Wie sicher sind verschlüsselte Cloud-Speicher?

Der Komfort von Cloud-Speichern wie Dropbox oder OneDrive ist nur schwer von der Hand zu Weisen. Ein Nachteil besteht jedoch darin, dass Cyberkriminelle, Geheimdienste oder gar die Hosting-Provider selbst die von Die in der Cloud gespeicherten Daten (zumindest theoretisch) ohne Deine Autorisierung einsehen können. Als sichere Alternative dazu positionieren sich Dienste, die eine Verschlüsselung für die in der Cloud gespeicherten Daten anbieten. Einige der Dienste bezeichnen dies als Ende-zu-Ende-Verschlüsselung (E2E-Verschlüsselung) und ähneln damit dessen, was auch von Signal und WhatsApp verwendet wird. Laut Werbeversprechen werden dabei die hochzuladenden Dateien zunächst auf Deinem Gerät verschlüsselt und anschließend in bereits sicherer Form in die Cloud gesendet. Der zum Entschlüsseln der Daten notwendige Schlüssel verbleibt dabei stets in Deinem alleinigen Besitz. Auf diese Weise kann also nicht einmal der Hosting-Provider einen Blick in die Daten werfen. Aber ist das wirklich immer so?

Löchrig wie ein Schweizer Käse

Die Applied Cryptography Group der ETH Zürich hat die Algorithmen von fünf beliebten verschlüsselten Cloud-Speichern unter die Lupe genommen: Sync.com, pCloud, Icedrive, Seafile, and Tresorit. Bei jedem dieser Dienste konnten die Forscher Fehler in der Implementierung der Verschlüsselung nachweisen, die in jeweils unterschiedlichem Umfang die Manipulationen von Dateien und sogar den Zugriff auf unverschlüsselte Dateifragmente zuließen. Und dies ist nicht das erste Mal: Bereits zuvor haben die Forscher auf entdeckte Fehler bei den zwei beliebten Hosting-Diensten MEGA und Nextcloud hingewiesen.

In allen Fällen werden für die Angriffe Servern verwendet, die in irgendeiner Art von den Angreifern kompromittiert wurden oder sich komplett unter deren Kontrolle befinden. Dazu hacken die Angreifer entweder die verschlüsselten Hosting-Server oder sie bringen den Computer des Opfers durch geschickte Manipulation des Routings entlang des Client-Server-Pfads dazu, sich mit einem fremden Server zu verbinden. Dieser gibt sich dann fälschlicherweise als echter verschlüsselter Hosting-Server zu erkennen. Wenn dieses nicht ganz triviale Manöver gelingt, stehen den Angreifern je nach Hosting-Anbieter verschiedene Möglichkeiten zur Verfügung:

• com: Es können Ordner und Dateien mit belastenden Informationen abgelegt und die Dateinamen und Metadaten von gespeicherten Informationen geändert werden. Der gehackte Server kann darüber hinaus neue Chiffrierschlüssel an den Client senden und anschließend alle damit verschlüsselten und an den Server gesendeten Dateien entschlüsseln. Außerdem erlaubt die integrierte Funktion zum Teilen von Dateien dem bösartigen Server alle Dateien zu entschlüsseln, die vom Opfer geteilt werden. Möglich macht dies der Umstand, dass der Chiffrierschlüssel in dem Link enthalten ist, den man beim Zugriff auf den Server zugeschickt bekommt.
• pCloud: Erlaubt das Ablegen von Dateien und Ordnern, das beliebige Verschieben von Dateien und das Ändern von Dateinamen. Darüber hinaus können Dateifragmente gelöscht und Dateien, die nach dem Angriff heruntergeladen wurden, entschlüsselt werden.
• Seafile: Der Client kann dazu gezwungen werden, eine ältere Protokollversion zu verwenden. Dies wiederum erleichtert den anschließenden Einsatz von Kennwort-Brute-Forcing, das Auslagern oder Löschen von Dateifragmenten, das Platzieren von Dateien und Ordnern sowie das Ändern von Datei-Metadaten.
• Icedrive: Erlaubt neben dem Platzieren von Dateien, die aus Fragmenten anderer, bereits in die Cloud hochgeladener Dateien bestehen, das Ändern von Namen und Speicherorten gespeicherter Dateien und das Neuordnen von Dateifragmenten.
• Tresorit: Es können die Metadaten der gespeicherten Dateien manipuliert werden, einschließlich der Informationen über den Autor.
• Nextcloud: Die Chiffrierschlüssel sind manipulierbar, was das Entschlüsseln heruntergeladener Daten ermöglicht.
• MEGA: Es können alle Chiffrierschlüssel wiederhergestellt und somit alle Dateien entschlüsselt werden. Darüber hinaus können auch Dateien mit belastenden Inhalten platziert werden.

In all den oben genannten Fällen ist der dafür notwendige bösartige Server zwar nur schwer zu implementieren, aber komplett unrealistisch ist so eine Vorgehensweise auch nicht. Angriffe auf große Unternehmen wie Microsoft und Twilio haben bereits gezeigt, dass auch die Top-Player der Branche nicht immun gegen Kompromittierungen sind. Hinzu kommt, dass eine implementierte E2E-Verschlüsselung bereits per Definition resistent gegenüber bösartigen serverseitigen Verhalten sein sollte.

Ohne zu sehr in die technischen Details einzugehen, möchten wir anmerken, dass alle Dienste offenbar eine echte E2E-Verschlüsselung implementieren und dafür auch die anerkannten und starken AES- und RSA-Algorithmen verwenden. Wenn es jedoch um Collaboration-Funktionen wie die gemeinsame Dokumenterstellung in der Cloud geht, führt eine Dateiverschlüsselung zu vielen technischen Schwierigkeiten. In so einem komplexen Scenario alle möglichen Angriffsarten mit modifizierten Chiffrierschlüsseln zu berücksichtigen wurde zwar noch nicht vollends gemeistert, aber Tresorit hat hier gegenüber seinen Mitbewerbern die Nase vorn.

Die Forscher weisen darauf hin, dass die Entwickler der verschiedenen Dienste alle unabhängig voneinander sehr ähnliche Fehler gemacht haben. Das deutet darauf hin, dass bei der Implementierung eines verschlüsselten Cloud-Speichers viele nicht-triviale kryptografischen Nuancen beachtet werden müssen. Hier wäre ein gut durchdachtes und ausgereiftes Protokoll hilfreich, das wie das TLS-Protokoll für Webseiten oder dem Signal-Protokoll für Instant Messenger von der kryptographischen Community hinreichend auf Herz und Nieren geprüft wurde.

Kostspielige Behebung

Das größte Problem bei der Behebung der identifizierten Fehler besteht nicht darin, dass die Anwendungen und die Server-Software Aktualisierungen benötigen, sondern dass in vielen Fällen auch die von den Benutzern gespeicherten Dateien neu verschlüsselt werden müssen. Nicht jeder Hosting-Provider verfügt über die notwendigen Ressourcen für diesen enormen Rechenaufwand. Darüber hinaus ist eine erneute Verschlüsselung nur im Zusammenspiel mit jedem einzelnen Benutzer möglich, da ein einseitiges Ausrollen einer neuen Verschlüsselung nicht der Natur der Sache entspräche. Auch deshalb lassen die Korrekturen der Hosting-Anbieter wohl so lange auf sich warten:

• com antwortete den Forschern erst nach sechs Monaten und auch nur, nachdem bereits erste Presseberichte zu dem Thema erschienen sind. Letztlich gaben sie bekannt, dass sie das Problem mit dem Schlüsselverlust beim Teilen von Links beheben werden, und sagten zu, auch die weiteren Fehler bereinigen zu wollen, ohne jedoch einen zeitlichen Rahmen dafür anzugeben.
• Tresorit versprach, das (für sie weniger akute) Problem im Jahr 2025 zu beheben.
• Seafile hat das Problem mit dem Herabstufen der Protokollversion behoben, ohne die weiteren Fehler zu kommentieren.
• Icedrive hat beschlossen, die identifizierten Probleme nicht zu beheben.
• pCloud antwortete den Forschern erst nach dem Erscheinen von Presseberichten und gab schließlich bekannt, dass die Angriffe theoretischer Natur seien und kein sofortiges Handeln erfordern.
• Nextcloud hat das Problem behoben und den gesamten Ansatz seiner E2E-Verschlüsselung in der Version 3.12 von Nextcloud grundlegend überarbeitet. Das aktualisierte Verschlüsselungsschema wurde bis dato noch nicht weiter untersucht.
• MEGA hat die Wahrscheinlichkeit eines solchen Angriffs erheblich gesenkt, indem es clientseitige Überprüfungen eingeführt hat.

Was Benutzer tun können

Die von der Applied Cryptography Group identifizierten Probleme können zwar nicht als rein theoretisch abgetan werden, sie stellen aber auch keine Massenbedrohung dar, die von Cyberkriminellen auf einfachste Weise ausgenutzt werden könnte. Daher ist ein überstürztes Handeln zunächst nicht erforderlich. Zielführender ist vielmehr die nüchterne Einschätzung Deiner eigenen Situation:

• Wie sensibel sind die Daten in Deinem Speicher und wie verlockend sind sie für Dritte?
• Wie viele Daten speicherst Du in dem verschlüsselten Dienst und wie kompliziert ist es, diese auf einen anderen Dienst zu migrieren?
• Wie wichtig sind die Collaboration-Funktionen und die Dateifreigabe?

Wenn ein gemeinsames Arbeiten an den Dateien nicht wichtig ist, die gespeicherten Daten jedoch kritisch sind, solltest Du am besten zu einer lokalen Verschlüsselung wechseln. Dafür hast Du verschiedene Möglichkeiten, etwa indem Du die Daten in einer verschlüsselten Container-Datei oder in einem Archiv mit einem sicheren Kennwort speichern. Wenn Du die Daten auf ein anderes Gerät übertragen musst, kannst Du das bereits verschlüsselte Archiv auf den Cloud-Hosting-Dienst hochladen.

Wenn Du Collaboration-Funktionen und Komfort mit angemessenen Sicherheitsgarantien kombinieren möchten und auch die Menge der gespeicherten Daten nicht allzu groß ist, empfehlen wir, die Daten zu einem der Dienste zu verschieben, der bei den Tests der ETH Zürich besser abgeschnitten hat. Das bedeutet in erster Linie Tresorit, aber auch MEGA und Nextcloud könnten dafür in Frage kommen.

Wenn Dir keine dieser Lösungen zusagt, kannst Du dich auch für die anderen verschlüsselten Hosting-Dienste entscheiden, solltest dabei jedoch zusätzliche Vorsichtsmaßnahmen treffen: Vermeide die Speicherung hochsensibler Daten, aktualisiere stets zeitnah die Client-Anwendungen, überprüfe regelmäßig Deine Cloud-Laufwerke und lösche veraltete oder überflüssige Informationen.

Bedenke bei all der Vorsicht aber auch, dass der wohl wahrscheinlichste Angriff auf Deine Daten über einen weit weniger raffinierten Infostealer stattfinden würde, der einfach Deinen Computer oder Dein Smartphone manipuliert. Um also alle Angriffsvektoren auszuschließen, sollte ein verschlüsseltes Hosting stets mit einem umfangreichen Schutz vor Schadsoftware für alle Smartphones und Computer kombiniert werden.