|
Wie schützen sich private Nutzer und Firmen am besten bei der Nutzung von Cloud-Diensten?
Dieser Abschnitt betrifft primär private Nutzer, aber alle diese Herausforderungen die hier jetzt beschrieben werden sind natürlich auch Stolperfallen für die Nutzer, die Cloud-Dienste im Unternehmen nutzen möchten (oder müssen) - Weiter hinten mehr für Firmen.
Daten in Cloud-Diensten abzulegen ist bequem und hat eine ganze Reihe von Vorteilen (auch dies gilt für Firmen wie Private). Aber man muss sich auch bewusst sein, welche Probleme sich dabei ergeben können. Wenn ich hier von Cloud-Diensten sprechen so meinen ich die bekannten Dienste wie iCloud, OneDrive, GoogleDrive, Google Docs, Dropbox, Microsoft Office365 und alle anderen Dienste bei denen Daten bewusst oder automatisiert in das Internet geladen werden.
Für Cloud-Dienste gilt wie für die meisten Dienste im Internet:
Wenn der Dienst kostenlos ist, so zahlt der Benutzer mit seinen Daten und den Informationen die der Dienst den Daten entnehmen kann. Auch hier gilt: Bist du nicht Kunde, dann bist du die Ware.
Eine wichtige Anwendungen von Cloud-Diensten ist die Datensicherung, z.B. automatisch für Smartphones. Da die viele Nutzer entweder gar keine Datensicherungen machen oder nur in sehr großen Abständen, so bedeutet dies in den meisten Fällen, dass die betroffenen Dateien bei einem der großen Anbieter besser gegen Verlust geschützt sind, als auf lokalen Geräten (die immer wieder mal defekt oder gar gestohlen werden).
Aber das bedeutet auch, dass diese Daten dann diesen Dienstleistern zur Verfügung stehen, z.B. für Auswertungen die zu gezielter Werbung und anderer Klassifizierung der Benutzer führen (für welche Zwecke auch immer - genaueres dazu ist oft in den AGBs zu lesen). D.h. wenn ich nicht möchte dass meine Daten von anderen "gesehen" werden, so darf ich solche Dienste (für diese Daten) nicht nutzen. Dies könnten z.B. Fotos sein, die nicht für die Öffentlichkeit bestimmt sind (so was soll es ja geben ;-) ) Oder es ist eine unverschlüsselte Datei in der Passworte für Bankkonten gespeichert sind.
Oft ist den Nutzern die Cloud-Nutzung gar nicht explizit bekannt, z.B. ist sie in modernen Systemen wie Smartphones oder Windows 10 oder auch MacOS oft als Grundeinstellung für die Datensicherung konfiguriert. Diese Funktionalität kann de-aktiviert werden, aber das muss aktiv durchgeführt werden.
In der Regel werden die Daten der Nutzer zwar verschlüsselt "in die Cloud" übertragen, sind dort jedoch unverschlüsselt (ja, auch die iPhone Sicherungen). Nur so können die Dienste die Daten auch für eigene Zwecke nutzen.
Auch wenn die großen Anbieter technisch sehr ausgefeilt sind und die Chance, dass die Daten dort durch technische Fehler verschwinden, gering ist (obwohl es immer mal wieder vorkommt) so gehen diese Sicherungen recht oft dadurch verloren, indem der Nutzer den Zugang zu ihren Accounts bei den Anbietern verlieren, z.B. weil ein Passwort verwendet wird das bei einem (möglicherweise anderen) Anbieter "gestohlen" wird. Oder Accounts gehen verloren weil Betrüger sich über Social Engineering Zugang verschafft haben. Oder weil der Rechner das Betroffenen infiziert ist und der Angreifer alle Passwort-Eingaben mitschneidet. Hier der link zu einigen Beispielen. http://www.sicherheitskultur.at/Cloud_Security.htm#story
Grundsätzlich erscheint es eine gute Idee, nicht alle seine Daten bei einem Anbieter zu speichern. So kann ich z.B. bei Google den Mail-Service nutzen, und meine Urlaubsfotos aber lieber über OneDrive mit der Familie teilen. Auf diese Weise reduzieren Sie das Wissen über Sie das jeder einzelne Anbieter hat. Andererseits haben mehr dieser Dienstleister Daten von Ihnen, die dort auch verloren gehen könnten.
Die folgenden Tipps sind eine Zusammenfassung eines englischsprachigen Artikels Five ways to protect yourself in a multi-device, multi-platform world. Die Tipps in dem Artikel sind gut, ich habe sie aber noch ein wenig ergänzt und kommentiert.
Der erste Punkt, den die Autorin bringt, ist sehr gut: Nutzer müssen aufhören, Computer- und Datensicherheit als ein Windows-Problem zu sehen. Smartphones sind Computer mit Stärken und Schwächen und vielen zusätzlichen Funktionalitäten, die auch von Angreifern ausgenutzt werden können. (An anderer Stelle gibt es Tipps für grundlegende Gerätesicherheit von PCs, Macs und Smartphones.
Und dazu kommt jetzt noch die ganz große Angriffsfläche der Cloud-Dienste und hier war es, wo es Mat Honan ja zuerst erwischt hat.
Punkt 1: Passwörter
Passwörter als Zugangskontrolle zu Informationen sind (derzeit noch) allgegenwärtig und nur ein begrenzter Schutz, wie wir an dem Beispiel gesehen haben. Bei dem geschilderten Angriff war es aber nicht die Schwäche des Passworts und nicht mal die Mehrfachnutzung, sondern, wie hier in der Geschichte, die Prozesse beim Zurücksetzen, beim Passwort-Vergessen Dialog, verbunden mit Social Engineering.
Natürlich ist gut, sichere Passworte zu verwenden, hier gebe ich Beispiele dafür, abers noch besser sichere Passworte sind 2-Faktor-Authentisierungen, z.B. durch Zusenden eines Zugangscodes in SMS. Wo immer so was angeboten wird sollte man so etwas nutzen.
Auch Passwort-Rücksendungen sind bei einigen Anbietern per SMS-Code möglich und sicherer als solche über einen 2. Email-Account (der kommt in der Regel eher in fremde Hände als das Handy).
Ganz schlecht ist es, wenn das gleiche Passwort auf mehreren Websites genutzt wird. Die ständigen (wöchentlichen) Passwortdiebstähle, hier als Beispiel im Sommer 2012, zeigen, wie schnell ein Passwort öffentlich wird und dann sollte maximal ein Service betroffen sein. Die einfachste Lösung, starke, aber unterschiedliche Passworte für jede Website zu verwenden ist ein Passwort-Manager Programm.
Punkt 2: Smartphone Gerätesicherheit und Geräteeinstellungen
Es spricht viel dafür, bei Smartphones die Gerätesicherheit zu einem Kaufkriterium zu machen. Die Offenheit von Android ist symphatisch, aber für die Sicherheit ein Riesenproblem. Sicherheitsupdates werden durch die Netzbetreiber oft viele Monate verzögert oder stehen für viele Modelle überhaupt nur für begrenzte Zeit zur Verfügung. Das hat oft gute Gründe, ist aber trotzdem ein Sicherheitsproblem. Ganz problematisch ist es bei den Android Modellen von denen nur wenige verkauft werden/wurden. Dort lohnt sich nach kurzer Zeit die Erstellung von Updates für den Hersteller und Netzbetreiber nicht mehr. Mehr dazu hier
Ganz wichtig ist der Zugriffsschutz, der sich automatisch bei Nicht-Nutzung aktivieren sollte. Alpha-numerische codes sind besser als 4-Stellen numerisch. Falls ein Geräte Fingerprint o.ä. als 2. Faktor unterstützt, so sollten Sie es als zusätzliche Sicherheit nutzen, nicht als einzige.
Backup der Daten ist auch bei Smartphones wichtig, aber auf einen eigenen PC ist besser als im Netz. Falls im Netz (in the cloud) dann auf jeden Fall nur verschlüsselt. Aber auch dann kann der Betreiber teilweise auf die Daten zugreifen, aber zumindest sind sie partiell geschützt.
Falls ihr Email-Anbieter Verschlüsselung anbietet, auf jeden Fall nutzen; bei Android muss USB-debugging auf jeden Fall de-aktiviert werden; Bluetooth nur im undiscoverable mode aktivieren und WLAN nur bei Bedarf einschalten (speziell bei der Nutzung von öffentlichen WLANs ist das Abhören von Verbindungen sehr leicht). An anderer Stelle gibt es weitere Informationen zu Smartphones.
|
Nov. 2013: Ich finde immer mehr Anbieter, die Cloud-Verschlüsselungen für Firmen anbieten. Einer davon ist Cypher-X. Die Lösung scheint aus einem Gateway zu bestehen, das Firmen bei ihrer Firewall installieren und Client-Programmen für verschiedene Betriebssysteme, die mit Active Directory (AD) verbunden sind.
Wenn dann ein Service, z.B. Dropbox, als 'trusted' dort eingetragen ist dann holt sich der Client einen Schlüssel aus AD und kommuniziert der Client mit Dropbox nur über dieses Gateway. Dabei werden die Daten vor dem Hochladen mit dem lokalen Schlüssel verschlüsselt. Solange alle Mitarbeiter den Client benutzen können Dateien innerhalb des Unternehmens geteilt werden, denn jeder Client holt sich den entsprechenden Schlüssel aus dem AD ab.
Die Software scheint mir aber keine Lösung für Services wie Office365 oder Google Docs zu sein, dort müssen die Daten (leider im Klartext auf dem fremden Server liegen).
Diese Aufgabenstellung soll bei Ciphercloud gelöst werden. Auch sie nutzen ein firmen-internes Gateway, über welches die Mitarbeiter auf Services wie gmail oder Salesforce.com zugreifen. Dabei werden in die sensiblen Datenfelder (bei Email z.B. Betreff, die Inhalte und die Anhänge) auf dem Weg in die Cloud zu verschlüsseln und beim Rückweg wieder zu entschlüsseln. Der große Unterschied zu HTTPS ist dass nicht der Datenstrom übers Internet verschlüsselt wird (das geschieht zusätzlich mittels HTTPS), sondern die Felder selbst. D.h. die Daten sind auch für die Administratoren von Google nicht lesbar (und damit auch nicht für die NSA).
Der Ansatz erscheint interessant, aber solange ein solcher Service es mir ermöglicht, in den verschlüsselten Daten zu suchen, solange ist die Art der Verschlüsselung schwach genug, um nicht wirklich sicher zu sein. Was dafür benötigt würde heißt Homomorphe Verschlüsselung und ist zwar theoretisch möglich, praktisch auf Grund zu großer Anforderungen an die Rechenleistung (noch) nicht einsetzbar.
|
Punkt 3: Spezielle Fragen bei Cloud-Diensten
Die Unsicherheit von Cloud-Diensten war es, was in der Eingangsgeschichte die Katastrophe ausgelöst hat. Jeder von uns nutzt bereits ganz viele davon und es werden ständig mehr und oft sind die Dienste nur mit Mühe zu deaktivieren - Windows 8 hat damit begonnen und Windows 10 hat neue Maßstäbe in dieser Richtung setzen.
Wichtig ist, dass wir als Nutzer von Cloud-Diensten nie vergessen, dass die Daten außerhalb unserer Kontrolle sind. Wir lesen zwar ziemlich selten davon, dass Cloud-Daten verloren gehen, aber manchmal verschwinden sie aus unterschiedlichen Gründen (technische Gründe oder auch juristische Gründe wie bei Mega-Upload).
Außerdem lesen werden wir es fast nie in der Zeitung lesen, wenn nur einzelne Benutzer ihre Daten verlieren, z.B. durch einen gezielten oder auch nicht gezielten Angriff wie oben geschildert.
Es ist absolut üblich dass Angreifer, wenn sie einen Webmail Account übernehmen können (entweder durch ein gestohlenes Passwort oder Social Engineering wie in dieser Geschichte), als erstes mal ALLE Mails löschen um die Opfer von ihren Kontakten zu separieren und eine Nachverfolgung zu erschweren.
Außerdem haben bei 95% der Dienste die Administratoren sehr wohl vollen Zugriff auf alle Daten. Mächtigere Angreifer sind sehr leicht in der Lage, so einen Service zu unterwandern oder einen Mitarbeiter zu bestechen oder zu erpressen, damit er ihnen Zugriff zu den Daten gewährt. Oder Hacker holen sich die Daten direkt über eine Sicherheitslücke.
Das heißt, . . .
Erstens müssen die Daten gegen Zugriff geschützt werden, dazu siehe die Punkte 1 und 2.
Zweitens darf in Web-Diensten nie die einzige Kopie von wichtigen Daten gespeichert sein, es muss immer eine Kopie irgendwo physisch greifbar sein. Gesichertes (verschlüsseltes) Cloud-Backup als zusätzlicher Schutz kann aber eine gute Idee sein, z.B. um zu vermeiden dass bei einem Einbruch (oder Feuer) nicht nur der Rechner sondern auch gleich das Backup verloren geht.
Bei der Entscheidung für bestimmte Web-Dienste ist es ganz wichtig, sich über die Sicherheit zu informieren (z.B. hier zu Dropbox & Co.). Die Sicherheit ist sehr unterschiedlich und oft nicht sehr hoch.
Die Schwachstelle die Mat Honan zum Verhängnis wurde, waren die Passwort-Rücksetzungen. Hier ist es ganz wichtig mal zu schauen, ob das bei dem gewählten Service vernünftig abzusichern ist, z.B. mittels SMS-Code.
Sehr sensible Daten darf man nur dann in-the-cloud speichern, wenn man sie selbst VOR dem Hochladen, verschlüsselt hat. Solche Dienste gibt es, aber sie sind selten. Zumeist liest man Sachen wie "die Daten werden verschlüsselt gespeichert", was nicht viel bedeutet solange der Dienstleister und seine Mitarbeiter Zugang zum Schlüssel haben.
Punkt 4: Malware-Schutz
Für die PCs und Macs sehr wichtig, bei Smartphones wird es angeboten, bringt aber aus technischen Gründen nicht viel (die Entwickler von Malwareschutz beklagen sich, dass sie keinen Zugang zu Systemschnittstellen bekommen, daher läuft auch solche Software in einer Sandbox und bekommt nicht wirklich mit, was auf dem Smartphone passiert).
Bei Smartphones ist es wichtig, dass nur Apps aus offiziellen App Stores genutzt werden. Google und Apple scannen die Apps vor der Freigabe, das ist zwar kein 100%iger Schutz, aber besser als andere App Stores die voller betrügerischer Apps sind (zum Teil Kopien von bekannten Spielen mit Schadcode erweitert).
Auch das Rooten oder Jail-Breaking der Smartphones ist keine gute Idee. Damit werden die Sicherheitskonzepte deaktiviert.
Punkt 5: Desaster Recovery Planung - Fortgeschrittene Datensicherung
Bei diesem Punkt hat es Mat Honan hart erwischt. Er wusste, dass er seine MacBook Daten hätte sichern sollen, aber er hatte es 1 1/2 Jahre nicht getan. Jetzt sind die Kinderbilder weg. Sicheres Arbeiten bedeutet 2 zusätzliche Kopien an unterschiedlichen Orten, z.B. eine Festplatte im Büro. Ich persönlich verwende dafür die Shareware Allway Sync -aber das geht auf sichere Weise nur lokal, nicht in eine Cloud.
Es gibt aber auch Menschen, die machen solche Sicherungen verschlüsselt auf einen Cloud-Speicher Dienst. Hier eine Hilfestellung, wie man Truecrypt und Dropbox (oder einen anderen Anbieter) miteinander verknüpüfen kann. Der Text ist recht einfach geschrieben und erklärt jeden der Schritte auch für jemanden, der noch nie Truecrypt genutzt hat. Der Trick scheint darin zu bestehen, dass ausgenutzt wird, dass der Dropbox-Client nur die Datenblöcke überträgt, die sich geändert haben, d.h. es wird bei kleinen Änderungen im Truecrypt-container nicht der ganze Container übertragen.
|
Home