Einige der sensibelsten, privaten Daten werden in der Cloud gespeichert. Chat Historien im Facebook Messanger, eMails, Photos auf Amazon oder Google Drive, Bilder bei Facebook u.s.w. Wir vertrauen dabei darauf, dass die Internet Provider diese Daten sicher speichern und ungewollte Nutzung verhindern. Das dem nicht unbedingt so ist, habe ich bereits im Blog Datenkapitalismus aufgezeigt. Zero Access Encryption bietet die Möglichkeit die daten vor dem Zugriff der Provider oder etwaiger Leaks durch Einbrüche in deren Systeme zu verhindern.
Verschlüsseln mit Zero Access Encryption
Es gibt Möglichkeiten Daten sicher in der Cloud zu speichern. Die meisten Anbieter verschlüsseln die Datastores by default. Allerdings so, dass sie selber die Daten auswerten können. Zero Access Encryption ermöglicht eine Verschlüsselung auf dem Cloud Speicher, die nur vom Anwender wieder entschlüsselt werden kann. Dabei verschlüsselt der Server die Daten mit dem Publik Key des Anwenders, sobald diese hochgeladen werden. Die Daten sind damit sowohl für den Provider als auch für eventuelle Eindringlinge nicht mehr nutzbar.
Will der Anwender auf seine Daten zugreifen, werden diese verschlüsselt vom Server geladen und lokal mit dem private Key entschlüsselt. Somit sind die Daten ausschließlich während der kurzen Phase des Uploads bis zur Verschlüsselung auf dem Storage des Providers offen. Natürlich wäre es dabei immer noch möglich, dass der Provider die Daten abzweigt und auswertet, allerdings ist die Wahrscheinlichkeit deutlich geringer durch die sehr kleine Zeitspanne. Alternativ bietet es sich an die Daten auch lokal zu verschlüsseln und erst dann auf den Storage zu laden. Eines der Tools, die auch Gruppenschlüssel erlauben ist Boxcrytor.
Zero Access Encryption vs End To End Encryption
Am Beispiel eines Mailservers lässt sich der Unterschied gut erklären.
Nehmen wir an eine mail wird von GMail an ein O365 Account gesendet. Die Nachricht wird im Plaintext per SMTP übertragen und erst beim Empfang auf dem O365 Speicher verschlüsselt abgelegt. Azure verschlüsselt Daten per Default, allerdings mit Schlüsseln, die Microsoft generiert und im Zugriff hat. Der Anwender hat zwar die Option eigene Schlüssel zu verwenden, diese müssen dennoch im Azur Key Store verwaltet werden und sind somit im Zugriff des Providers. Also keine wirkliche Zero Access Encryption, das Prinzip ist dennoch ähnlich. Proton Mail bietet vollständige Zero Access Encryption. Der Private Key ist nur im Mailclient bekannt, nicht im Cloud Speicher.
Bei Ende zu Ende Verschlüsselung wird die Mail schon im Client mit den Public Zertifikat des Empfängers verschlüsselt. Nur der Empfänger kann die Mail mit seinem Private Key entschlüsseln. Die Nachricht wird verschlüsselt übertragen und auch verschlüsselt auf dem Cloud Storage gespeichert.
Aus dem Beispiel ist zu erkennen, dass Ende zu Ende Verschlüsselung die bessere, sicherere Methode ist. Was viele Provider dabei verschweigen ist, dass die Metadaten, also wer kommuniziert mit wem nicht verschlüsselt sind und sich daraus durchaus relevante Informationen und Muster ableiten lassen. So zum Beispiel auch bei WatsApp.
Zero Access Encryption löst viele Sicherheitsprobleme
Die meisten Provider implementieren entweder keine oder nur eine ansatzweise Zero Access Encryption. Das liegt zum natürlich daran, dass die Daten zu Werbezwecken verkauft werden, aber auch weil die Implementierung und zusätzliche Rechenleistung teuer werden können.
Die meisten Provider implementieren eine Verschlüsselung, bei der sie den Schlüssel selber kontrollieren. Das ist vergleichbar mit einer Tür die man verschließt und den Schlüssel dann in einer Schatulle hinterlegt, die dann wiederum viele Angriffsmöglichkeiten bietet. Ein gutes Beispiel ist der Angriff auf Yahoo mit über 3 Millionen verlorenen Accounts oder Facebooks Skandal mit Cambridge Analytica. Zudem ist es so einfach möglich Backdoors für staatliche Überwachung zu implementieren. Es gibt diverse Veröffentlichungen zum Thema unter anderem auch im renommierten CSO Magazin. Zero Access Encryption hilft zudem Compliance Regeln der GDPR einzuhalten.