Verschlüsselung in der Cloud

[benneq]

Bei Klartext, CSV und co bitte daran denken, dass die Daten dann meist via copy&pasta benutzt werden. D.h. Sie landen in der Zwischenablage und in ungeschützten Bereichen des Arbeitsspeichers. Jeder kann sie auslesen.

Passwort Manager hingegen nutzen eine Schnittstelle, um die Passwörter in die Eingabefelder zu übertragen. Damit fällt die Zwischenablage schon mal weg. Und außerdem ist es möglich den benutzten Speicherbereich für die Übertragung besonders abzusichern oder zumindest möglichst schnell wieder zu leeren und mit Datenmüll zu überschreiben.

 

[carnival55]

Ich habe allerdings nie jemanden getroffen, der auch nur behauptet, dass so umzusetzen.

Als Blockchain und Bitcoin noch der "heiße sh*t" waren, hatten wir zu dem Thema mal einen Berater im Haus. Den habe ich gefragt, wie er sein Wallet sichert. Seine Antwort war: Er hat sich das Passwort in ein Stück Stahl gefräst. 3x. In 2 unterschiedlichen Bankschließfächern und 1x zu Hause.
(Ich weiß, ich weiß, n1ce story bro, kkthxbye )

 

[BeBur]

Hoffentlich hat er nicht wirklich "Passwort" gesagt .
Aber klar, bei so Bitcoin Geschichten ist es quasi noch deutlicher oder ggf. wichtiger. Alles was 'wirklich wichtig' ist, soweit ich mich gerade entsinne jedenfalls, ist behördlich irgendwie abgesichert, es gibt z.B. Prozesse dafür was mit Geld von Verstorbenen passiert.
Zugang zu wichtigen Assets mag verzögert sein und ist gerne mit viel Aufwand vebunden, das ist zuweilen schlimm genug. Aber bei Bitcoin ist das Geld dann ja wirklich für immer verloren wenn der Schlüssel weg ist. Machen sicher nicht viele, aber völlig abwegig finde ich die Story nun nicht, in Stahl fräsen ist auch dieses typische überdrehte und passt sehr gut zu der Szene.

 

[Prime2k]

Hab nun jeden Beitrag hier gelesen, aber NIEMAND hat einen SICHEREN Cloudanbieter empfohlen. Und nein, einer aus der EU ist nicht sicher... Ich werfe mal einen in den Raum, wo ich auch selber bin: https://www.li-life.li/ Natürlich teurer als 100GB Google Müll. Aber wenn man ein hohes Maß an Sicherheit will, kommt man da nicht drum herum.

 

[andy_m4]

Hab nun jeden Beitrag hier gelesen, aber NIEMAND hat einen SICHEREN Cloudanbieter empfohlen. Und nein, einer aus der EU ist nicht sicher... Ich werfe mal einen in den Raum, wo ich auch selber bin: https://www.li-life.li/

Wodurch definiert sich denn, das die sicher sind? Das die irgendwelche Selbstbehauptungen in den Raum werfen, das kann es ja nicht sein.
Dein Posting riecht daher etwas nach Werbung.

Wenn man starke Verschlüsselung einsetzt, braucht man dem Cloudanbieter nicht mehr zu trauen. Allerdings degradiert diese Vorgehensweise die Cloud zu reinen Datenhalde (was aber oftmals auch genügt). Der kann dann nicht auf den Daten operieren.

 

[snaxilian]

SICHEREN Cloudanbieter

Sicher vor wem oder was bzw. welchem Bedrohungsszenario? Es gibt nicht den einen perfekten super-duper-sicheren Dienst. Man definiert seine potentiellen Bedrohungen und wovor bzw. vor wem/was man "sicher" sein möchte bzw. wovor man sich schützen möchte und anhand dessen ergeben sich Kriterien nach denen man diverse Anbieter bewerten und auswählen kann.
Schön wenn du mit dem Anbieter zufrieden bist, ich sehe es wie @andy_m4. Eigene Verschlüsselung und mehrere Kopien/Anbieter sofern man keine anderen Backups hat.

 

[Prime2k]

Der Anbieter fällt weder unter EU Recht, noch unter die DSGVO, noch unter irgend ein andere Rechtssprechung, außer die des Fürstentums Liechtenstein. Das sollte als Argument mehr als ausreichend sein, nach den ganzen Skandalen mit Spionage etc in der EU. @snaxilian Das Bedrohungsszenario sind wie immer, die Behörden bzw Geheimdienste dahinter.

 

[Prime2k]

Kleine Ergänzung: https://www.zeit.de/digital/datenschutz/2020-11/verschluesselung.pdf

 

[PC295]

Es geht wirklich nur um Perso, Geburtsurkunde, Mietvertrag etc. Wenn jemand diese Daten hat wäre das natürlich sehr ärgerlich.

Wenn du wirklich Sicherheit haben willst, dann verschlüsselst du die Dateien lokal und lädst sie dann erst in die Cloud hoch.

Da kannst du z.B. 7-Zip nehmen, mit folgenden Einstellungen:
Format: 7z
Kompression: speichern
Verfahren: AES-256
"Dateinamen verschlüsseln" aktivieren
und natürlich mit einem langen und komplexen Passwort

Das ist zwar von Handling umständlicher, weil bei Ergänzungen das komplette Archiv neu hochgeladen werden muss, aber so wie ich das verstehe, dient es ja nur als Backup und nicht als Zugangsspeicher wo jeden Tag damit gearbeitet werden muss.

 

[Prime2k]

Oder https://www.hissenit.com/crococryptfile-download-de-frank-hissen-it-software.html ist auch noch Open Source!

 

[BeBur]

Die Tipps von Prime2k sollte man schlicht komplett ignorieren.
4 Jahre altes Tool einer Einzelperson sollte man nicht einsetzen, da gibt es weit bessere Alternativen.
Ich deabonniere hier jetzt erstmal, es ist alles gesagt worden auf den letzten Seiten, jetzt kommt nur noch Blödsinn. Wer Infos zum Thema haben will, der blättere auf den letzten Seiten und lese dort.

 

[Prime2k]

@BeBur Kolleg, beschäftige dich mal mit dem Tool und der Person dahinter. Das ist alles, sehr viel transparenter, alls alle hier genannten Tools zusammen. Du hast wohl 0 Ahnung von Verschlüsselung. Was nutzt dir das Beste Tool etwas, wenn dir nichts über Hintertüren etc im Quellcode bekannt sind?!

 

[snaxilian]

4 Jahre altes Tool einer Einzelperson

Das ist warum genau ein Qualitätskriterium? Unfassbar viel Software, gerade im Open Source Bereich basiert auf der Arbeit einer einzelnen Person wie z.B. cUrl, qmail, GhostScript und manche von denen haben bezüglich der Kernfunktionalität seit Jahren keine Updates erhalten.
Wenn du schon auf bessere Alternativen anspielst, sei bitte so gut und benenne doch welche.

 

[BeBur]

Das ist warum genau ein Qualitätskriterium?

Weil Menschen dazu neigen, Fehler zu machen und Software dazu neigt, Fehler zu enthalten. Je kleiner der Scope, desto besser die Chancen, dass nichts kritisches dabei ist. Der Scope von dem Projekt ist soweit ich sehe stark begrenzt.
Die von dir genannten Projekte haben den Vorteil, weltweit eingesetzt zu werden, die haben sich also ganz gut bewiesen. Bei einem eher wenig verwendeten Tool ist das fraglicher.

Alternativen zu dem Projekt sind z.B. tar oder wenn man mehr Funktionalität haben will cryptomator.

 

[snaxilian]

Der Sourcecode ist ja jetzt nicht erst seit gestern verfügbar, wenn seit längerer Zeit also niemand etwas fand dann kann das bedeuten, dass sich niemand den Code angesehen hat oder das nix zu finden war.

weltweit eingesetzt zu werden, die haben sich also ganz gut bewiesen

Auf der anderen Seite gibt es Software, die weltweit im Einsatz ist und dann Fehler gefunden werden die seit Jahren dort liegen. Also auch eine weltweite Verbreitung scheint kein wirkliches Indiz zu sein...

tar

Tar beherrscht Kompression aber keine Verschlüsselung. Will man ein Tar-Archiv verschlüsseln nimmt man dazu openssl, gpg o.ä. und ja ich habe nochmal im die manpage geschaut um sicher zu gehen.

 

[BeBur]

scheint kein wirkliches Indiz zu sein...

Es ist kein Garant, genau deswegen ist es besser, gut abgehangene Software die Lage und breit im Einsatz war zu verwenden.

Der Sourcecode ist ja jetzt nicht erst seit gestern verfügbar, wenn seit längerer Zeit also niemand etwas fand

Die Chance ist gar nicht Mal schlecht, dass noch nie außer dem Autor jemand sich mit dem Code auseinander gesetzt hat.

Als reiner GUI-Wrapper was das ja nur zu sein scheint, eventuell sogar diskutabel, aber ganz sicher nicht <"alles viel transparenter" und cooler und überhaupt und so>.

 

[snaxilian]

Naja sorry aber streicht man das hätte könnte würde vielleicht und eventuell viel Spekulatius bleibt von deiner Kritik leider wenig übrig. Ja, mag sein, dass die Software Fehler hat. Mag genauso gut sein, dass die stabil und zuverlässig läuft und keine Fehler hat.
Von irgendwelchen Chancen und Wahrscheinlichkeiten zu reden ist enorm spekulativ. Wie viele Leute müssen denn deiner Meinung nach Code reviewen damit er dein Prädikat "gut" erhält? 5? 10? 100? Reichen vielleicht auch 2 wenn diese irgendwelche wichtig klingenden Zertifizierungen haben?

Was ist eigentlich aus den Alternativen geworden? Tar war's ja nicht.

Bitte auch nicht falsch verstehen, weder kenne ich doch nicht habe ich etwas gegen dich aber diese Diskussion ist leider nicht sehr sachlich aktuell.