IT-Sicherheit in der, aus der und für die Cloud – kein Thema ist zurzeit so angesagt. Dabei ist die Thematik mindestens so vielfältig wie die Cloud selbst. Das Thema Cloud Security reicht von Identity Management über Logging Intelligence bis hin zu Verschlüsselung. Dieser Artikel geht auf die Möglichkeiten solcher Ansätze ein.
Hersteller prägen und verwenden naturgemäß Hype-Begriffe für bestimmte Technologien, um ihre Produkte möglichst optimal darzustellen – das gab es auch in der Vergangenheit. Man denke nur an Endpoint Security oder Perimeter Security. Aber im Falle der Cloud ist nun wirklich jede Interpretation recht, um zu zeigen, dass man „dabei“ ist.
Aber was hilft denn wirklich, die Cloud „sicher“ zu machen? Was ist denn substanziell anders? Die meisten werden sagen – und das ist für diese Betrachtung eine durchaus sinnvolle Perspektive –, dass die Daten nicht mehr unter Kontrolle ihres Eigentümers sind. Dies ist ja auch das Hauptargument für viele, bestimmte Daten nicht in die Cloud zu geben, sprich durch einen Cloud Service verarbeiten zu lassen. Und das ist ein verdammt gewichtiges Argument.
Manch einer behauptet, das sei nun mal so. Mit der maximalen Transparenz und dem Verlust der Privatsphäre müsse man leben und dem Cloud Service Provider vertrauen. Dieser wiederum versucht mit der Optimierung der „Industry Best Practices“ die Vertrauenswürdigkeit zu optimieren.
Cloud Security – wo bleibt der Lichtblick?
Der Service-Anbieter weiß sehr wohl, dass er keine wirklichen Argumente hat, die das Vertrauen ihm gegenüber rechtfertigen und die Vertraulichkeit der Informationen gewährleisten. Also fährt er als erstklassig geltende Sicherheitsmechanismen auf, von Identifizierung über Authentifizierung, ausgeklügeltes Rechtemanagement, Security Information and Event Management, Compliance-Tools und sogar Verschlüsselung.
Aber wovor schützt der Provider die Informationen damit? Vor unerwünschtem Zugriff „von außen“, also im Prinzip nach der gleichen Vorgehensweise wie auch heute die Unternehmensdaten geschützt werden. Die eigentliche Herausforderung wird damit aber nicht gelöst: nämlich Daten vertrauensvoll in die Cloud geben zu können, weil es eben aufgrund des Schutzmechanismus egal ist, von wem sie gerade verarbeitet werden.
Der einzige Ansatz, der in der Lage ist, dieses Problem tatsächlich zu lösen, ist DRM (Digital Rights Management) oder besser IRM (Information Rights Management oder wie manche es auch nennen, Enterprise DRM). Sind Dokumente mit IRM geschützt, können sie sorgenfrei auch in der Cloud abgelegt werden, denn die Daten werden nach bestimmten Policy-Vorgaben für berechtigte Empfänger entschlüsselt.
Was Information Rights Management leistet
Der Vorteil von IRM im Vergleich zu klassischer Verschlüsselung ist, dass man bei IRM auch nachträglich den Zugriff auf Dokumente freigeben kann, ohne das Dokument selbst anzufassen. Bei reiner Verschlüsselung müsste man z.B. den Schlüssel oder das Passwort für die Daten preisgeben.
IRM hat eine Reihe von Vorteilen: man kann die Sichtbarkeit von Informationen einschränken, beispielsweise zeitlich oder sogar geografisch unter Verwendung der modernen Ortungssysteme. Man kann – je nach Unterstützung durch die Anwendungen – Dokumente auch teilweise editierbar machen, manche Passagen wären dann nicht veränderbar.
Durch die Entkopplung der Rechteverwaltung – die in der Regel an ein Identitätsmanagement-System angelehnt ist – vom Enforcement durch Verschlüsselung bestimmter Abschnitte im Dokument ist die Umsetzung sehr flexibler Policies möglich. Diese wiederum können selbst als Cloud Service bereit gestellt werden.
Ein Beispiel für eine zukunftsorientierte Cloud-Architektur, die IRM-Elemente verwendet ist zum Beispiel die Gesundheitstelematik-Infrastruktur, die mit der den neuen elektronischen Gesundheitskarte entwickelt wurde. Dort werden medizinische Daten der Patienten mit IRM-Technologie geschützt. Der Patient hat volle Kontrolle darüber, wer auf die Daten zugreifen darf.
Jeder kocht sein eigenes Süppchen
Ein Nachteil der bestehenden IRM-Technologielandschaft ist jedoch die Vielfalt der existierenden Standards, wenn man diese überhaupt so bezeichnen darf. Denn im Grunde genommen existiert kein Standard. Nahezu alle Anbieter – allen voran Microsoft, Adobe und Apple – verwenden eigene Techniken für IRM bzw. DRM als Lock-In. Sie zwingen Kunden also dazu, bei ihnen zu bleiben, da ein Austausch des DRM-Schutzes nicht ohne weiteres möglich ist.
Eine industrieweite Standardisierung ist sicherlich ein langfristig notwendiger Schritt, doch bis dahin wird noch viel Zeit vergehen. Entsprechend wäre es eine richtig gute Idee, wenn man eine Art von „IRM Intermediate“ entwickeln würde, der die Dokumente zwischen zwei verschiedenen Formaten austauschen kann. Solch eine Form von „IRM Middleware“ wäre ein wesentlicher Baustein für die Anwendung von IRM für Firmeninformationen und damit für Sicherheit in der Cloud.
Nun gibt es eine Reihe spezialisierter Hersteller, die IRM anbieten; zum Teil auf der Basis der Formate der Marktführer, zum Teil aber auch auf Basis einer proprietären Technologie. Die Lösungen dieser Hersteller überzeugen in der Regel durch die Möglichkeit, sehr komplexe und differenzierte Policies einzusetzen. Das ist technologisch sehr überzeugend und auch für den Sicherheitsverantwortlichen ein gutes Argument. Doch in der Praxis spielen Lösungen mit einfachen Policies eine sehr wichtige Rolle, da sie äußerst skalierbar und sehr effektiv zu verwalten sind.
IRM/DRM-Ansätze und Standardisierung
Natürlich behaupten viele IRM-Experten, man könne ihre Technologie nicht mit klassischem DRM (also Content Protection) vergleichen. Doch aus meiner Sicht ist ein Vergleich schon deshalb erlaubt, da die DRM-Technologien inzwischen flächendeckend eingesetzt werden.
DRM hat sich etabliert, beispielsweise bei Video-on-Demand (Maxdome und Microsoft), Musik (iTunes von Apple) und sogar Anwendungen (inzwischen fast alle App Stores für Smartphones). Zwar gibt es eine Community von Crackern, die Schutzmechanismen umgehen können, doch die meisten verwenden DRM ohne Betrugsabsicht.
Entsprechend ist es interessant, zu schauen, welche Erfolgsfaktoren DRM-Systeme aufweisen können und inwiefern diese auch Aspekte aufweisen, die auch in der Cloud relevant sind. Und genau das ist der Fall: die großen DRM-Systeme sind darauf ausgelegt, Informationen (in diesem Fall meist Content) in einer überwiegend unkontrollierten Umgebung zu schützen.
Gleichermaßen gibt es eine relativ einfache Policy, die erlaubt, von bestimmten Devices aus (Set-Top-Boxen oder MP3-Player) die Daten für einen bestimmten Zeitraum zu nutzen. Bei Apples iTunes z.B. kann man auch nachträglich die Dateien für die „Heim-Verwendung“ freigeben und damit auch auf den Computern der Familie nutzen. Alle diese Modelle zeichnen sich durch zwar flexible, aber einfach gehaltene Policies aus.
Entsprechend stellt sich die Frage, warum im IRM-Umfeld die Policies möglichst alle möglichen Szenarien abdecken sollen. Vielleicht wäre es ein wichtiger Schritt in den Markt, mit einem einfachen Policy-Modell für DRM-geschützte Daten eine einfache Verwendbarkeit und möglichst einfache Administration realisieren zu können.
Wo die Reise hingeht…
Aber egal, wie genau die Ausgestaltung Form annehmen wird – sicher ist, dass DRM/IRM in der Cloud auf absehbare Zeit eine sehr wichtige Technologie sein wird. Und es wäre sicherlich geschickt, frühzeitig darauf vorbereitet zu sein. Damit kann man Informationen in der Cloud zumindest sicher ablegen und teilweise bearbeiten lassen.
Was noch in den Kinderschuhen steckt, ist die Verarbeitung verschlüsselter Informationen, also wie man IRM-geschützte Informationen bearbeiten kann, ohne den Schutz aufzuheben. Das ist der heilige Gral, denn dann kann man wirklich guten Gewissens die komplette IT in die Cloud verlagern, inklusive Human Ressources, CRM und sogar Analysen. Dafür wird aber „homomorphe Verschlüsselung“ benötigt und da ist die Forschung erst in den Anfängen.