Alles in die iCloud. Oder doch lieber nicht?

Wenn man so hört und mitverfolgt wie von unguten Menschen eingesetzte KI Agenten andere Softwarelösungen knacken, dann kommt man schon ein bisschen ins Grübeln, wie man denn seine eigenen Daten vor dem Zugriff anderer Leute sichern sollte.

Diese Frage ist besonders relevant, wenn man auf den Komfort einer Vernetzung von Daten, sprich das Benutzen aller Daten von mehreren Geräten und womöglich auch unterwegs nicht verzichten will.

Da bieten sich natürlich erst mal die üblichen Verdächtigen an, als da wären OneDrive, Dropbox und was der vielen Cloud-Dienstleister mehr sind. Nachteil bei allen Diensten: Die Daten werden nur mit einem Schlüssel des Diensteanbieters bei der Ablage verschlüsselt. 

Beispiel, Zitat Dropbox:

Um die Komplexität von Dropbox zu verringern, fortschrittliche Features zu ermöglichen und eine sichere Kryptografie zu gewährleisten, übernimmt Dropbox für seine Nutzer die Dateiverschlüsselung. Schlüssel für die Dateiverschlüsselung werden mithilfe von Sicherheitsfunktionen in der Infrastruktur des Produktionssystems und Sicherheitsrichtlinien erstellt, gespeichert und geschützt.

Ist dieser (oder einer dieser) Schlüssel kompromitiert, was beim aktuellen Tempo der KI-Enwicklung wohl eher in Wochen als in Jahren gemessen werden sollte, dann kann jeder sehen, was Ihnen der Heizungsmonteur bei der Badrenovierung berechnet hat und was im Untersuchungsbericht des Arztes über den eitrigen Abszess steht. 

Will man das? Nein, will man nicht.

Also muss eine Lösung her, die einem die Hoheit über die Daten und deren Sicherheit wieder in die eigenen Hände legt.

Da bieten sich als erstes diverse Verschlüsselungslösungen an, als Beispiel sei hier die quelloffene Lösung „Boxcryptor“ genannt, mit dem man die Daten erst verschlüsselt mit einen eigenen Kennwort und das Ergebnis dann auf dem Cloudspeicher ablegt. 

Vorteil: Wenn jemand den Dienstleister hackt, dann sind in den Daten eben keine Rechnung vom Heizungsmonteur und kein Arztbericht mehr, statt dessen findet er nur eine sinnlose Ansammlung von Bytes, die nichts aussagen ohne ihr vergebenes Kennwort. 

Nachteil: Diese Verschlüsselungslösung muss es für alle genutzten Plattformen/Betriebssysteme geben und sie muss immer zusätzlich auf allen neuen Geräten installiert werden. Hat man ein neues Gerät und vergisst das, dann fällt es einem garantiert dann ein, wenn man dringend Zugriff auf irgendetwas braucht, gern im Zug, bei schlechter Netzverbindung oder am Gate mit vielen alkoholgeladenen Urlaubern hinter sich. Und dann könnte es leicht hektisch werden: Software herunterladen, installieren, eventuell Seriennummer eingeben, die verschlüsselten Daten zuweisen und deren Zugriffscodes eingeben…

iCloud to the rescue

Nutzer des Apple Ecosystemes haben seit einiger Zeit eine angenehmere Lösung: iCloud Drive mit „Erweitertem Datenschutz„. Das ist eine seit kurzem verfügbare Option, die sie einschalten können. Ihre Geräte verschlüsseln dann alle Daten eigenständig mit Ihrem selbst vergebenen Schlüssel, bevor sie auf iCloud abgelegt werden. Alle Daten, die geteilt werden, lassen sich nicht verschlüsseln, also zum Beispiel Kalender, gemeinsame Notizen, etc.

Das heißt, dass ab jetzt die volle Verantwortung für den Zugriff auf ihre Daten nur noch bei Ihnen liegt. Das Prinzip nennt sich modisch „Zero Knowledge“, übersetzt etwa „Keine Ahnung“, und meint, dass Apple den Schlüssel zur Entschlüsselung Ihrer Daten nicht hat – und Ihnen deswegen auch nicht helfen kann, wenn Sie den Schlüssel verschusselt haben. 

Aus diesem Grunde fährt Apple bei der Einschaltung dieses Features eine straffe Palette an Warnungen und Bedingungen auf. Erst einmal muss der Account mit einer Zweifaktor-Autorisierung abgesichert sein, was Sie aber ja sicherlich haben, wenn Sie unsere Sicherheitshinweise immer lesen und befolgen. Zweitens müssen Sie einen laaaaaangen Wiederherstellungsschlüssel ausdrucken und ablegen, und drittens müssen alle ihre Geräte das unterstützen. Wenn das alles gegeben ist und Sie das Feature eingeschaltet haben, dann merken Sie bei der weiteren Arbeit mit Ihren Dateien – nichts. Nichts stört, keine zusätzlichen Kennwörter, keine Installation von Software. 

Ein weiterer, nicht ganz unerheblicher Vorteil dieser Lösung ist es, dass alle iCloud-Daten in der „Dateien“ – App auf iOS und iPadOS wunderbar nachverfolgt werden können. Sie bearbeiten grad ein Dokument in Pages auf dem Mac? Öffnen Sie „Dateien“ auf dem iPad, und diese Datei steht prominent im Verlauf angezeigt.

Das Ganze läuft bei uns jetzt seit einiger Zeit reibungslos, und der finanzielle Mehraufwand für genug Speicherplatz in iCloud wird locker ausgeglichen durch Einsparungen bei Dropbox, etc.

Microsoft – leider schon wieder

Wenn es nicht so traurig wäre…

Mein letzter Beitrag über Sicherheitsprobleme bei Microsoft ist grad mal eine Woche her, und da findet sich schon wieder Interessantes im Netz:

Ein bei Azure gehosteter interner Server von Microsoft war für das gesamte Internet sichtbar und durch keinerlei Kennworte gesichert. Was drauf war? „The whole 9 yards“: Kennungen und Passworte von Microsoft Mitarbeitern, Administratoren und mehr. Codeschnipsel, interne Dokumente, Konfigurationsdateien…

Und der wirkliche Skandal: Microsoft wurde am 6. Februar darauf hingewiesen, und dann hat es noch fast einen ganzen Monat gedauert, bis das gefixt war – solange standen die Daten zur gefälligen Selbstbedienung offen herum.

Ein ganzer Monat, 30 Tage! Wie geht sowas? Wenn mich jemand darauf hinweisen würde, dass einer unserer Kundenserver offen im Netz steht – dann wäre aber Alarm unter dem Dach in der IT und spätestens 30 MINUTEN nach Bekanntwerden wäre das Ding aus dem Netz verschwunden. Wie kann eine Firma 30 Tage brauchen, um den Ausschalter zu finden?

Muss das erst als Akte durch alle Abteilungen im Haus laufen? Wissen die nicht, wer welche Server betreut? Sagenhaft.

Microsofts Sicherheitssupergau (Nachtrag)

Aus gegebenem Anlass noch einmal etwas zu unserem bereits veröffentlichten Artikel (hier) zum drastischen Sicherheitsproblem bei Microsoft.

Ich lese grad einen Artikel auf heise über den Sicherheitsvorfall bei Microsoft mit dem schönen Titel „Gestohlener Azure-Master-Key: Microsofts Sicherheitsversagen ist jetzt amtlich“. Da haben Hacker bisher unbekannter (vermutlich chinesischer) Herkunft den Generalschlüssel für das Microsoft-Universum geklaut. Der Tenor des Berichtes ist vernichtend, Microsoft hat in allem komplett versagt, was sich um die Sicherheit dreht. Die Empfehlung der US-Behörde? Keine neuen Features, erst mal um die Sicherheit kümmern. Kommt Ihnen bekannt vor? Genau, Boing – etwas zu gierig geworden, mehr Finanzleute in hohen Position, die teuren, nörgelnden Ingenieure wird man dann auch los…
Und was macht Microsoft?
„Hey, easy. Alles nicht so schlimm, wir wissen zwar nicht so genau, wo die Hacker überall waren, aber wir haben das völlig im Griff. Und ab sofort ist unser geiler Copilot, der zeitweise völligen Unsinn zusammenphantasiert, jetzt (gegen Aufpreis, muss leider sein) in jedem unserer Programme eingebaut. Klasse, oder?“
Und dann überfliege ich so meinen LinkedIn-Feed, und da komme ich dann doch etwas ins Staunen. Ein IT-„Berater“ reiht sich an den nächsten, alle wollen Teams einrichten, alle Daten in Azure schaufeln, überall alle Office-Programme installieren. Und neuer idiotischer Trend: Den neuen, geilen Microsoft Copilot für alles einzusetzen, was nicht weglaufen kann. Teure Schulungen werden angeboten, wie man diese Software dazu bringt, den gleichen, zähen, langweiligen Brei zu produzieren, der überall zu lesen ist. Warum ist niemand mehr individuell und mutig, gern auch mal aneckend?

Das Ganze ist unverantwortlich, tut mir leid, das so sagen zu müssen. Kein Nutzer von irgendwelchen Microsoft-Diensten kann sich noch sicher sein, das seine Firmengeheimnisse nicht irgendwo im Darknet rumschwirren, und alle rennen wie die Lemminge auf die nächste Klippe zu, Hauptsache KI!

Man muss sich dem unseligen Trend nicht anschließen. Mein Vater sagte damals schon: „Wenn 100 Leute von der Brücke springen, müssen wir das nicht auch tun!“
Warum bei sowas alle Eier in einen Korb legen? Warum nicht Einzelprogramme intelligent miteinander vernetzen? Muss man das Telefon auch noch über Teams abwickeln? Vielleicht noch die Steuerung des Herzschrittmachers in die Microsoft Cloud legen? Der könnte dann, wenn die Bank anruft automatisch ein paar Takte höher schalten.
Im Ernst: Es gibt so viele schicke Lösungen, die man gut miteinander verbinden kann, und die auch dann weiter funktionieren, wenn mal ein Baustein ausfällt.

Wer unseren Artikel (der VOR der bösen Abrechnung von Heise erschienen ist) noch einmal nachlesen möchte: Gern, hier.

Schönen Start ins Wochenende!

iOS 17.3 – Das iPhone richtig absichern

Apple hat mit iOS 17.3. eine Sicherheits-Schwachstelle beseitigt, die zur kompletten Übernahme der AppleID durch Fremde führen konnte. Da haben wir schon eine Anleitung zur Absicherung geschrieben („Sicherheitshinweis“, hier zu finden.) Im Lichte des Updates haben wir unseren Beitrag überarbeitet und geben Ihnen im folgenden eine step-by-step Anleitung, wie Sie unter iiOS 17.3 das iPhone richtig absichern, ohne dass die einfache Bedienung darunter leidet.

Szenario:

Das Opfer wird beim Entsperren des iPhones beobachtet oder heimlich ein Video gemacht.
Das Telefon wird dem Opfer entwendet. Der Böse meldet sich mit der beobachteten oder gefilmten PIN sofort an, ruft die iCloud-Einstellungen auf und muss dazu die ausspionierte PIN eingeben. Dann kann er das Kennwort für iCloud durch ein neues ersetzen, ohne das alte Kennwort zu kennen!
Es erfolgt keine Zwei-Faktor-Abfrage oder die Nutzung eines Sicherheitsschlüssels.
Anschließend werden alle im Account befindlichen Geräte gesperrt, damit der rechtmäßige User ausgeschlossen wird.
Danach erfolgt die „Ernte“.
Der Angreifer startet Banking-Apps und testet die mit der Anmelde-PIN. Klappt das, macht er eine Überweisung. Das Sicherheitsverfahren ist dann meist eine Push-TAN, und die Push-TAN-App ist gesichert mit welcher PIN? Sicherheitshalber kann er in der Passwort-Datei von iOS nachsehen – die ist auch nur mit der Geräte-PIN gesichert.

Wie schützen Sie sich am besten gegen so einen Fall?

Wir haben unsere bisherige Empfehlung „Sicherheitshinweise“ mit den neuen Features unter iOS 17.3 erweitert und geben einen „Step-by-Step“ Anleitung, wie man sein digitales Leben sicher sichert…

🙄

################### Weiterlesen ###################

Guter Vorsatz in 2024 – Sicherheit auf dem Mac

Zum Jahresanfang klappen die üblichen Vorsätze („Mehr Sport“, „Abnehmen“, „nie wieder Alkohol“, „nett und ausgeglichen sein“) sowieso nicht. Da kann man sich gleich auf einen sinnvollen beschränken: Guter Vorsatz in 2024 – Sicherheit auf dem Mac.

Da könnte man jetzt ja den Weg des geringsten Widerstandes nehmen, installiert sich einen Virenschutz und lehnt sich dann entspannt zurück. Kann man machen, ist aber nicht die beste Lösung.

Erstens: Das ist wie mit dem Fahrradhelm: Angeblich sollen Menschen mit Fahrradhelm risikobereiter Fahrrad fahren als solche ohne Helm. Übertragen auf den Virenschutz: Wer einen installiert hat, neigt dazu, das Hirn ein wenig abzuschalten, was solche Bedrohungen angeht: „Ich klick mal auf diesen Anhang, ich hab ja einen Virenschutz!“

Was, zweitens, ein Grober Fehler® ist: Virenschutzprogamme sind immer nur für bekannte Bedrohungen aus der Vergangenheit erfolgreich. Neue Virusvarianten müssen dem Programm erst durch ein Update bekannt gemacht werden, und das kann dauern. Und leider bremsen die meisten Virenschutzprogramme den Rechner stark aus.

(mehr …)