abbrechen
Suchergebnisse werden angezeigt für 
Stattdessen suchen nach 
Meintest du: 
Gelöst
  • Der Fragesteller hat diesen Beitrag als gelöst markiert.

myCloud Verschlüsselung?

Novice
1 von 15

Hallo

Wie sieht das eigentlich Aktuell mit der Verschlüsselung der MyCloud aus? Ich lese nur bei Verbindung mit Ausland - Schweiz gibt es eine 256er aber lokal nicht? Leider wird hier nicht wircklich offen darüber kommuniziert und das ist schade.

Editiert
HILFREICHSTE ANTWORT

Akzeptierte Lösungen
Highlighted
Contributor
4 von 15

Hallo @Mr.Snatch

 

Wie bereits von @Shorty  erwähnt wurde das Thema bereits mehrfach diskutiert. Ein Blick in die Nutzungsbedingungen gibt auch ein bisschen genauer Auskunft darüber:

 

datenschutz.png

 

 

Ob du deine Daten vor dem Upload in deine myCloud nochmals mit BoxCrypter, Cryptomator oder Duplicati verschlüsselst ist im Endeffekt dir überlassen und sollte sich auf deine eigenen Bedürfnisse bezüglich Datenschutz und Datensicherheit beziehen.

_____________________________________________________
So Long, and Thanks for All the Fish
_____________________________________________________
Progressive Innovation
Editiert
14 Kommentare
Super User
2 von 15

Das Thema wurde schon öfters diskutiert, hier ein paar Links:

 

https://supportcommunity.swisscom.ch/t5/Diskussionen-über-myCloud-dem/Wir-haben-2017-wo-ist-die-Vers...

https://supportcommunity.swisscom.ch/t5/Diskussionen-über-myCloud-dem/MyCloud-synchronisation/td-p/4...

Selbstdeklaration: Emanzipierter Kunde und Hobby-Nerd ohne wirtschaftliche Abhängigkeiten zur Swisscom
Novice
3 von 15

Das ist für mich noch keine Befridigende Antwort. Ich kann auch mit BoxCrypter oder Cryptomator (OpenSource) Verschlüsseln. Doch würde mich interessieren wie das die Swisscom im Jahr 2017 sieht.

Highlighted
Contributor
4 von 15

Hallo @Mr.Snatch

 

Wie bereits von @Shorty  erwähnt wurde das Thema bereits mehrfach diskutiert. Ein Blick in die Nutzungsbedingungen gibt auch ein bisschen genauer Auskunft darüber:

 

datenschutz.png

 

 

Ob du deine Daten vor dem Upload in deine myCloud nochmals mit BoxCrypter, Cryptomator oder Duplicati verschlüsselst ist im Endeffekt dir überlassen und sollte sich auf deine eigenen Bedürfnisse bezüglich Datenschutz und Datensicherheit beziehen.

_____________________________________________________
So Long, and Thanks for All the Fish
_____________________________________________________
Progressive Innovation
Editiert
Novice
5 von 15

Ok, da muss es so gelöst werden. Wie sieht es mit der übertragung aus? Basiert die wenigstens auf SSL?

Contributor
6 von 15
Ja.
Swisscom
7 von 15
Hallo zusammen

Wir haven vor kurzem auf Bluewin einen Bericht dazu geschalten:
https://www.bluewin.ch/de/digital/redaktion/2017/17-07/wie-sicher-sind-meine-daten-in-der-cloud-.htm...
Expert
8 von 15
Hi

@SilvanG9: In den Artikel wird nichts über die Sicherheit der Daten gesagt. Die "Tier" Zertifizierung hat mit Redundanz zu tun, aber nicht mit Verschlüsselung.

"In der Schweiz" ist ja nett. Hacker dürften sich trotzdem kaum für den Standort des Rechenzentrums interessieren und staatliche Stellen haben sowieso Zugriff auf Alles.

(Ja, es ist eine Tatsache, dass die CIA grosse Teile des Internet-Traffics abgreift und auch in der Lage ist SSL zu brechen - nur falls das jemand vergessen haben sollte)

Für Ferienfotos ist myCloud ok, aber sich nicht für wirklich wichtige Daten.

Grüsse NotNormal
Contributor
9 von 15

Hallo NotNormal

 

In der Schweiz gibt es keine "National Security Letters", bei welchem der Staat ohne richterliche Verfügung auf Daten zugreifen darf (und wenn dann auch nur Metadaten und keine Inhalte), plus du überschätzt die Möglichkeiten der NSA etwas, was SSL-Verschlüsselung angeht. Soweit wir von Crypto-Analysten wissen, ist SSL nicht generell geknackt (obwohl schon etwas älteren Datums, immer noch aktuell). Ebenfalls ein aktueller Artikel in einer der letzten "c`t", ein Interview mit einem Crypto-Experten in Zusammenhang mit Quantenkryptografie, wird auch SSL mit aktueller Technologie - minus die letzten bekannten und gefixten Exploits - als "ausreichend sicher" befunden.

 

Wenn du aber eine verschlüsselte Cloud möchtest, gibt es von der Swisscom die Storebox. Dies basiert auf einer bekannteren Branchenlösung von CTERA und ist E2E encrypted.

 

So etwas gibts auch in günstig z. B. von SpiderOak (benutze ich privat), wobei dort ich einfach deren Wort nehmen muss, dass die E2E-Verschlüsselung korrekt implementiert wurde und keine Backdoors bestehen.

 

Gruss, Jonas

Editiert
Expert
10 von 15

Hi @XModem

 

Danke für die Hinweise: Bezüglich SSL: Vermutlich können sie das schon nicht in Echtzeit brechen (soweit ich Schätzungen gesehen habe vermutlich im Bereich von 24h). Darum wird einfach alles was irgendwie anhand der Metadaten interessant sein könnte gespeichert und dann bei Bedarf entschlüsselt. (Ja, die haben grooooosse Rechenzentren)

Eine andere Möglichkeit ist, sich einfach den Schlüssel vom Server zu besorgen (Hacken oder Erpressen), oder den User-Rechner anzugreifen.

 

Bekannt ist ja z.B. auch, dass internationaler Traffic direkt an der (Unterwasser-) Faser abgezapft wird.

Von Backdoors in PCs, Routern und anderem Netzwerk-Equipment (auch in Rechenzentren!) ganz zu schweigen.

 

Ich denke eher, Du unterschätzt die Möglichkeiten der Geheimdienste massiv. Die Daten auf myCloud sind für die doch überhaupt kein Problem!

 

Und natürlich haben auch wir sowas wie "National Security Letters", klingt nur nicht so cool: BÜPF.

 

Vor Snowden hätte ich dir sicher zugestimmt, ich habe das auch nicht für möglich gehalten, aber die Faktenlage ist heute anders.

 

Gruss

 

NotNormal

 

Contributor
11 von 15

@NotNormal

Hast du meine bisherigen Links angeschaut? Snowden ist mir sehr bewusst, aber seine Ausführungen haben auch gezeigt, dass sehr viel von dem, was die NSA macht von Verschwiegenheit und Bugs oder Designfehler (absichtlich oder nicht) abhängig ist. Und da nun vieles aufgeflogen ist, und das Sicherheitsbewusstsein allgemein seither stark gestiegen ist, müssen wir auf unsere Kryptoexperten vertrauen, welche, wie hier im Interview besagen, dass SSL noch nicht abzuschreiben ist (solltest du kein c^t-Abo besitzen, kann ich dir auch den Artikel zukommen lassen).

Wo ich ein Fragezeichen habe, bei deiner Argumentation, ist, dass die NSA ausserhalb der USA nur wenig Einfluss auf den Datenverkehr haben - sollte da irgendwie der ganze innereuropäische Traffic nochmals gesamthaft übers Net nach Amerika fliessen, wäre dies bestimmt aufgeflogen - und zwar wohl nicht nur (aber sicher primär) wegen des Traffics - die Carrier schauen da ziemlich gut - sondern auch wegen NIDS, Packet Inspection, DLP, usw.. Innerhalb der Five Eyes - OK, aber ausserhalb, wirds schwierig.

Das BÜPF gibts nun auch noch nicht so lange. Und nur schon in Anbetracht unserer IT-Projekte beim Bund und andererseits unseres Militärs, traue ich unserem Staat nicht allzuviel zu.
Siehe auch:
https://www.srf.ch/news/schweiz/das-neue-ueberwachungsgesetz-wird-ausgebremst

Wie gesagt - ich bezweifle nicht, dass eine NSA/sonst ein verbündeter Geheimdienst irgendeine Verbindung von oder nach FVEY theoretisch loggen und knacken können, aber die Flut ist massiv und auch diese werden 1. nicht alles loggen und 2. müssen dies gezielt knacken und selbst dann müssen sie noch einen Hebelpunkt (Bug, Designfehler, etc.) ausserhalb von Bruteforce haben.

https://stackoverflow.com/questions/4376751/is-it-possible-to-break-a-128-bit-key


Alles Andere ist unbegründetes Aluhut-Gesabbel (pardon the french).

Editiert
Super User
12 von 15

NSA und BÜPF hin oder her, die Strategie zur persönlichen Cloudverwendung ist doch ganz einfach:

 

In jedem ernsthaften Sicherheitskonzept der letzten Jahrzehnte, gibt es die die klare Unterscheidung in ein „trusted environment“ (Umgebung unter eigener Kontrolle) und in ein „untrusted environment“ (Umgebung ohne selbst kontrollierbare Sicherheit).

 

Der unverschlüsselte Transport und die Abspeicherung von Daten ist bei professionellen Anwendern immer nur innerhalb des unter eigener Kontrolle stehenden Equipments zulässig. Wird fremdes Equipment benutzt braucht es eine vorgängige unter eigener Kontrolle befindliche Verschlüsselung.

 

Wenn man sich auch privat an den professionellen Grundsätzen anlehnt, gehören Consumer Clouds ganz klar zum „untrusted environment“, und zwar völlig egal, welcher Anbieter und ob der Anbieter selbst noch verschlüsselt, oder nicht, denn das grösste Risiko für die Vertraulichkeit der Daten, ist sowieso der Cloudanbieter selbst.

 

Die Devise heisst also ganz klar:

  • Daten ohne besondere Schutzwürdigkeit, wie z.B. Fotos können über die vom Anbieter vorgesehenen Synchronisationsmechanismen auch direkt in der Cloud abgelegt werden
  • Daten mit Schutzwürdigkeit, z.B. Dokumente sollten nur nach vorgängiger selbst lokal durchgeführter Verschlüsselung in eine Cloud eingelagert werden, und auch beim Transport oder nach Abspeicherung für den Cloudanbieter selbst nicht lesbar sein.

Falls man Backups von schutzwürdigen Daten in eine standortunabhangige Cloud sichern möchte, was ich selbst als „Feuersicherung“ durchaus für vernünftig halte, gibt es mehrere Open Software Anwendungen (gratis) welche das komfortabel in für jeden Aussenstehenden 256Bit-AES chiffrierte unlesbare Datenschnipsel verwandeln.

 

Falls man Dokumente aber direkt mobil im Klartext unterwegs benötigt, ist es viel sicherer, sie nicht aus einer Cloud abzurufen, sondern via einer gesicherten VPN-Verbindung direkt vom eigenen Server bzw. NAS zu lesen.

 

Reine Swissness als Sicherheit anzupreisen, ist ja eine „nette“ Marketingidee, aber aus Sicht eines eigenen Sicherheitskonzepts absolut nichts wert.

Selbstdeklaration: Emanzipierter Kunde und Hobby-Nerd ohne wirtschaftliche Abhängigkeiten zur Swisscom
Editiert
Contributor
13 von 15

Wobei man anmerken muss, dass myCloud von Swisscom nicht für den professionellen Einsatz gedacht ist, Storebox dafür eben schon. Entsprechend ist auch das Preisettikett etwas anders (bzw. auch vorhanden).

Expert
14 von 15

Hi @XModem

 

Das nicht der ganze europäische Verkehr umgeroutet wird ist schon klar. Da wird der Zugriff halt etwas selektiver sein. Wobei ja jede Menge natürlich auch direkt in die USA geht, Google, Facebook, Whatsapp, Apple, etc. Ok, myCloud ist in dem Punkt zumindest sicherer.

 

Allerdings deine Ansicht "Und da nun vieles aufgeflogen ist, und das Sicherheitsbewusstsein allgemein seither stark gestiegen ist, müssen wir auf unsere Kryptoexperten vertrauen..." teile ich auch ohne Aluhut nicht.

 

In der c't war auch letzthin ein Artikel über Zero-Day Lücken und deren Verwendung, oft werden solche Angriffsmöglichkeiten über mehrere Jahre genutzt. (Konkret war z.B. so ziemlich jeder Windows-Rechner in den letzten Jahren jederzeit unbemerkt angreifbar)

 

Ich gehe einfach davon aus, dass für fast jedes System Sicherheitslücken existieren und logischerweise auch verwendet werden. Für die Vergangenheit lässt sich das recht gut belegen und ich sehe keinen Grund, warum das heute anders sein sollte. Mag sein, dass bei den 0.1% Experten das Sicherheitsbewusstsein gestiegen ist, bei den 0815 Anwendern sicher nicht. (Und Angesichts z.B. der letzen DOS Angriffe mit iOT Devices: bei Programmiereren wohl auch nicht)

 

Ansonsten schliesse ich mich @Shorty und seinen Ratschlägen an. 

 

Wo keine Sicherheit ist, sollte auch nicht damit geworben werden. Das ist eigentlich der einzige Punkt, der mich stört 🙂

 

Grüsse

 

NotNormal

Contributor
15 von 15

Also, dass man nicht einfach blauäugig sich im Internet bewegen kann, und glauben kann, dass man mit einer Firewall geschützt ist, ist mir schon klar.

Aber gerade die Zero-Day Lücke, die du erwähnst (SMB1-Angriff) - sofern man sich (oder jemand anders) nicht LAN-/WAN-intern infiziert und Schadcode ausführt, war der Windows-Rechner nicht einfach vom Internet her "unbemerkt" angreifbar.

Und wenn man hier einfach mal Zero-Day-Lücken von Betriebssystemen in Zusammenhang mit SSL anführt, dann ist das doch ein bisschen sehr undifferenziert.

Klar, wenn du persönlich gehackt bist, dann nützt dir kein SSL mehr etwas. Aber vermutlich auch nicht die E2E-Encryption.

Bisschen viel Strohmann-Argumente in dieser Diskussion.

Editiert