Dióhéjban: a Dropbox-jellegű fájlszinkronizációs szolgáltatások mellé mutatok titkosított alternatívákat.

Ha több számítógépen dolgozunk ugyanazokkal a fájlokkal, célszerű szinkronban tartani a őket. Rettenetesen pórul járhatunk, ha elveszítjük a fonalat, és nem tudjuk megállapítani, melyik a legfrissebb verzió. Megoldást jelenthet, ha minden fájlt egy szerveren tárolunk, és mindig a szerveren lévő fájlokkal dolgozunk. Ekkor mindenünket erre a szerverre bíztuk, a szerver kiesése esetén adataink elérhetetlenek. Meg kell szervezni a szerver mentését, megbízhatóan és biztonságosan kell üzemeltetnünk, amely egy Interneten lévő szerver esetén nehéz feladat; szakértelmet és erőforrásokat igényel.

Ezért is lettek oly népszerűek az utóbbi időben elterjedt fájlmegosztó és fájlszinkronizációs szolgáltatások. Ekkor a központi szerver valahol a felhőben van, és a szolgáltató gondoskodik az üzemeltetéséről. Dolgozhatunk közvetlenül a felhőben lévő fájljainkkal, de szinkronizálhatjuk is őket számítógépeinkkel, mobiltelefonjainkkal, tableteinkkel stb. A szinkronizáció folyamatosan fut a háttérben, lényegében nem is kell foglalkozni vele. E szolgáltatások többnyire nemcsak a legfrissebb verzióját, de az előző néhány verziót is eltárolják, így visszaállíthatjuk adatainkat egy-egy véletlen törlés vagy mentés után. Mindemellett egy folyamatos biztonsági mentést is jelentenek fájljainkról, méghozzá olyan mentést, amely egy távoli helyszínre történik, tehát akkor is megmaradnak fájljaink, ha az egész ház leég. Szintén lehetővé teszik, hogy megoszthatjuk fájljainkat más felhasználókkal, így a szolgáltatás akár egy fájlszerver funkcióit is átveheti.

A Dropbox a legismertebb fájlszinkronizációs szolgáltatás, de mára minden nagyobb birodalom rendelkezik sajáttal is: a Microsoft Skydrive, az Apple iCloud, a Google Drive stb. Mindegyik szolgáltatás kedvcsinálóként ad néhány gigabyte ingyenes tárhelyet, ezt pénzért megnövelhetjük.

Ha ilyen szolgáltatásokat használunk, minden fájlunk mindig kéznél van, és minden eszközünkről mindig a legfrissebb verziót érjük el. Ez olyan jó, hogy nagyon könnyű megszokni, már-már függőséget okoz.

A továbbiakban egyszerűen "dropbox" néven hivatkozom rájuk, mert biztonsági szempontból egyenértékűnek tartom őket.

Mi a probléma az ilyen cloud megoldásokkal?

1. A szolgáltatónál nyíltan vannak az információink. Bizalmas adataink illetéktelen kezekbe kerülhetnek, ha a szolgáltatót feltörik, vagy ha egy üzemeltetési hiba folytán minden felhasználói fiók jelszó nélkül érhető el.

   Az is lehet, hogy a szolgáltató él vissza az információinkkal, vagy kiadja valaki másnak, akinek mi nem adnánk ki. Néhány éve paranoiásnak nevezték, aki ilyeneket tételezett fel, ma naivnak nevezzük azt, aki nem. A Dropbox nemrég frissítette felhasználói feltételeit, szilárdan állítja, hogy nem tesz ilyet, de mindez az ő állításuk, semmi több.

   Megjegyzés: A belinkelt anyagok a Dropboxra vonatkoznak ugyan, de ugyanezek a problémák bármelyik másik hasonló szolgáltatásnál felmerülhetnek. Előbb-utóbb minden szolgáltatás követ el hibát, a veszély abból ered, hogy a szolgáltató nyíltan kapja meg az adatokat, és ez az üzleti modellje része.

2. A szolgáltató bármikor abbahagyhatja a szolgáltatást vagy megváltoztathatja a feltételeit, és sokat nem tehetünk ez ellen.

Fájlszinkronizációs szolgáltatások esetén ez utóbbi nem olyan nagy probléma. Ha a szolgáltató lekapcsolja a szolgáltatását, attól még ott marad minden adatunk az összes számítógépünkön. Az előbbi viszont komoly veszélyt jelenthet. Ahogy egyre intenzívebben használtam a Dropboxot, egyre gyakrabban merült fel bennem, hogy vajon ezt és ezt a fájlt fel merem-e tölteni (pl. a jelszókezelő amúgy titkosított adatbázis-fájlja, a levelezésem mentése, banki/pénzügyi információk, családi fényképek stb).

Vegyük figyelembe, hogy minden vállalkozás az ügyfeleiből él. Ha nem fizetsz a szolgáltatásáért, akkor te nem az ügyfele vagy, hanem valószínűleg a terméke. Ez jelentheti azt, hogy pl. hirdetéseket közvetítő cégeknek adja el az adataidat. Ugyanakkor, ha fizetsz a szolgáltatásáért, attól még ugyanúgy kiárusíthatja az adataidat, és ugyanúgy csak terméknek tekinthet, ha fő bevételi forrása nem a hozzád hasonlóktól származik. Az a biztos, ha a szolgáltató nem kapja meg a nyílt adatokat.

Mit tehetünk adataink védelméért?

Titkosítsuk be az információt, mielőtt feltöltjük a felhőbe! A dropbox is használ titkosítást, de csak a kapcsolatot titkosítja a számítógépünk és a dropbox felhőben lévő szerverei között. Nekünk olyan titkosítás kell, amely a mi számítógépünkön titkosítja be az információkat, és titkosítottan helyezi el a felhőben, és a szolgáltató sehogyan sem fér hozzá a nyílt információhoz.

Milyen lehetőségeink vannak?

• Léteznek dropbox-titkosító szolgáltatások, amelyek titkosítják a fájlokat, mielőtt azok a dropboxba kerülnek. Ez jól hangzik, de valamilyen oknál fogva ezek szintén cloud szolgáltatások, tehát mivel nem akarunk kiszolgáltatottá válni egy cloud szolgáltatással szemben, ezért... két cloud szolgáltatást veszünk igénybe..? Na ne!

  Ilyen megoldások például a Boxcryptor, a SecretSync és a Viivo. Sok más is van, de nagyon nem tetszik ez a konstrukció. Bármelyik cloud szolgáltató megváltoztat valamit, padlón vagyunk.

• Magunk is titkosíthatunk. Ezt tehetjük kézzel, valamilyen titkosító programmal, vagy pl. TrueCrypt köteteket is tölthetünk fel dropboxba. Ez elvileg működik, de amikor kipróbáltam, elég macerás volt, nem jött be.

• Használjunk olyan dropbox alternatívát, amely eleve titkosít. Nagyon sok online fájlszinkronizációs szolgáltatás és online backup szolgáltatás létezik, több állítja magáról, hogy titkosít. A következőkben ezek közül nézünk meg néhányat.

Titkosított fájlszinkronizációs szolgáltatók?

Mivel a dropbox funkcionalitása nagyon megtetszett, az utóbbi néhány évben több olyan alternatívát is megvizsgáltam, amely titkosítást ígér. Egyes termékeket régen vizsgáltam, így azóta megváltozhattak.

Vigyázat, nagyon sok magát titkosítottnak hirdető megoldás sarlatánság. Szinte mindegyik megoldás azt állítja magáról, hogy titkosít, de később kiderül, csak a kommunikációt titkosítják. Gyakran állítják azt is, hogy ők belül titkosítanak valamit, de ha mi nyíltan adjuk be a fájlt, és nyíltan kapjuk vissza, akkor ez a titkosítás őellenük (vagy az őket feltörő támadó ellen) semmit nem véd. Nekünk olyan megoldás kell, ahol a szolgáltató nem kapja meg a nyílt fájlokat.

Választás előtt célszerű megvizsgálni, hogy ha elveszítjük a jelszavunkat, milyen módon biztosítanak hozzáférést a fájljainkhoz. Ha bármilyen módon is vissza tudják adni a fájljainkat a jelszavunk nélkül, akkor nem ez a szolgáltatás kell nekünk.

A SpiderOak korrekt megoldásnak tűnt, de elsősorban mentésre szolgál, nem pedig fájlszinkronizációra. A felülete pilótavizsgát igényel, közel nem olyan egyszerű kezelni, mint a dropboxot.

Az iDrive elsőre jónak tűnt, de kiderült, hogy fájlt csak akkor oszthatunk meg, ha "default encryption"-t használunk, azaz az alapértelmezett titkosító kulccsal titkosítunk. Nos, ha ugyanazzal a kulccsal titkosítunk, mint mindenki más, az olyan, mintha nem titkosítanánk. Biztonsággal foglalkozó cég ne kapacitálja az ügyfeleit arra, hogy egyazon kulcsot használjanak. Nem foglalkoztam a továbbiakban ezzel a megoldással.

Két jó megoldás

Végül két megoldást találtam, amelyek funkcionalitás tekintetében megfelelnek a dropboxnak, ugyanakkor korrekt de kényelmes titkosítást kínálnak: a Tresorit és a Wuala. Mindkettőt kipróbáltam, mindkettőt használom, mindkettő jól működik Windows, Linux és Mac alatt, valamint mobil platformokon (az androidosat ismerem), mindkettő megbízható helyről származik, és mindkettőt tudom ajánlani. Itt is jár néhány giga ingyenesen, az áraik is kb. hasonlóak.

• A Wuala a régebbi megoldás, az ETH Zürich-en végzett kutatásokra alapul. Eredetileg egy külön kliensprogramot igényelt, és fájljainkat ezen keresztül böngészhettük, később továbbfejlesztették, hogy ugyanezen fájlokat egy hálózati meghajtón keresztül is láthatjuk, a helyi géppel való szinkronizációval csak később bővítették ki - valószínűleg a dropbox hatására. Meghatározott filozófiát követ, és azt ráerőlteti a felhasználóra, rengeteg funkcióval rendelkezik, kicsit nehéz köztük eligazodni. A dropboxhoz hasonlóan néhány korábbi verziót is elérhetünk fájljainkból, ez biztonsági szempontból nagyon hasznos, mert egy szerencsétlen törlési parancs nem vezet katasztrófához. A kliens Java alapú, ezért sok platformon elérhető, de a Java felfordulást okoz a gépen.

  Részletek: http://www.dcg.ethz.ch/publications/srds06.pdf

• A Tresorit újabb megoldás, magyar termék, a BME Crysys laborjából indult spinoff. Kevesebb funkcióval rendelkezik, de pont azokkal, amik legjobban kellenek, és azok rendkívül jól kézre állnak. Sokkal kevésbé egy kutatási projekt eredményét képző bonyolult eszköznek, sokkal inkább jól használható terméknek tűnik. Szemben a Wualával, itt sajnos nem találtam olyan funkciót, amellyel a fájljaink korábbi verzióit el lehetne érni; ugyanakkor itt írási jogot is adhatok másnak a fájljaimra. A telepítése nem igényel Java környezetet, sőt még admin jogot sem.

  Részletek: https://tresorit.com/tresoritwhitepaper.pdf

Úgy gondolom, ezek jövője attól függ, hogy valós piaci rést jelentenek-e azok a cégek/felhasználók, akik elég érzékenyek ahhoz, hogy ne nyíltan bízzák adataikat egy cloud szolgáltatóra, de nem tudnak/akarnak saját infrastruktúrát felállítani, és ugyanakkor fizetni is hajlandóak a biztonságos cloud archiválásért. Nagyon remélem, hogy igen, és hogy van értéke a privacy-nek.
Szurkolok nekik!