Verschlüsselung in der Cloud

[calippo]

Ich will jetzt nicht in die Diskussion Verschlüsselung einsteigen, nur weil microsoft evtl. einen Masterkey hat bedeutet, dass nicht das jeder Hobbyhacker an diesen rankommt.

Ja, ich finde diese Diskussion auch anstrengend. Wer da eventuell wie Zugang bekommt, kann ich gar nicht absehen. Grundsätzlich vertraue ich MS ja, sonst wäre die Nutzung von Windows für mich ja nicht möglich. Dass bestimmte Behörden ggf. dennoch Zugriff haben, kann ich nicht ausschließen.

Ich habe für mich entschieden, alles zu verschlüsseln, so weit das praktikabel für mich machbar ist und gut ist. Mit Cryptomator funktioniert das wunderbar im Zusammenspiel mit onedrive. Das Tresorfeature kam bei Onedrive erst, nach dem ich bereits Cryptomator in Betrieb hatte. Ggf. wäre das auch eine Möglichkeit, ich finde die Trennung von Verschlüsselung und Datenspeicherort aber grundsätzlich nicht schlecht. So kann ich relativ einfach umziehen, mal abgesehen von der Dateinamenproblematik.

 

[Kausu]

Obwohl es closed source ist, gibt es einen Punkt der mir bei boxcryptor besser gefiel. Entweder bin ich zu doof aber onedrive file on demand haut bei manchen Dateien dazwischen und ich kann einfache Textdatein aus dem Cryptomator Container nicht mehr öffnen und ich möchte eigentlich gar keinen lokalen Synchronisationsordner.
Ich möchte auf Onedrive einen verschlüsselten Container erstellen und diesen per Cryptomator bedienen aber naja 100% zufrieden ist man selten^^

Ergänzung (29. März 2021)

Ja, ich finde diese Diskussion auch anstrengend. Wer da eventuell wie Zugang bekommt, kann ich gar nicht absehen. Grundsätzlich vertraue ich MS ja, sonst wäre die Nutzung von Windows für mich ja nicht möglich. Dass bestimmte Behörden ggf. dennoch Zugriff haben, kann ich nicht ausschließen.

Es kommt auch darauf an, vor was man sich schützen will. Meine Dokumente sollen nur gegen Hausbrand etc. (hab ich schon erlebt) gesichert sein. Die Frage ist auch, wenn es einen Masterkey gibt ob sie den rausrücken. Nimm mal Bitlocker. Hat MS da Möglichkeiten ranzukommen? Vielleicht - aber ob sie dieses Geheimnis für Deutsche Behörden rausrücken? Wohl eher weniger.

 

[calippo]

Nimm mal Bitlocker. Hat MS da Möglichkeiten ranzukommen? Vielleicht - aber ob sie dieses Geheimnis für Deutsche Behörden rausrücken? Wohl eher weniger.

Richtig, ich vertraue Bitlocker ja auch entsprechend. Für mich hat Cryptomator den Vorteil, dass ich auch Daten vom NAS nach Onedrive verschlüsselt hochladen kann (Den Tresor kann ich doch wahrscheinlich nur mit dem Onedrive-Client erreichen, oder?) oder auch auf externe Festplatten speichern kann. Mir gefällt der plattformübergreifende Ansatz.

 

[Mini-Mi]

2 kurze Nachfragen:

1. Was spricht gegen Magenta Cloud? Ich dachte eigentlich mit der Telekom kann man nicht viel verkehrt machen.

2. Thema Passwörter. Einen Passwortmanager nutze ich nicht. Ich habe alles mit Firefox gespeichert und würde dann einfach die PW *.csv Datei exportieren und sichern. Was haben PW-Manager hier für Vorteile?

 

[maloz]

Was haben PW-Manager hier für Vorteile?

Na dass deine Passwörter nicht in irgendeinem CSV File im Klartext vorliegen...
Außerdem bieten die gängigen PW Manager sehr komfortable Möglichkeiten auch am Smartphone. Aber da kannst du ja selbst nach googlen...

 

[Autokiller677]

1.) Mit der Telekom kann man häufig eine Menge falschmachen... bei der Kritik hier wurde ja dabei geschrieben, was das Problem ist.

2.) Mit einem ordentlichen PW Manager kann man Passwörter in verschiednene Browsern & auf verschiedenen Geräten nutzen, und man kann verschlüsselte Backups erstellen, kann sinnvoll automatisiert Backupen (oder es liegt eh in einer Cloud), statt mit Klartext-Dateien zu hantieren & die nur alle paar Monate oder so manuell zu aktualisieren.

 

[Kausu]

1. Was spricht gegen Magenta Cloud? Ich dachte eigentlich mit der Telekom kann man nicht viel verkehrt machen.

Wie gesagt die haben Probleme mit Cryptomator und dessen lange Verzeichnisnamen.
Hatte ich dir ja bereits verlinkt. Es gab einen Workaround aber irgendwie hat der aufgehört bei mir zu funktionieren und wenn ich mir das Forum von Cryptomator so ansehe scheint das öfters zu passieren.
Nur meine Meinung aber wenn du mit cryptomator, oder boxcryptor, arbeitest hast du aes und wenn du da ein richtig dickes Passwort nimmst kannst du auch US Clouds nutzen - Datenschutz "hin oder her" sind die von der Benutzung und Stabilität um einiges besser als die Magentacloud.

Übrigens würde ich sie auch als sicherer ansehen - Magentacloud hat keine 2FA. Wohl bei verschlüsselten Daten nicht so wichtig aber es nutzen ja auch genug Clouds ohne Verschlüsselung und da wäre mir 2FA schon wichtig.

Es gibt aber sicherlich auch noch andere deutsche Anbieter und Nextcloud ist auch eine Möglichkeit. Ich will hier keinen zu US Firmen überreden aber die Magentacloud, so sympathisch sie wirkt, würde ich denen nicht vorziehen

 

[Mini-Mi]

Ich frage nochmal doof nach (sorry - ich bin ganz neu in der Thematik und weiß es wirklich nicht besser).

Ich benutze ja nun Firefox nebst deren Lockwise. Ist das nicht im Prinzip auch ein Passwortmanager alá Keepass? Also das selbe in grün? Wenn ich da nichts als csv exportiere sollte doch auch alles verschlüsselt sein. Zumindest habe ich keine gegenteiligen Aussagen bzgl. des Firefox Accounts gefunden.

Oder ist das Firefox-Gedöns und ein "richtiger" PW Manager was grundlegend anderes?

 

[BeBur]

2.) Mit einem ordentlichen PW Manager kann man Passwörter in verschiednene Browsern & auf verschiedenen Geräten nutzen, und man kann verschlüsselte Backups erstellen, kann sinnvoll automatisiert Backupen (oder es liegt eh in einer Cloud), statt mit Klartext-Dateien zu hantieren & die nur alle paar Monate oder so manuell zu aktualisieren.

Außerdem:
Passwort-Safes erstellen dir automatisch sichere Passwörter und bieten auch Mechanismen, dass diese automatisch oder halbautomatisch oder zumindest ziemlich komfortabel (je nachdem, wie du den Safe einstellst) die Passwörter auf Websites oder in Programmen eintragen.
Weiteres:
Bei Dateien kannst du nie sicher sein, ob nicht eine temporäre Kopie deiner Excel-Datei irgendwo erstellt wird und/oder verbleibt. Excel und andere Programme erstellen solche Kopien gerne mal als Backup oder auch um bestimmte Funktionen zur Verfügung zu stellen.

Ich benutze ja nun Firefox nebst deren Lockwise. Ist das nicht im Prinzip auch ein Passwortmanager alá Keepass?

Ja, so ist es FALLS du Lockwise mit einem sicheren Passwort geschützt hast. Wenn man kein Passwort benötigt um an die Passwörter ran zu kommen -> nicht gut.
D.h. falls nein, dann vergib ein sicheres Passwort, das du dir merken kannst, hebe eine Kopie sicher auf und hebe eine weiter Kopie woanders sicher auf.

 

[Autokiller677]

Das ist grundsätzlich schon ähnlich, aber du bist halt an Firefox gebunden, kannst es nur auf dem einen Gerät nutzen usw.

Und verschlüsselt ist es nur, wenn du ein Masterpasswort vergeben hast - FF erlaubt es leider immer noch, den PW-Manager ohne Master-PW zu nutzen, und dann ist alles dauerhaft unverschlüsselt.

 

[Mini-Mi]

Okay, das mit dem Hauptkennwort habe ich soeben nachgeholt. War in der Tat alles ohne PW zugänglich. Wenn ich nun die csv exportiere und diese dann verschlüssle sollte doch alles Tutti sein.

Oder übersehe ich wieder was?

Dass ich damit an Firefox gebunden bin stört mich nicht. Ich nutze FF am PC + Android und der Sync ist einfach ein Träumchen.

 

[andy_m4]

Naja, Microsoft investiert z.B. jährlich eine Milliarde in ihre Cybersecurity.

Wie viel das bringt, hat man ja erst neulich wieder an Exchange und dem SolarWinds-Hack gesehen. :-)

Ist ja hinreichend bekannt wie sehr die Geheimdienste in Daten ertrinken ohne damit viel anfangen zu können und

Das reicht aber immerhin dafür aus, das die anhand dessen irgendwelche Leute via Drohnen wegbomben. :-)

nur weil microsoft evtl. einen Masterkey hat bedeutet, dass nicht das jeder Hobbyhacker an diesen rankommt.

Das ist sicher richtig. Allerdings ist allein die Existenz eines Masterkeys schon ein Problem. Weil man eben nicht garantieren kann, das der Masterkey nicht doch mal in falsche Hände gerät.

 

[Kausu]

Stimmt. Ich persönlich habe eh wenig Ahnung von Kryptografie, besser formuliert die mathematischen Probleme dahinter kann ich nicht durchschauen., bzw. das Argument "Open Source ist sicher, weil Leute drüber schauen" bringt mir meistens auch wenig, da ich die Mathematik hinter Kryptografie nicht kann.
Nehmen wir mal Google Android Backup. Trotz dieses Audits schimpfen viele drauf, für imessage gibt es sowas ja auch, dass es total schlimm ist weil es von Google kommt und ich sitze dann daneben und denke mir nur newbiehaft "aber das Audit??"
https://www.nccgroup.com/ae/our-research/android-cloud-backuprestore/

Ergänzung (29. März 2021)

Okay, das mit dem Hauptkennwort habe ich soeben nachgeholt. War in der Tat alles ohne PW zugänglich. Wenn ich nun die csv exportiere und diese dann verschlüssle sollte doch alles Tutti sein.

Oder übersehe ich wieder was?

Dass ich damit an Firefox gebunden bin stört mich nicht. Ich nutze FF am PC + Android und der Sync ist einfach ein Träumchen.

Meinst du jetzt exportieren und sichern auf der Cloud? Ich weiß nicht wie das exportieren bei lockwise funktioniert. Kopiert er denn dann die bereits verschlüsselte Datenbank oder erhälst du eine offene Kopie? Davon würde ich es abhängig machen ob ich die auf dem Desktop nochmal verschlüssle

 

[andy_m4]

bzw. das Argument "Open Source ist sicher, weil Leute drüber schauen" bringt mir meistens auch wenig, da ich die Mathematik hinter Kryptografie nicht kann.

Das Argument "bei Open Source gucken mehr Leute rein" zieht ja auch nicht nur bei Programmierern, sondern auch für alle anderen, da die indirekt davon profitieren.
Wobei man ehrlicherweise sagen muss, das es weniger häufig vorkommt das da wirklich mal einfach so jemand reinguckt, weil solche Reviews auch relativ aufwendig sind. Nur weil man programmieren kann heißt das halt nicht, das man sofort jeden Programmcode versteht.
Und in der Praxis triffst Du auch hier und da auf ... na ich sag mal vorsichtig: qualitativ durchwachsenen Code.

In der Tendenz ist Open-Source-Code aber häufig trotzdem besser. Denn allein dadurch das Du den Source-Code veröffentlichst, entsteht bei Dir ein Druck das ordentlich zu machen. Du willst Dich ja auch nicht vor anderen blamieren. Außerdem ist es bei Open-Source-Projekten häufig so, das Du gerne Beiträge von extern haben willst. Die kommen aber nur, wenn Dein Code gut ist. Wenn der "Kraut & Rüben" ist und die Doku mangelhaft, dann mag sich da keiner mit beschäftigen.

Bei Closed-Source dagegen ist man viel öfter mal geneigt irgendwas "hinzupfuschen". Kann ja keiner reingucken.

Wie gesagt. Das kann man nicht grundsätzlich verallgemeinern. Es gibt gute Closed-Source-Projekte und auch miese Open-Source-Projekte. Aber eine Tendenz ist da schon ziemlich deutlich erkennbar.

 

[Mini-Mi]

Meinst du jetzt exportieren und sichern auf der Cloud? Ich weiß nicht wie das exportieren bei lockwise funktioniert. Kopiert er denn dann die bereits verschlüsselte Datenbank oder erhälst du eine offene Kopie? Davon würde ich es abhängig machen ob ich die auf dem Desktop nochmal verschlüssle

Lockwise erstellt eine csv im Klartext nach Muster: User + PW

 

[Kausu]

Ich kann schon halbwegs programmieren aber um Audits für Kryptografiesachen machen zu können müsste man doch auch Ahnung von der Mathematik dahinter haben. Sonst kann man doch gar nicht abschätzen ob die Implementierung einwandfrei ist oder versteh ich gerade was falsch?
Aber auch auf Audits scheinen viele nichts mehr zu geben oder warum schimpfen die Leute, trotz des Audits, zum Beispiel über das Google Backup?^^

Ergänzung (29. März 2021)

Wobei man ehrlicherweise sagen muss, das es weniger häufig vorkommt das da wirklich mal einfach so jemand reinguckt, weil solche Reviews auch relativ aufwendig sind. Nur weil man programmieren kann heißt das halt nicht, das man sofort jeden Programmcode versteht.

Wie gesagt- Ich wollte nicht über open source schimpfen. Keinesfalls! Aber dieses Argument ist manchmal etwas zu oft genutzt. Jeder schreibt "open source ist super, da kann man selbst kontrollieren" und um dieses selbst geht es mir. Das ist eine "Lüge" bzw. zumindest naiv. Ohne wirklich Zeit zu investieren kann ich nicht mal eben den Kernel von Linux kontrollieren^^ Also muss ich im ersten Moment jeder Software vertrauen - egal ob closed oder open.

@Mini-Mi
dann würde ich sie nochmal verschlüsseln.

 

[maloz]

Hab über die Mittagspause mal boxcryptor ausprobiert. Ist ja super easy. Der eigene private Key wird bei denen in der Cloud gespeichert, hat den Vorteil, dass wenn ich von unterwegs mit der App etwas in den Container hochlade, das gleich mit meinem Key verschlüsselt wird.
Unter Windows hat man funktionell keinen Nachteil, außer dass der Container als eigenes Laufwerk gemappt wird.

Das einzige was nicht geht, ich aber selten mal benutze, ist die Textsuche innerhalb von Dokumenten. Die boxcryptor App kann "nur" Dateinamen.

Also gar nicht mal so übel.
Überlege nun auch meine ganzen Dokumente da reinzupacken. ^^
Textsuche innerhalb von Dokumenten (PDFs) geht ja unter Windows ohne Probleme.

edit
Ausprobiert in Verbindung mit Google Drive.

 

[carnival55]

...mal wieder ein "kann ich das nicht auch so und so machen? und ist dann nicht auch sicher? was hab ich hier und dann übersehen?"....

Ein fundamentaler Grundsatz bei der Verschlüsselung lautet:

Wer den Schlüssel kontrolliert, kontrolliert den Inhalt.
(Wer das für sich mal aufarbeiten möchte, kann mal die De-Mail Geschichte nachvollziehen, Suchmaschinenstichwort: "Bullshit mady in Germany")

Es mag sein, dass $CLOUDANBIETER Verschlüsselung für die Daten anbieten (sowohl "in-transfer" als auch "at-rest").
ABER wenn der $CLOUDANBIETER die Verschlüsselung durchführt, passieren zwangsläufig 2 Dinge:

• er hat Zugriff auf den Schlüssel (ja, auch bei so'nem Mist wie "Bring-your-own-Key")
• er hat Zugriff auf die unverschlüsselten Daten (weil die Daten ja vor der Verschlüsselung logischerweise unverschlüsselt angeliefert wurden)

US-Anbieter unterliegen (völlig überraschend) US-Recht und können juristisch gezwungen werden ("NSL", CLOUD-Act, usw.), Daten herauszugeben (egal was in AGBs und sonstigen Erklärungen drin steht und egal wie oft die sich in der Vergangenheit gegen irgendwas gewehrt haben).

Will man sich dagegen schützen, muss man einen Weg finden, dass die Daten a) "vor" der Cloud verschlüsselt werden und b) ausgeschlossen werden kann, dass der $CLOUDANBIETER auch nur theoretisch in den Besitz des Ver- bzw. Entschlüsselungsschlüssels kommen kann.

Dafür gibt es inzwischen einige sinnvolle Vorgehensweisen. Die werden hier auch oft genannt.
Natürlich steht es jedem frei, sich selbst Gedanken zu machen und davon abzuweichen. Aber eben dann auch auf eigene Gefahr hin, dass das eigene Vorgehen Lücken enthält.

Deswegen ist die Antwort auf "Kann ich das auch $SO oder $SO machen?" -> Ja, kannste schon so machen, aber auf DEIN RISIKO.

Natürlich kann ich den PW-Speicher in Firefox nehmen, natürlich kann ich die PWs in eine CSV oder Excel oder $WHATEVER exportieren. Natürlich kann ich die Datei dann mit 7zip oder $WHATEVER verschlüsseln und $IRGENDWO hin speichern.
Bei jedem dieser Schritte können Probleme auftauchen.
Z.B. in Form von Sicherheitslücken im FF, in 7zip oder $SOFTWARE. Oder auch in der Benutzung ("Vergessen Master PW im FF zu setzen", "Schwache Verschlüsselung in 7zip ausgewählt", "aus Versehen unverschlüsselt hochgeladen", ...)

SINNVOLL ist es, einen PW-Manager zu nehmen (über Details, wie "Hersteller" usw. kann man gern diskutieren), PWs nur und ausschließlich darin zu speichern und diesen entsprechend zu backuppen.
SINNVOLL ist es, seine sensiblen Daten mit einem Tool (über die Details, wie "Hersteller" usw. kann man gern diskutieren) zu verschlüsseln und erst dann in Dropbox, OneDrive, GoogleDrive, etc. hochzuladen.

Kann mein eigenes Vorgehen das auch? Vielleicht. Vielleicht auch nicht.

Vertraut man seinem $CLOUDANBIETER, weil der $x Mrd. p.a. in Security steckt, braucht man nicht verschlüsseln.

 

[andy_m4]

aber um Audits für Kryptografiesachen machen zu können müsste man doch auch Ahnung von der Mathematik dahinter haben. Sonst kann man doch gar nicht abschätzen ob die Implementierung einwandfrei ist oder versteh ich gerade was falsch?

Im Grunde ist die Situation noch schlimmer. Denn Kenntnisse in der Mathematik reicht allein nicht aus. Denn auch das gießen des Algorithmus in entsprechenden Programmcode ist nicht ganz Ohne weil man dabei sehr viel falsch machen kann.
Nicht umsonst wird üblicherweise auf etablierte Bibliotheken wie z.B. OpenSSL zurückgegriffen.
Was übrigens auch ein Problem sein kann. Wenn bei OpenSSL sicherheitstechnisch mal was kaputt ist (so wie vor ein paar Tagen erst wieder), sind auch gleich ganz viele Programme betroffen.

Jedenfalls ist da das Review halt nicht so einfach, weil der entsprechende Reviewer sich schon im Crypto-Bereich gut auskennen sollte. Und wo wir gerade bei OpenSSL waren: An "Heartbleed" hat man ja damals gesehen was herauskommt, wenn ein Entwickler das patcht der sich nicht auskennt.

 

[Kausu]

Will man sich dagegen schützen, muss man einen Weg finden, dass die Daten a) "vor" der Cloud verschlüsselt werden und b) ausgeschlossen werden kann, dass der $CLOUDANBIETER auch nur theoretisch in den Besitz des Ver- bzw. Entschlüsselungsschlüssels kommen kann.

Wollte er ja nicht. Es ging um den Worstcase wie Brand etc. Nicht, dass ich deine Ausführungen für falsch halte, ganz und gar nicht, aber um sich nur gegen Hausbrand zu schützen braucht er kein Kampf gegen US Gesetze versuchen
Im Prinzip kannst du bei keiner Software sicher sein ob die nicht doch was abgreift. Natürlich kannst du dich mit wireshark hinsetzen und schauen ob was abließt aber darauf hätte ich kein Bock. Das ist nämlich genau die Sache über die Andy und ich gerade geschrieben haben. Außer er setzt sich mit den benötigten Wissen hin und kontrolliert alles kann er gar nicht wissen, ob der Key nur bei ihm liegt.

Am Ende muss man wissen wogegen man sich schützen will. Würde ich Staatsgeheimnisse in Sachen wie icloud empfehlen bei denen Apple noch Keys hat. Nein. Um einfach die Daten gegen Verlust zu sichern. 'Warum nicht? Oder das Android Backup etc.