30Aug
Die jüngsten Enthüllungen über die staatliche Überwachung haben die Frage aufgeworfen, warum Cloud-Dienste Ihre Daten nicht verschlüsseln. Nun, im Allgemeinen verschlüsseln sie Ihre Daten, aber sie haben den Schlüssel, damit sie ihn jederzeit entschlüsseln können.
Die eigentliche Frage ist: Warum verschlüsseln und entschlüsseln Web-Services Ihre Daten nicht lokal, sodass sie in verschlüsselter Form gespeichert werden, die niemand ausspionieren kann? LastPass tut dies schließlich mit Ihrer Passwortdatenbank.
Wie Ende-zu-Ende-Verschlüsselung anders wäre
Um es klar zu sagen, Ihre Daten sind wahrscheinlich verschlüsselt. Nehmen wir zum Beispiel Dropbox. Wenn Sie eine Verbindung zu Dropbox herstellen, überträgt Dropbox alle Daten über eine verschlüsselte Verbindung, sodass niemand während der Übertragung auf sie zugreifen kann. Dropbox verspricht auch, dass sie Ihre Dateien verschlüsselt auf ihren Servern speichern.
Verschlüsselung ist jedoch eine Sperre, und ob etwas gesperrt ist, ist weniger wichtig als wer den Schlüssel hat. Dropbox verfügt über den Verschlüsselungsschlüssel, um alle Ihre Dateien auf ihren Servern anzuzeigen. Obwohl es stimmt, dass es verschlüsselt ist, ist es auch möglich, dass Dropbox vollen Zugriff darauf hat und dass sie mit der staatlichen Überwachung kooperieren können oder ein Schurke Ihre Dateien durchsuchen könnte.
Die Idee der "Ende-zu-Ende-Verschlüsselung" - man könnte sie auch als "lokale Ver- und Entschlüsselung" bezeichnen - ist anders. Bei der Ende-zu-Ende-Verschlüsselung werden die Daten nur an den Endpunkten entschlüsselt. Mit anderen Worten, eine E-Mail, die mit Ende-zu-Ende-Verschlüsselung gesendet wird, wird an der Quelle verschlüsselt, für Dienstanbieter wie Google Mail während der Übertragung nicht lesbar und dann an ihrem Endpunkt entschlüsselt. Entscheidend ist, dass die E-Mail nur für den Endbenutzer auf ihrem Computer entschlüsselt wird und in verschlüsselter, nicht lesbarer Form für einen E-Mail-Dienst wie Gmail verbleibt, der nicht über die zur Entschlüsselung verfügbaren Schlüssel verfügt. Das ist viel schwieriger.
Download und lokale Entschlüsselung
Wie bereits erwähnt, verwendet LastPass lokale Verschlüsselung und Entschlüsselung über Ihren Webbrowser. Es lädt ein verschlüsseltes Blob mit Ihren Passwörtern herunter, entschlüsselt es mit Ihrem Passwort und ermöglicht Ihnen den Zugriff auf Ihre Passwörter. Beachten Sie, dass LastPass Ihr gesamtes Depot aus Passwörtern und anderen Daten herunterladen muss, um es zu entschlüsseln. Im Fall von LastPass funktioniert das ganz gut - es ist eine ziemlich kleine Datei.
Bei anderen Webdiensten wäre dies jedoch nicht annähernd so einfach. Wenn Google Mail beispielsweise ähnlich funktioniert, muss Google Mail eine Datei mit Ihrem gesamten 5-GB-E-Mail-Posteingang auf Ihren Computer herunterladen. Es könnte vielleicht die LocalStorage-Spezifikation von HTML5 dafür verwenden, wenn LocalStorage mehr Daten speichern könnte. Diese Datei müsste dann lokal entschlüsselt werden, um den Zugriff auf Ihren E-Mail-Posteingang zu ermöglichen, was eine Weile dauern würde.
Es ist möglich, dass Google Mail dies anders macht, mit einer separaten Datei, die jede neue, verschlüsselte E-Mail darstellt. Aber die Architektur eines E-Mail-Clients ist auf diese Weise viel komplexer.
Das wäre heutzutage mehr oder weniger unmöglich - LocalStorage ist in beliebten Browsern oft auf 5 MB oder weniger pro Website beschränkt. Die Spezifikation besagt, dass Benutzer in der Lage sein sollten, dieses Limit zu erhöhen, wenn sie möchten, aber nur wenige Browser implementieren dies.
Keine sicheren Web-Apps
Cloud-Speicherdienste wie SpiderOak und Wuala unterscheiden sich von Dropbox - sie bieten vollständige lokale Verschlüsselung und Entschlüsselung. Installieren Sie das Desktop-Programm für SpiderOak oder Wuala und sie verschlüsseln Ihre Dateien vor dem Hochladen, so dass der Dienst selbst nie weiß, was Sie speichern und Ihren -Verschlüsselungsschlüssel für den Zugriff benötigt.
Diese Dienste unterscheiden sich jedoch auf andere Weise von Dropbox - sie unterstützen nicht die Verwendung einer Webschnittstelle für einen einfachen Zugriff. Dropbox bietet eine Web-App, mit der Sie auf Ihre Dateien zugreifen können, weil sie versteht, was diese Dateien sind. SpiderOak und Wuala verstehen nicht, was Sie speichern. Es ist viel einfacher für sie, dass Sie einfach alle verschlüsselten Blobs mit Ihrem Desktop-Programm herunterladen können und das Desktop-Programm die harte Arbeit erledigen lässt.
Mit diesen Diensten können Sie die verschlüsselten Dateinamen entschlüsseln und verstehen, die verschlüsselte Datei in Ihren Browser laden( möglicherweise über LocalStorage), einen Entschlüsselungsalgorithmus verwenden, um sie lokal zu entschlüsseln, und Sie dann auffordern, sie auf Ihrem Computer zu speichern. Aufgrund der Einschränkungen von LocalStorage wäre dies in der Praxis unmöglich.
SpiderOak stellt tatsächlich eine Web-App zur Verfügung, obwohl sie es nicht empfehlen, sie zu verwenden, da sie den SpiderOak-Verschlüsselungsschlüssel auf ihren Servern im Speicher ablegen muss, während Sie auf Ihre Dateien zugreifen. Sie sagen, dass sie es als Ergebnis einer "überwältigenden Kundennachfrage" bereitstellen - sogar bei einem Dienst, der für seine Verschlüsselung und Sicherheit bekannt ist, verlangen die Kunden überwiegend bequemere, unsichere Optionen.
Keine Spam-Filterung, Suche und andere intelligente Funktionen
Dienste wie Google Mail sind etwas Besonderes, da sie zusätzliche Dienste bieten, anstatt nur eine Box zu sein, die alle Ihre E-Mails enthält. Gmail untersucht beispielsweise eingehende E-Mails und führt einen Spamfilter aus, um festzustellen, ob es sich um Junk handelt. Google Mail indexiert Ihre E-Mails, sodass Sie sie schnell durchsuchen können. Google Mail untersucht den Inhalt einer E-Mail teilweise, um festzustellen, ob dies wichtig ist, und ermöglicht es Ihnen, Filter einzurichten, die automatisch Aktionen basierend auf dem Inhalt einer E-Mail ausführen.
Alle diese Funktionen basieren darauf, dass Google Mail und Google Ihre E-Mails verstehen und Zugriff darauf haben. Wenn sie keinen Zugriff hatten, konnten sie keine Spam-Filterung durchführen, das Filtern von E-Mails anhand ihres Inhalts aktivieren oder die Suche in Ihrem Posteingang zulassen. Viele der wichtigsten Funktionen hängen davon ab, dass der Dienst Zugriff auf Ihre Dateien hat.
No Password Recovery
Die meisten Online-Dienste bieten Mechanismen zur Passwortwiederherstellung. Für eine wirklich sichere lokale Verschlüsselung kann jedoch kein Passwortwiederherstellungsmechanismus vorhanden sein. Sie haben Ihren Verschlüsselungsschlüssel, der Ihre Dateien entschlüsselt. Wenn Sie den Zugriff auf diesen Schlüssel verlieren, können Sie Ihre Dateien nicht mehr entschlüsseln.
Es wäre unmöglich, einen Mechanismus zum Zurücksetzen des Kennworts anzubieten, wenn der Dienst den Inhalt der Daten nicht kannte. Dienste können dies jetzt tun, da Ihr Kennwort lediglich eine Möglichkeit zur Authentifizierung mit Ihrem Konto darstellt. Es handelt sich hierbei nicht um einen obligatorischen Code, der Ihre Daten zugänglich macht. Selbst wenn Dienste leicht auf Ende-zu-Ende-Verschlüsselung umgestellt werden könnten, würde dies zu einer Pause führen - viele durchschnittliche Benutzer würden ihre Verschlüsselungsschlüssel vergessen, ihre Daten verlieren, sich beschweren und dann zu einem unverschlüsselten Anbieter wechseln. Der Dienst würde ermutigt werden, die Verschlüsselung zu lockern.
SpiderOak versucht seinen Benutzern zu helfen, indem es ihnen einen Passwort-Hinweis gibt, den sie bei der Einrichtung des Accounts angegeben haben, aber es kann das Passwort nicht vollständig zurücksetzen. Vergessen Sie Ihr Passwort und Ihre Dateien sind verschwunden, vorausgesetzt, sie sind nicht auf einem lokalen Computer gespeichert.
Sie möchten Ihre Daten oder Zielanzeigen verkaufen
Wir werden nicht so tun, als ob: Viele Dienste möchten auch Ihre persönlichen Daten analysieren und sie verwenden, um Geld zu verdienen. Google scannt Ihre E-Mails und verwendet die Informationen, die Sie über Sie haben, um zielgerichtete Anzeigen zu präsentieren, aber zumindest werden diese persönlichen Informationen nicht an andere Unternehmen verkauft. Facebook verkauft Ihre persönlichen Daten direkt an andere Unternehmen.
-Dienste benötigen Zugriff auf Ihre Daten, damit sie dies tun können. Daher haben sie einen Anreiz, keine starke Ende-zu-Ende-Verschlüsselung bereitzustellen.
Dies ist bei weitem nicht der einzige Grund, warum die lokale Verschlüsselung und Entschlüsselung Ihrer persönlichen Daten für die überwiegende Mehrheit der Cloud-Dienste nicht möglich ist. Wir hoffen, dass dies die schwierigen Probleme aufgeklärt hat und warum so viele Ihrer Daten theoretisch von anderen Menschen gelesen werden können. Es gibt möglicherweise einfachere Möglichkeiten zum Implementieren einiger Verschlüsselungsfunktionen, z. B. indem Benutzern das Senden einer verschlüsselten E-Mail über Google Mail ermöglicht wird. Sie sollten jedoch nicht erwarten, dass in naher Zukunft alles lokal verschlüsselt und entschlüsselt wird.
Bildquelle: Andy Roberts auf Flickr