neutral eingegeben und am Ende wollten die vor der Ausgabe der Ergebnisse meine kompletten persönlichen Daten haben. Schade aber auch!

Trauriger Trend den ich auch wahrnehme, hat aber nichts mit der Cloud zu tun.

 

[Ap0phis]

Wo liegt hier der Widerspruch?

Das ist genau so, als wenn ich irgend einem Nachbarn meine verschlüsselte Festplatte zur Aufbewahrung geben würde. Ich weiß zwar wo sie ist, aber nicht, was damit angestellt wird.

Trauriger Trend den ich auch wahrnehme, hat aber nichts mit der Cloud zu tun.

Stimmt, sollte auch nur ein weiteres Beispiel bzgl. der aktuellen Trends sein. Auch hier machen sich sicher viele keine Gedanken um die persönlichen Daten, die bei einem reinen Tatsachenvergleich absolut irrelevant sind.

 

[randfee]

die Verschlüsselung machts halt!
Ich kann mir durchaus vorstellen auch wichtige Daten in der Cloud vorzuhalten bzw. dorthin zu backupen (mache ich schon, auf meinem webspace liegen z.B. wichtige Dokumente )... AABER, die sind in einem TrueCrypt Container.
Grundsätzlich kommt es mir aber auf die Art der Daten an. Apple's iCloud mit iOS 5 fürs iPhone und den Spielereien wie Foto-Sync etc... werde ich nutzen, klingt sehr gut integriert (Apple halt) und ist dadurch sicher komfortabel. Adressen und Kalender habe ich bisher auch alle über Apples MobileMe synchronisiert.

Ich verstehe auch ehrlich gesagt wie ihr nicht, warum die Daten nicht eigens verschlüsselt vorliegen und zwar getrennt vom eigentlichen Service. Stelle mir das so vor:
Es müsste einfach zwei Passwörter geben... eines für den Sync bzw. Service/Webzugang zum Cloud-Account (so wie jetzt) und ein Zweites, welches das Gerät legitimiert, quasi die Datenverschlüsselung. Wird der eigentliche Cloudservice kompromittiert, so gibt es zwar eventuell Verlust der Daten in der Cloud, für jeden mit Zugriff steht da aber nur Blödsinn.

Warum machen die das nicht so? Kapier ich net.

 

[_TokTok_]

"Cloud" ist halt gerade ein Hype. Aber die grundlegenden Prinzipien (Infrastruktur liegt bei einem Provider, Plattform liegt bei einem Provider, Service liegt bei einem Provider) gibt es doch schon sehr lange. Jeder der einen Account bei einem Webmailer hat, weiß wovon ich spreche. Langsam werden zusätzlich Speicher- und Rechenkapazitäten bezahlbar, damit eröffnen sich eine ganze Reihe an Möglichkeiten.

Datenschutz und Datensicherheit spielen natürlich eine enorm wichtige Rolle und ist für mich auch einer der kritischen Faktoren. Dafür muss man konstruktiv Lösungen finden und sich nicht grundsätzlich vor etwas verschließen was sowieso längst da ist.

Backups in die Cloud sind bei entsprechender Verschlüsselung das absolute Mittel der Wahl wenn ich meine Daten örtlich getrennt vorliegen haben möchte. Die Cloud kann meine Daten dank größerer Bandbreite viel schneller ausliefern wenn ich mal nicht in meinem Heimnetzwerk bin und online zugreifen muss. Ich finde das genial und möchte diesen Service nicht mehr missen.

 

[itari]

... und sich nicht grundsätzlich vor etwas verschließen was sowieso längst da ist.

Man kann über alles Sprüche machen, selbst über sowas: Netzwerkunsicherheit gibt es auch schon sehr lange, warum nicht einfach akzeptieren ...

Itari

 

[randfee]

Tok Tok.... ich kann aber keine Verschlüsselungsoption erkennen bei den gängigen "Cloud-Lösungen", welche mehr als reiner WebDAV/FTP Server sind. Die Automatismen sind ja gerade das praktische, aber wie ich schon schrieb. Es gibt nur ein Passwort und das ist für den Login/Verbindung zur Cloud, die Daten sind dann frei. Genau das stört mich! Wird der Zugang zum Cloud-Service kompromittiert (und da probieren sich ja tausende Hacker dran), dann wars das mit den Daten. Ein Unding. Das NAS im Netz (zuhause) z.B. ist ja weit weniger anfällig, selbst wenn potentiell weniger "bewacht"...einfach weil es klein und individuell und damit quasi "unsichtbar" ist.

Es gehört neben dem Login PW ein zusätzliches PW für eine Verschlüsselungsebene her, optional! Dann bin ich mit Feuer und Flamme dabei, denn die Verfügbarkeit und die Automatismen solcher Services sind halt schon genial!

 

[_TokTok_]

@itari: Das Zitat entstellt den Sinn meines Satzes. Nochmal: Immer gerne konstruktive Kritik, Lösungen suchen und finden.

"Cloud-Lösungen" können ja ganz unterschiedlicher Art sein. Ich habe das Gefühl wir sprechen in dieser Diskussion gerade von Infrastructure as a Service. Und hierbei erfindet der Anbieter (z.B. Amazon S3, Dropbox, Strato HiDrive) das Rad nicht neu, eine Infrastruktur die vorher im eigenen Rechenzentrum oder bei uns eher Heimnetzwerk stand, verlagere ich nur aus verschiedenen Gründen (Kosten, Erreichbarkeit, etc.). Es ändert sich nichts an den verwendeten Protokollen, die Sicherheit ist zunächst mal die gleiche. Wäre auch dramatisch, die Anwendungen sind ja gar nicht auf eine zweite oder gar dritte Ebene vorbereitet.

Als die Email im Labor erfunden wurde, spielte Datenschutz absolut keine Rolle und war einfach nicht vorgesehen. Das führte nun dazu, dass bis heute vermutlich 90% der User weder Emails verschlüsseln noch die Übertragung der Emails verschlüsseln weil sie die uralten Protokolle von damals verwenden. D.h. wir brauchen Protokolle die mehr Sicherheit bieten (gibt es im Fall von Email) und müssen diese auch verwenden. Was wir aber zusätzlich brauchen ist eine Verschlüsselung der Daten selbst. Wer sollte die Daten sinnvollerweise ver- und entschlüsseln? Wir selbst natürlich, damit wir die maximale Kontrolle darüber haben von wem oder wann die Daten verarbeitet werden. Wenn ich diese beiden Kriterien beachte: Ein sicheres Übertragungsprotokoll sowie von mir selbst ver- und entschlüsselte Daten, kann ich bei IaaS keine Sicherheitsproblematik erkennen sofern ich in der Cloud liegende Daten nur lokal verarbeite.

Jetzt ist Cloud ja aber oft nicht nur Infrastructre as a Service sondern auch Platform oder Software as a Service oder was man sich da sonst noch für buzzwords oder Möglichkeiten ausdenken mag. Hier krieg ich jetzt natürlich ein Problem wenn ich meine Kriterien anwende: Prozesse des Cloud Anbieters (dem ich ja grundsätzlich misstraue) müssen auf meine Daten zugreifen und diese auch verarbeiten. Wenn diese Daten verschlüsselt sind, kann er aber nichts damit anfangen. Der Ansatz des Artikels den itari verlinkt hat war eben, dieses Problem anzugehen. Und um hier Lösungen zu finden bedarf es wohl etwas mehr Gehirnschmalz von Leuten die hier Ahnung haben, ich bin da raus.

 

[itari]

@itari: Das Zitat entstellt den Sinn meines Satzes.

Glaub ich nicht wirklich ...

Itari