Sicheres Cloud Computing Ein Oxymoron? Eine Provokation Dirk Achenbach <dirk.achenbach@kit.edu> European Institute of System Security Institute of Cryptography and Security KIT University of the State of Baden-Wuerttemberg and National Research Center of the Helmholtz Association www.kit.edu
Kryptographie? Kryptographie [befasst sich heute] allgemein mit [...] der Konzeption, Definition und Konstruktion von Informationssystemen, die widerstandsfähig gegen unbefugtes Lesen und Verändern sind. http://de.wikipedia.org/wiki/kryptographie 2
Agenda Cloud Computing, vereinfacht Backups sind in der Cloud sicher! Oder doch nicht? Insider-Angriffe Warum Verschlüsselung wenig hilft Ansätze aus der Forschung Entscheidungshilfen 3
Trend Cloud Computing 4
Trend Cloud Computing (2) 5
Meine Idee: Backups in die Cloud! 6 Bild: Thorben Wengert / pixelio.de
Sollte man die Backups nicht verschlüsseln? 7
Was muss ich schützen? Wo lauern die Gefahren? 8 Image Joshua Hoffine, www.joshuahoffine.com
Schutzziele aus der Informationssicherheit CIA : Confidentiality (Vertraulichkeit) Integrity (Integrität) Availability (Verfügbarkeit) Auch: Authentizität Verbindlichkeit/Abstreitbarkeit Anonymität 9
Trend Cloud Computing (3) Cloud Computing verspricht besseren Schutz vor: Veralteter Software Raubkopien Einbrüchen Denial-of-Service-Angriffen Hacker-Angriffen von außen Höherer Gewalt (Hardwaredefekte, Stromausfall, ) 10
Cloud Computing: Bedrohungen 11
Cloud Computing: Bedrohungen (2) 12
Insider-Angriffe: Wikileaks 13
Insider Angriffe: Steuer-CDs http://www.zeit.de/wirtschaft/2012-04/schweiz-rechtshilfe-steuerfahnder, abgerufen am 07.05.2012 15:11 14
Insider-Angriffe: Patriot Act http://www.zdnet.com/blog/igeneration/microsoft-admits-patriot-act-can-access-eu-based-cloud-data/11225, abgerufen am 08.05.2012 12:52 15
Insider-Angriffe: Patriot Act Though he said that customers would be informed wherever possible, he could not provide a guarantee that they would be informed if a gagging order, injunction or U.S. National Security Letter permits it. Any data which is housed, stored or processed by a company, which is a U.S. based company or is wholly owned by a U.S. parent company, is vulnerable to interception and inspection by U.S. authorities. http://www.zdnet.com/blog/igeneration/microsoft-admits-patriot-act-can-access-eu-based-cloud-data/11225, zugegriffen am 08.05.2012 12:52 16
Hilft Verschlüsselung? 17
Hilft Verschlüsselung? (2) 18
Hilft Verschlüsselung? (3) 19
Hilft Verschlüsselung? (4) 20
Hilft Verschlüsselung? (5) 21
? Hilft Verschlüsselung? (6) 22
? Das Cloud-Paradoxon Das ist gut für Backups, aber für komplexe Dienste? 23
? Das Cloud-Paradoxon Das ist gut für Backups, aber Was ist mit der für komplexe Dienste? Verfügbarkeit? 24
Das Cloud-Paradoxon (2) Das Cloud-Paradoxon wird von uns derzeit an zwei Fronten angegangen: Prinzipielle Machbarkeit Architekturlösungen 25
Prinzipielle Machbarkeit Rechnen auf verschlüsselten Daten Bild: Nico Döttling 26
MimoSecco Architekturlösungen 27
Was können Anbieter heute bieten? Verschlüsselung und Schlüsselmanagement Service Level Agreements Regelmäßige Tests Überwachung Regelmäßige Softwareaktualisierungen Notfallmanagement Transparenz 28
Hilfestellungen BITKOM-Leitfaden Cloud Computing http://www.bitkom.org/de/themen/61492_61111.aspx Speziell die Checkliste im Anhang BSI-Eckpunktepapier Sicherheitsempfehlungen für Cloud Computing Anbieter https://www.bsi.bund.de/de/themen/cloudcomputing/eckpunktepapier/eckpunktepapier_node.html Caveat emptor! 29
Themen BSI-Eckpunktepapier Sicherheitsarchitektur ID- und Rechtemanagement Kontrollmöglichkeiten für Nutzer Monitoring und Security Incident Management Notfallmanagement Portabilität und Interoperabilität Sicherheitsüberprüfung und -nachweis Anforderungen an das Personal Vertragsgestaltung Datenschutz und Compliance 30
www.iks.kit.edu www.kastel.kit.edu 31