PRISM-bestendige cloudopslagdienst gelanceerd
Een groep beveiligingsexperts heeft een cloudopslagdienst gelanceerd die tegen de spionageprogramma's van de Amerikaanse inlichtingendienst NSA bestand zou moeten zijn. De Simple Secure Storage Service (S4) is gebaseerd op het Tahoe Least Authority File System (Tahoe-LAFS).
Tahoe-LAFS, dat sinds 2007 in ontwikkeling is, is een gedecentraliseerde infrastructuur waarmee gebruikers online gegevens kunnen opslaan die ze graag privé houden, alsmede met een selecte groep vrienden willen delen. Het gaat hier om open source software die kosteloos te gebruiken is. Vorige maand lanceerde een aantal van de oprichters van Tahoe-LAFS S4.
Surveillance
S4 wordt omschreven als een "commerciële PRISM-bestendige" veilige, off-site back-updienst", die Tahoe als backend gebruikt en Amazon voor de opslag van de data. Tahoe zou verschillende wiskundige garanties bieden waardoor het tegen verschillende aanvallen van derde partijen bescherming biedt.
"Met wat we nu over grootschalige online surveillance weten is het fantastisch dat commerciële diensten zoals S4 verschijnen", zegt Danny O'Brien van de digitale burgerrechtenbeweging Electronic Frontier Foundation.
S4 rekent 50 dollar per maand. Gebruikers krijgen daarvoor 350GB aan beveiligde opslag. Dit abonnement zou vooral voor systeembeheerders en ontwikkelaars bedoeld zijn. Er komt ook nog een versie van de dienst voor eindgebruikers, maar die is nog in ontwikkeling.
We moeten natuurlijk wel de implementatie van die wiskundige garanties controleren. Als je de laatste berichten moet geloven, heeft NSA bij verschillende organisaties voor een minder veilige implementatie gezorgd.
Peter
En dan kun je net zo goed de zwarte stukjes zelf inkopen.
ik heb mijn eigen (ext. hdd) cloud.
...een Belg in Camouflage.
Lijkt een kazig grapje, maar het is hier behoorlijk van toepassing.
Als je iets te verbergen hebt, verberg het dan niet in een neon-advertized HIER LIGT HET kluis, maar gewoon in een oude doos op zolder.
Dit soort clouddiensten trekken de aandacht, en iedereen die er zaken mee doet loopt een verhogde kans op een telefoontap, drone/satteliet voor de deur, of een oldschool Cartman- A-probe.
Mijn geheime dingen? die verberg ik waar sommige mensen het verwachten, want de plek waar niemand het verwacht? daar zoeken ze het eerst. ;-)
De data wordt versleuteld voor het naar Amazon gaat. Daarnaast kun je ook besluiten om meer opslag providers te gebruiken waar je bij ieder maar een deel van de (versleutelde) data neerzet. Omdat je de versleutelde data opsplitst moet een aanvaller minimaal een X aantal providers kraken wil hij voldoende data hebben om een ontsleutelpoging te starten.
Ik heb een tijd geleden nog meegewerkt aan plannen om zoiets op te zetten en dan specifiek te gaan voor opslag bij bedrijven onder verschillende jurisdictie.
Zie http://searchsecurity.techtarget.com/definition/data-splitting voor een korte uitleg.
Het probleem op dat moment was dat er geen vraag naar was.
Peter
En is het niet een commerciële instelling uit de VS, opgericht door Amerikaanse IT'erts, die gebruik maken van Amerikaanse servers. Patriot Act, iemand?
Misschien heb ik iets te veel alu op m'n hoofd nu, maar ik zou wel weten wat voor commerciële diensten ik op zou gaan zetten als ik de NSA was...
De rode gedeeltes hoort dan ook in eigen beheer te zijn.
Uit de tekst:
Terwijl dat niet makkelijk verwacht kan worden van eindgebruikers (uiteraard zijn er wel uitzonderingen).
zodat wat je opslaat al encrypted is voor het je computer verlaat.
Dat wil dus zeggen een lokaal geinstalleerd encryptiepakket.
Heb je dat geregeld dan is het eigenlijk niet meer interessant wat er op het netwerk en bij de cloud dienst
allemaal gebeurt, en hoef je ook geen speciale clouddienst meer te gebruiken.
zodat wat je opslaat al encrypted is voor het je computer verlaat.
Dat wil dus zeggen een lokaal geinstalleerd encryptiepakket.
Heb je dat geregeld dan is het eigenlijk niet meer interessant wat er op het netwerk en bij de cloud dienst
allemaal gebeurt, en hoef je ook geen speciale clouddienst meer te gebruiken.
zodat wat je opslaat al encrypted is voor het je computer verlaat.
Dat wil dus zeggen een lokaal geinstalleerd encryptiepakket.
Heb je dat geregeld dan is het eigenlijk niet meer interessant wat er op het netwerk en bij de cloud dienst
allemaal gebeurt, en hoef je ook geen speciale clouddienst meer te gebruiken.
Er is nog niets tegen AES 256 bestand. Ook de NSA kan niet toveren en heeft geen ongelimiteerd budget. Indien je wachtwoorden lang genoeg maakt en deze qua samenstelling af laat wijken van standaard woordenboek woorden dan zal het nog steeds jaren duren voordat de NSA, of welke geheime dienst dan ook, jouw bestandje gekraakt heeft.
De NSA, maar ook andere geheime diensten en de media, gebruiken de angst om mensen te laten geloven dat ze net zo goed geen encryptie meer hoeven te gebruiken. Je moet niet alles geloven wat er in de media wordt gezegd en geschreven.
De wiskundigen zijn er duidelijk over, de encryptie zelf is niet zomaar te kraken maar de implementatie ervan is wel kwetsbaar. Versleutel je files met bijvoorbeeld 7-Zip voordat je deze ergens naar toe stuurt en gebruik een ander kanaal om het wachtwoord uit te wisselen of spreek ruim van te voren een standaard (sterk) wachtwoord af.
Wachtwoorden verstuur je helemaal niet. Zet ze op een papiertje
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
