Hintergrund​

Eine der am häufigsten gestellten Fragen unserer Kunden ist:

Wie sicher sind meine Daten in der Cloud?

Obwohl, oder auch gerade weil diese Frage sehr abstrakt ist, lohnt es sich, diese Frage aufzubrechen und als Einzelthemen genauer zu beleuchten, zu erläutern und zu beantworten - besonders im Hinblick auf die CERTAIN CE-Kennzeichnungssoftware.

Die “Datensicherheit 101” Serie auf unserem CERTAIN Blog soll erstens ein Verständnis dafür vermitteln, wie Daten in “der Cloud” verarbeitet und gespeichert werden und zweitens, durch dieses neugewonnene Verständnis, mehr Vertrauen in cloud-basierte Software geben. In dieser Serie werden wir uns mit den folgenden Themen befassen:

• der Begriffsbestimmung “der Cloud”
• einem Blick auf Daten-Verschlüsselung aus der Vogelperspektive
• einem theoretischen Ansatz der Zugriffsbeschränkung in Cloud-Systemen
• dem Sprung in eine passwortlose Zukunft
• der spezielleren Anwendung der oben genannten Themen in der CERTAIN App. Ich werde Fokus darauf legen, diese technisch recht anspruchsvollen Themen verallgemeinert, aber für Laien verständlich zu erklären. Ich setze keine IT-Vorkenntnisse der Lesenden voraus.

Im dritten Teil der Serie schauen wir uns an, wie der Zugriff auf Ressourcen in Multi-Tenant-Systemen (kleine Erinnerungshilfe zu dem Konzept gibt’s im 1. Teil) gehandhabt wird. In der ersten Hälfte befassen wir uns theoretisch mit der Frage, ob “Daten in der Cloud sicher sind vor dem Zugriff anderer Nutzer”. In der zweiten Hälfte veranschauliche ich die praktische Umsetzung der Zugriffskontrollen.

Zugriff in Multi-Tenant-Systemen​

Wie im ersten Teil der Serie erläutert, nutzen alle User einer Multi-Tenant-Anwendung die selben Infrastruktur-Ressourcen (Datenbanken, Server, etc) des Anbieters. Das bedeutet auch, dass, ohne Kontrollmechanismen, alle Nutzer auf sämtliche Daten auf diesen Ressourcen zugreifen können. In CERTAIN’s Fall würde das bedeuten, dass ein User die Projekte eines anderen Users einsehen könnte. Selbstverständlich ist das ein absolutes No-Go. Im Folgenden schauen wir uns zwei Konzepte an, mit denen sich der Zugriff steuern lässt.

Hintergrund​

Eine der am häufigsten gestellten Fragen unserer Kunden ist:

Wie sicher sind meine Daten in der Cloud?

Obwohl, oder auch gerade weil diese Frage sehr abstrakt ist, lohnt es sich, diese Frage aufzubrechen und als Einzelthemen genauer zu beleuchten, zu erläutern und zu beantworten - besonders im Hinblick auf die CERTAIN CE-Kennzeichnungssoftware.

Die “Datensicherheit 101” Serie auf unserem CERTAIN Blog soll erstens ein Verständnis dafür vermitteln, wie Daten in “der Cloud” verarbeitet und gespeichert werden und zweitens, durch dieses neugewonnene Verständnis, mehr Vertrauen in cloud-basierte Software geben. In dieser Serie werden wir uns mit den folgenden Themen befassen:

• der Begriffsbestimmung “der Cloud”
• einem Blick auf Daten-Verschlüsselung aus der Vogelperspektive
• einem theoretischen Ansatz der Zugriffsbeschränkung in Cloud-Systemen
• dem Sprung in eine passwortlose Zukunft
• der spezielleren Anwendung der oben genannten Themen in der CERTAIN App. Ich werde Fokus darauf legen, diese technisch recht anspruchsvollen Themen verallgemeinert, aber für Laien verständlich zu erklären. Ich setze keine IT-Vorkenntnisse der Lesenden voraus.

Im zweiten Teil der Serie machen wir einen Ausflug in die Welt der Kryptographie und schauen uns Techniken an, die sowohl der Verschlüsselung von Daten dienen, als auch der Wissensverifizierung. Auf Letzteres kommen wir im Teil „Eine passwortlose Zukunft“ zurück.

Kryptographie: Magie oder Kinderkram?​

Spätestens seit dem Wirbel um Bitcoin und anderen Krypto-Währungen ist zumindest das Wort „Krypto“ vielen Menschen geläufig. Die Kryptographie selbst, also die „Wissenschaft der Verschlüsselung von Informationen“ ist allerdings bedeutend älter und begleitet die menschliche Kommunikation schon Ewigkeiten. Über den „Da Vinci Code“, die “Enigma”, bis hin zu End-to-End-Verschlüsselung bei WhatsApp - oder eben Ihre verschlüsselten Daten in der CERTAIN Cloud.

Die einfachsten Verschlüsselungen werden bereits von Schulkindern angewandt, beispielsweise die Löffelsprache: aus „die Cloud ist spannend“ wird „dielewie clolewoulewud ilewist spalewannelewend“. Bei etwas stärkeren Verschlüsselungen werden Buchstaben rotiert oder durch die Zahl ihrer Position im Alphabet ersetzt: aus unserem Beispielsatz würde dann „ejf Dmpre jtu tqboofoe“ respektive „495 31215214 91920 1916114145145“. Diese angewandten Verschlüsselungen folgen einem relativ einfachen Muster, sind sehr schnell zu durchschauen und selbst im Kopf zu lösen. Moderne Verschlüsselungen basieren auf höherer Mathematik und können nur von Computern gerechnet werden. Damit sind verschlüsselte Informationen de facto nicht zu „knacken“ und können nicht durch bloßes Ausprobieren entschlüsselt werden.

Hintergrund​

Eine der am häufigsten gestellten Fragen unserer Kunden ist:

Wie sicher sind meine Daten in der Cloud?

Obwohl, oder auch gerade weil diese Frage sehr abstrakt ist, lohnt es sich, diese Frage aufzubrechen und als Einzelthemen genauer zu beleuchten, zu erläutern und zu beantworten - besonders im Hinblick auf die CERTAIN CE-Kennzeichnungssoftware.

Die “Datensicherheit 101” Serie auf unserem CERTAIN Blog soll erstens ein Verständnis dafür vermitteln, wie Daten in “der Cloud” verarbeitet und gespeichert werden und zweitens, durch dieses neugewonnene Verständnis, mehr Vertrauen in cloud-basierte Software geben. In dieser Serie werden wir uns mit den folgenden Themen befassen:

• der Begriffsbestimmung “der Cloud”
• einem Blick auf Daten-Verschlüsselung aus der Vogelperspektive
• einem theoretischen Ansatz der Zugriffsbeschränkung in Cloud-Systemen
• dem Sprung in eine passwortlose Zukunft
• der spezielleren Anwendung der oben genannten Themen in der CERTAIN App. Ich werde Fokus darauf legen, diese technisch recht anspruchsvollen Themen verallgemeinert, aber für Laien verständlich zu erklären. Ich setze keine IT-Vorkenntnisse der Lesenden voraus.

In diesem ersten Teil der Serie klären wir einige grundlegende Begriffe, die wir benötigen, um unsere Kern-Frage überhaupt spezifizieren zu können.

Die Cloud​

Der Begriff “Cloud” ist heutzutage in aller Munde und wird doch oft missverstanden.

Fangen wir einfach ganz vorne an. Jede Software muss von einem Computer ausgeführt werden. Die uns bekanntesten Computer nennen wir alltäglich Smartphone, Tablet oder Laptop. Eine andere Art von Computer, die unser aller Leben tagtäglich beeinflussen, wird Server genannt (ein ebenfalls uneindeutiger Begriff) und bezeichnet in unserem Fall jene Computer, die ausschließlich eine einzige spezialisierte Software ausführen, zum Beispiel die CERTAIN Anwendung. Im Gegensatz dazu stehen z.B. Smartphones, die für die Bedürfnisse der Endnutzer konzipiert sind und von Messengerdiensten über Internet-Browser und Spiele bis hin zu Kameratreibern, so ziemlich jede Art von Software/App ausführen können.

Die Software auf Servern muss in aller Regel mit anderen Komponenten kommunizieren, etwa mit Datenbanken, um eingehende Informationen zu speichern und bei erneuter Abfrage ausgeben zu können. Diese anderen Komponenten und die Kommunikation zwischen ihnen bedarf weiterer Soft- und Hardware **Infrastruktur in Form von Netzwerk-Kabeln, Routern, Firewall-Konfigurationen, und einer ganzen Menge anderer Dinge.