Cloud-udbydere kan tabe 200 milliarder på NSA-overvågning

6. august 2013 kl. 13:3722
Tilliden til amerikanske cloud-udbydere har lidt alvorlig skade i kølvandet på dokumentationen for NSA's overvågning, og det kan koste branchen dyrt.
Artiklen er ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

De amerikanske udbydere af cloud computing-tjenester risikerer et tab på knapt 200 milliarder kroner i løbet af de næste tre år som følge af afsløringerne af NSA's overvågning af internettet. Det vurderer Information Technology and Innovation Foundation ifølge ZDNet.

Overvågningen har været kendt i sikkerhedskredse i årevis, men dokumentationen fra den afhoppede it-konsulent Edward Snowden har bidraget til at dokumentere omfanget og gjort spionagen mellem USA og dets allierede til en penibel sag for hovedsageligt USA, selvom andre landes sikkerhedstjenester angiveligt foretager lignende overvågning.

Artiklen fortsætter efter annoncen

Afsløringerne kan betyde, at europæiske virksomheder i højere grad vil vælge lokale cloud-udbydere af frygt for, at amerikanske konkurrenter får indsigt i forretningshemmeligheder gennem efterretningstjenesterne.

Det er især visse amerikanske teleselskaber og internetfirmaers samarbejde med efterretningstjenesterne om systematisk udlevering af overvågningsdata, som har vakt bekymring i Europa, og som kan gå ud over de amerikanske udbydere.

Information Technology and Innovation Foundation vurderer, at udfaldet af skandalen vil koste de amerikanske selskaber mellem 120 og 200 milliarder kroner.

22 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
21
9. august 2013 kl. 01:17

Det var ment som en retningslinje for at mindske den datamængde, der kan ses på nettet, når du er på.

18
8. august 2013 kl. 02:31
  1. Skaf en afbryder til din router.
  2. opdater dine virusprogrammer.
  3. sluk for dit internet
  4. kør antivirus
  5. tænd først nu for eksterne diske
  6. sikkerhedskopier så - evt. til to diske - også din mail, du har på disken, idet du har flyttet den hen til din D-disk-partition, hvor alle dine andre data også ligger.
  7. Sluk så for eksterne diske.

Kør videre og rens evt. op i data.

Bo

19
8. august 2013 kl. 08:16

Jeg har svært at ved at se logikken i din fremgangsmåde

17
7. august 2013 kl. 13:31

Der sidder beslutningstagere på 200 milliarder, som - imod sund fornuft - var villige til at sidde alle advarsler overhørige.

Hvis / Når disse beslutningstagere nu ikke vil vælge disse løsninger længere, fordi Snowden har bøjet det i neon for dem, så indikerer det at de ville/(har) tromle(t) hen over advarslerne.

Hvis de havde foretaget en fornuftig afvejning, hvor de var kommet frem til at eventuelle NSA-læk ingen betydning ville have for firmaet, så ville disse beslutningstagere stadigt købe.

K

5
Indsendt af Peter Binderup (ikke efterprøvet) den tir, 08/06/2013 - 16:36

Til mine private ting der har jeg svært ved at se hvordan jeg skulle kunne opretholde backup af mine data offsite (automatiseret) uden at jeg på en eller anden måde risikerer at tingene bliver opsnappet (dog er vores familie billeder nok ikke så kritiske for sikkerheden i vesten :-)) - og det er vel opsnapningen der er problemet. Sådan som jeg har læst de forskellige blogindlæg/analyser om NSA og deres Prisme system ligger i at det ikke er selve cloududbyderens servere de har snablen ned i, men de forskellige knudepunkter ens data suser igennem på nettet.

Støder de på krypteret data bliver disse gemt til evt senere analyse. Vi kan gisne om NSA muligheder for at dekryptere, men med de ressourcer de har til rådighed ville jeg ikke være overrasket over at de måske kan langt mere end vi måske kan forestille os.

Dermed ikke sagt at det ikke er noget l**t, at vi bliver overvåget i den grad som vi gør, man kan snart kun håbe at mængden af data vil stige så meget at lidt af anonymiteten/sikkerheden kommer til at ligge i den rå mængde af data.

Jeg er så tilbage med det dilemma. Hvad er vigtigst for mig? Er det at mine data er sikre (genskablige) og kun tilgængelig til mig, eller at de er genskablige og måske tilgængelig for NSA eller tilsvarende. Desværre er svaret nok at jeg godt kan stille mig tilfreds med det sidste, da indholdet af mine data er vigtigere end overvågningsbeskyttelsen.

10
7. august 2013 kl. 09:00

Jeg er så tilbage med det dilemma. Hvad er vigtigst for mig? Er det at mine data er sikre (genskablige) og kun tilgængelig til mig, eller at de er genskablige og måske tilgængelig for NSA eller tilsvarende

Personligt har jeg opdelt min backup i to dele, der hhv. er meget beskyttet (og dermed også sværere at genskabe engang i fremtiden, når jeg har smidt krypteringsnøglen væk, eller hvis krypteringsalgoritmen ikke er implementeret på det operativsystem, jeg kører til den tid) og lidt beskyttet.

Feriebilleder udgør langt den største datamængde og er mindst følsomme, så de ryger i den mindre sikre del. Mit mailarkiv ryger i den mere sikre del. Her er datamængderne er ikke så store, så de er lidt lettere at håndtere.

Til kryptering bruger jeg TrueCrypt, bl.a. fordi det findes til flere platforme (når man skal genskabe backup, har man ikke altid sit ønskehardware ved hånden). Jeg har prøvet at studere det lidt, og det er noget obskurt, hvem der står bag dette meget polerede produkt. Det skulle ikke overraske mig, at det er en efterretningstjeneste, der har en bagdør til det krypterede. Den sikre backup bliver dog opbevaret offline, så det lever jeg med.

12
Indsendt af Peter Binderup (ikke efterprøvet) den ons, 08/07/2013 - 09:20

Personligt har jeg opdelt min backup i to dele, der hhv. er meget beskyttet (og dermed også sværere at genskabe engang i fremtiden, når jeg har smidt krypteringsnøglen væk, eller hvis krypteringsalgoritmen ikke er implementeret på det operativsystem, jeg kører til den tid) og lidt beskyttet.

Så er det jo med om man kan stole på at den private nøgle ikke bliver sendt med (jeg bruger crashplan med egen nøgle, men jeg har ikke noget 100% garanti for at den ikke bliver sendt med trods løfte om det modsatte).

Mine data, krypterede, kan jo stadig blive "optaget" når de flyttes fra min adresse til crashplans servere. Det kan godt være at mine data vil tage meget lang tid at dekryptere på alm udstyr, men hvad hvis man har adgang til den regnekraft gange flere mio. som man jo kunne have en formodning at NSA måtte råde over i deres samlede datacenter faciliteter? Jeg ved godt at det nok næppe er mine familiebilleder der er højeste prioritet, men hvis de virkelig gerne vil have ens data, så tror jeg ganske ikke at der er noget at gøre hvis ens data lever i skyen uanset hvor godt krypteret det end måtte være.

13
7. august 2013 kl. 10:17

Jeg tror så også at vi skal passe på med at gå i fælden som ganske fint er illustreret her på XKCD.

https://xkcd.com/538/

Vi "folk med hvide tennissokker" har lidt et problem med at overdrive vores IT Sikkerhed. Men selvfølgelig, det er altid godt at beskytte os mod den skjulte overvågning. Gad vide hvor mange måder der mon er at pisse NSA af på? Måske kan man finde en liste med deres keywords og så leje sig ind på en spam server, som sender tonsvis af dem ud til ikke eksisterende adresser eller lignende? :)

6
6. august 2013 kl. 18:17

Jeg er enig, og står selv i samme situation.

Det er bare noget l*** at vi skal til at indfinde os med overvågning fordi vi jo ikke har et praktisk valg. Backup til lokale diske er stadig ikke så sikkert som Cloud backup, og når det handler om kundedata, så er det en nødvendighed.

En anden ting jeg tænker er dog - gad vide om Windows, OS X, iOS, Android og alle andre enheder efterhånden har en eller anden bagdør? Det eneste sikre alternativ er vel snart open source som man selv compiler på en maskine man er rimelig sikker på ikke er kompromitteret?

14
7. august 2013 kl. 11:53

God gammeldags bånd backup, evt. til en offsite lokation har altid været det billigste, hurtigste og mest driftssikre når man har en tilpas stor mængde data. Eneste minusser er at det kræver lidt manuelt arbejde med at flytte bånd i banken (hvis man ikke har offsite backup med en hurtig net adgang), og at det tar betydeligt længere tid at genskabe små enkelte filer som folk har for vane at slette fra serverne...

15
7. august 2013 kl. 12:10
16
7. august 2013 kl. 12:51

Dyre? Et LTO-6 bånd koster ca. 600,- + moms for 2,5TB (hvilket typisk komprimeres med faktor 1,5:1, så lad os antage 3,75TB). Det er en pris på 16øre pr. Gb. Dertil kommer så en båndrobot til typisk 25k, men hvis man afregner det over 3år så har jeg ikke set et eksempel der favoriserer Cloud backup kontra bånd, når vi snakker større data mængder. Personligt backer firmaets robot ca. 14TB op hver weekend, det ville bare blive tosset dyrt (og langsomt) via Cloud. Selv hvis vi kun flytte incremental data pr. dag så ville det sætte en grænse på ca. 36gb data. pr time om natten, det er bare ikke nok. En disk er MEGET mere sårbar for fysiske påvirkninger end bånd. Typisk er der 30års garanti på bånd medier hvis de er opbevaret korrekt. De tar ikke skade af at blive tabt på gulvet af IT praktikanten og de fylder mindre rent fysisk. Den eneste fordel diske har, er søgetid og det fact at du kan have flere backups kørende simultant, der skal der flere skrivehoveder til i båndstationerne.

8
6. august 2013 kl. 19:13

Det eneste sikre alternativ er vel snart open source som man selv compiler på en maskine man er rimelig sikker på ikke er kompromitteret?

Desværre ikke. Som der blev påpeget allerede før Snowdens afsløringer er den altid gangbare vej en bagdør i hardwaren og f.eks. mikrokoden. Men kodeinspektionen kan selvfølgelig afsløre, om der er bagdøre højere oppe i stakken - særlig hvis man tager Ken med (https://cm.bell-labs.com/who/ken/trust.html).

[edit] Hvor får man HW man er sikker på og som man kan checke, ikke er kompromitteret?

9
7. august 2013 kl. 01:20

Hvis du er så skeptisk, så får du det ingen steder. Så må du selv lodde det sammen af transistore.

Dog tror jeg faktisk den sikreste hardware er ældre hardware, før man begyndte på alt dette - simpelthen fordi man ikke havde resurserne dengang.

Skulle jeg bygge mig en super sikret maskine til at lække information fra, så compilede jeg selv Linux fra en kendt kilde som jeg var rimlig sikker på, og så installerede jeg det på den ældste PC jeg kunne finde.

Nu vi snakker om sikre computere, så tror jeg faktisk ikke på at Raspberry Pi (Eller beagle board f.eks.) har bagdøre. Jeg kan selvfølgelig tage fejl, der ingen der kender det rigtige svar, men jeg kunne godt forestille mig at computere baseret på de boards ville gå under radaren fordi det er SoC (System on Chip) og de er custom designede til hobby brug. TRor også meget hurtigt i det miljø, som ofte er open source, at en eller anden ville skrige vagt i gevær. Det er jo alment at folk skiller tingene ad med syrer og ser på selve print kredsløbene.

4
6. august 2013 kl. 16:05

For en måned siden sende Wuala dette nyhedsbrev ud:https://wuala.com/newsletter/072013/summer_en.htmlDe reklamerer specielt med at hverken NSA eller LaCie kan få adgang til vores data: Bl.a. dette "Our client-side-encryption technology ensures that your data is encrypted on your local device, before getting uploaded to our servers based in Switzerland, Germany and France. That means, even if someone would have access to the server, all he gets is chunked encrypted data. "

2
6. august 2013 kl. 14:37

Det er backup med klient-side kryptering, dvs. filerne krypteres hos dig inden de sendes i cloud, og det sker med en nøgle som kun du har adgang til. Det er godt.

Et hurtigt check af om det er reel klient-side kryptering er om cloud udbyderen tilbyder "password recovery" til dem som smider deres nøgler eller passwords væk. Det må ikke være muligt. Password recovery = bagdør.

Jeg har ikke checket alle detaljer, men hvis klient-side krypteringen fungerer med software som cloud udbyderen stiller til rådighed, kan der være bagdøre, eventuelt bagdøre som NSA har forlangt skal være der.

Den bedste backup løsning efter min mening er at bruge fri og åben software til krypteret backup (jeg bruger selv duplicity), og derefter overføre filerne til en cloud udbyder. Hvis krypteringen er god nok, kan du roligt vælge NSA hosting.

Man skal dog være opmærksom på at cloud computing dækker meget mere end backup til en remote server. Backup egner sig godt til klient-side kryptering inden dine data sendes i det usikre cloud, men der er masser af andre cloud computing anvendelser hvor det ikke er tilfældet (backup er vel i virkeligheden ikke "rigtig" cloud computing). Det er svært at lave operationer på krypterede data.