Cloud Computing Risiken und Massnahmen

Größe: px

Ab Seite anzeigen:

Download "Cloud Computing Risiken und Massnahmen"

Jan Fuhrmann
vor 8 Jahren
Abrufe

1 Cloud Computing und Massnahmen Marc Ruef Datenschutz-Forum 22. November 2011 Zürich, Schweiz

2 Agenda Cloud Computing Einführung 2 min Was ist Cloud Computing 2 min Implementierungen 5 min Sicherheitsprobleme 10 min 2 min 4 min 2/21

3 Einführung Wer bin ich Name Beruf Private Webseite Letztes Buch Marc Ruef Mitinhaber / CTO, scip AG, Zürich Die Kunst des Penetration Testing, Computer & Literatur Böblingen, ISBN Übersetzung 3/21

4 Einführung Aus dem Hype wird ein Trend 4/21

5 Einführung Definition von Cloud Computing [Cloud Computing ist] ein modulares System, in dem für Nutzer die Ressourcen transparent sowie dynamisch zugewiesen, verarbeitet und verrechnet werden. scip AG 5/21

6 Einführung Vertriebsmodelle Software as a Service Platform as a Service Infrastructure as a Service 6/21

7 Einführung Infrastrukturmodelle Öffentliche Cloud Hybride Cloud Kunde Private Cloud 7/21

8 Fehlende Die sehen *nie*, was wir machen Weiterschlafen! Unbekannte Prozesse Abläufe Vorgaben Umsetzungen Abnahmen Sicherheit Beispiel : Werden Versprechen eingehalten? Ist die gewährte Sicherheit annehmbar? 8/21

9 von Objekten Haben keine Hardware mehr. Lass mal ein paar Kunden auf der *gleichen* Maschine laufen! Branchen Finanzunternehmen Behörden Industrie Kunden Bank Swiss AG Bank USA Ltd. Banque France SA Datentypen Öffentliche Daten Interne Daten Kundendaten 9/21

10 Verlust der Uups! Ich dachte, wir seien *sicher* Weiterverarbeitung Unternehmensdaten Mitarbeiterdaten Weitergabe Persönliche Daten Statistische Daten Weiterverkauf Kundeninformationen Geschäfts-geheimnisse 10/21

11 Backup und Restore Was müssen wir alles sichern? Keine Ahnung. Lass einfach mal irgendwas kopieren. Keine klaren, einheitlichen, offenen Schnittstellen Eigene Prozesse bleiben erforderlich Komplexe Anbindung möglich 11/21

12 vom Anbieter Deine Frau will einen neuen Swimmingpool? Lass uns mal die Preise *modifizieren* Präsenz Existenz (Insolvenz) Lokation (Wegzug) Erreichbarkeit Preise Aufwand Arbeit Ressourcen Spesen Angebot Umfang Qualität 12/21

13 Schwierigkeit bei Ich kann Ihnen einen Wegzug *nicht* empfehlen. Eventuell fehlende Unterstützung durch den Partner Inkompatible Mechanismen Mangelhafte Deckungsgleichheit unterschiedlicher Angebote 13/21

14 Yes, we can Juristische Konflikte forse! не действит ельно! z.b. Datenschutz muss gewahrt bleiben (DSG) Unterschiedliche nationale Gesetzgebungen Data Protection Act 1998 UK Privacy Act of 1974 USA Länderübergreifende Abkommen Europäische Datenschutzkonvention Internationale Rechtshilfebegehren langwierig komplex aufwendig 14/21

15 Juristische Eigenverantwortung Was heisst hier, sie waren sicher? Das Unternehmen bleibt trotzdem haftbar für: Vorgaben Richtlinien Prozesse Abläufe Angebote Daten Infrastruktur Handlungen Mitarbeiter 15/21

16 Einbusse bei Durch eine temporäre Race-Condition im TCP/IP-Stack konnte ein Integer- Overflow erzwungen werden. Die darauf folgende Speicherschutz verletzung hat den Heap partiell überschrieben und zum totalen Ausfall der neuen tokenbasierten Authentisierung geführt. Sorry. Was heisst hier, sie waren sicher? Interne Mitarbeiter kennen technische Hintergründe nicht mehr Externer (Cloud-)Partner hat Wissensvorsprung Verhandlungen und Diskussionen werden schwieriger Probleme können nicht mehr selber angegangen werden Trägheit 16/21

17 Zentraler Angriffspunkt Hey, was machen wir denn heute Abend? Dasselbe wie jeden Abend: Wir versuchen, die Cloud an uns zu reissen! Die Cloud an sich ist grundlegender Single Point of Failure (SPOF) Die Cloud wird zentrale Anlaufstelle für Angriffe Vertrauensbeziehungen innerhalb der Cloud sind gefährlich 17/21

18 Cloud Computing ist ein neuer Name für ein altes Konzept (Outsourcing, Grid Computing, ASP, ) Es handelt sich um einen marketing-getriebenen Hype (Beginn ca. Q1-2008) Es gibt verschiedene Ansätze und Produkte des Cloud Computing (SaaS, PaaS, IaaS, ) Eine wohlüberlegte kann durchaus Vorteile erlangen lassen Aber eine Vielzahl an sicherheitstechnischen Überlegungen sprechen gegen Outsourcing, Virtualisierung und Cloud Computing 18/21

19 Literatur Die Sicherheit von Cloud Computing, 10 sicherheitsrelevante Gründe gegen Cloud Computing, 19/21

20 20/21

21 Security is our Business! scip AG Badenerstrasse 551 CH-8048 Zürich Tel Fax Mail Web Twitter Strategy Consulting Auditing Testing Forensics Analysis 21/21

Ähnliche Dokumente

10 sicherheitsrelevante Gründe gegen Cloud Computing. Marc Ruef www.scip.ch

10 sicherheitsrelevante Gründe gegen Cloud Computing Marc Ruef www.scip.ch Agenda Cloud Computing 5 min Was ist Cloud Computing 5 min Aktuelle 10 min 20 min 5 min 5 min ISMS Praxis Forum Juni 2010 2/23