TeamDrive: End-to-End Verschlüsselung
TeamDrive ist trotz seines kommerziellen Ansatzes recht auskunftsfreudig und stellt einige Sicherheitsinformationen öffentlich zur Verfügung, auch zum Thema Verschlüsselung. Zudem wird mit dem Datenschutzsiegel des „Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD)“ geworben. Nach einer Anfrage wurden bereitwillig umfangreiche Informationen zur Verfügung gestellt, wobei einige jedoch einem NDA (Non-Disclosure Agreement) unterliegen.
Verschlüsselungsverfahren
TeamDrive setzt auf die folgenden Verschlüsselungsmechanismen:
Advanced Encryption Standard – AES 256
Zur Verschlüsselung der Daten setzt TeamDrive auf das Advanced Encryption Standard (AES) Kryptosystem mit einem 256-Bit-Schlüssel und verwendet die C Code Implementation der OpenSSL library.
Diffie-Hellman und RSA 3072
Für den Schlüsselaustausch setzt TeamDrive bei seinen älteren Clients auf den Diffie-Hellman Algorithmus. Neue Clients hingegen verwenden RSA 3072. Die Diffie-Hellman-Implementierung basiert dabei auf der C Code Implementation wie sie von der OpenSSL library zur Verfügung gestellt wird.
Message Digest 5/6 – MD5/MD6
Der TeamDrive Hash-Funktionalität liegt der MD5 bzw. MD6 Algorithmus zu Grunde, wobei der Hashwert mit einer zufällig gewählten Zeichenfolge (Salt) gespeichert wird.
PrimeBase Privacy Guard – PBPG
Der PrimeBase Privacy Guard (PBPG) ist ein proprietäres Public/Privat Schlüsselsystem, das auf dem Diffie-Hellman Schlüsselaustausch und der AES-Verschlüsselung aufsetzt. Das Verhalten von PBPG für den Anwender gleicht dem bekannten Public/Privat Schlüsselsystemen von PGP oder GnuPG. Die PBPG-Verschlüsselung generiert zufällige Änderungen und verifiziert die Dateien während des Austauschs, damit PBPG erkennen kann, ob eine Nachricht oder ein Schlüssel manipuliert oder anderweitig verändert worden sind. Zwei Nachrichten sind dabei niemals gleich. Dabei wird nicht nur für jeden Benutzer ein Schlüsselpaar erzeugt, sondern auch für jede Installation. Die PBPG Implementierung ist offen und kann bei Bedarf von Partnern und anderen Interessierten überprüft werden.
- Manuelle Malware-Prüfung
Hier ist die eigene Sicherheits-Initiative gefragt: Google prüft die Dateien, die auf dem Cloud-Speicher Google-Drive abgelegt werden, nur bis zu einer gewissen Größe auf Viren. - Google Drive vs. Patriot Act
Google Drive ist eine Mischung aus Dateiablage, Online-Office und Collaboration-Technik: Wer hier Dateien abspeichert läuft allerdings Gefahr, dass diese auch von US-amerikanischen Behörden eingesehen werden könnten. - Das Freemium-Modell
Googles Modell unterscheidet sich kaum von den Marktbegleitern: Freemium – es beginnt umsonst und wer mehr will, zahlt auch mehr. Eine Erhöhung der Sicherheit kann aber leider nicht hinzugebucht werden. - Skydrive zu nutzen heißt, viel zu lesen
Präsentation und Speicherdimensionierung sind etwas anders als bei Google: Trotzdem handelt es sich auch bei der Microsoft-Variante Skydrive um einen klassischen Online-Speicher. Allein die Datenschutz- und Nutzungsbestimmungen von Microsoft umfassen neun(!) DIN-A4-Seiten, inklusive dem Recht persönliche Daten in begrenztem Umfang zu nutzen. - Hornetdrive
Einer der vielen Anbieter von Online-Speicher auf Servern in Deutschland: Hornetdrive. Der Produktumfang und die Unterstützung von Betriebssystemen sind dabei sehr umfassend. - Großer Funktionsumfang
Viele Möglichkeiten und Fähigkeiten: An Hornetdrive gefällt nicht nur der Wizard, der den Benutzer bei der Anlage unterstützt, sondern auch die klare Regelung der Zugriffsrechte. - Der schnelle Überblick
Ein Blick kann mehr Sicherheit schaffen: Wer hat wann auf was zugegriffen – eine solche Auflistung ist zwar mitunter lang, kann aber unberechtigte Aktivitäten aufzeigen. - WebDAV-Abfrage
Erleichtert die Nutzung im Zusammenspiel mit beliebigen lokalen Anwendungen: Die Integration des Online-Speichers in das Betriebssystem, hier per WebDAV. - Passwörter nicht speichern!
Benutzer sollten die Passwörter nur in Ausnahmen direkt in Windows speichern. Erlangt ein unberechtigter Nutzer Zugang zum Desktop, ist ansonsten auch der Zugriff auf die Online-Daten möglich. - Schnelle Anbindung vorausgesetzt
Der Einsatz von Online-Storage ist nur in den Gegenden sinnvoll, in denen ein zügiges Internet verfügbar ist: Mit 12,2 KByte pro Sekunde wird Online-Speicher zum Geduldsspiel. - Zugriffsrechte
Extrem wichtig für jeden Einsatz von Cloud-Speicher: eine klare und eindeutige Rechtesteuerung. - Reset
Wird das Kennwort von Windows zurückgesetzt, löscht das Betriebssystem auch die gespeicherten WebDAV-Kennwörter – ein unautorisierter Zugriff durch Administratoren wird so unterbunden. - BoxCryptor
In der kostenpflichtigen Variante verschlüsselt BoxCryptor sogar die Dateinamen: Auch wenn es der Name anders vermuten lässt – die Software arbeitet auch mit anderen Online-Lösungen als DropBox problemlos zusammen. - Immer informiert bleiben
Informieren der Anwender ist wichtig für die Sicherheit: Wer sicherstellen will, dass seine Daten nicht frei im Internet lesbar sein sollen, muss bei der Freigabe schon genau lesen, was passieren wird. - Alles Cloud
Auch die klassischen Internetprovider, hier 1&1, bieten ein Online-Office und einen Online-Speicher: Dieser kann dann sogar per WebDAV-Standard abgefragt werden.
Systemarchitektur
Daten werden bei TeamDrive in einem sogenannten Space gespeichert, auf den eine festgelegte Anzahl von Nutzern Zugriff erhalten kann. Der Austausch findet über ein Space Depot statt, welches auf einem TeamDrive Hosting Server oder WebDAV liegen kann.
Jeder Space verfügt über seinen eigenen 256-Bit-AES-Schlüssel, der für die Verschlüsselung der Daten in diesem Space genutzt wird, wenn die Daten das Endgerät des Nutzers verlassen. Dabei hat nur die TeamDrive Software, welche auf dem Endgerät der anderen Nutzer eines Spaces installiert ist, Kenntnisse über den Schlüssel.
Jeder Server, auf dem ein Space Depot zur Verfügung steht, ist für das Speichern, Weiterleiten und Anpassen von Veränderungen innerhalb des Depots verantwortlich. Damit können die Clients auch dann Daten austauschen, wenn nicht alle zur selben Zeit online sind. Alle Daten, die auf dem Server gespeichert sind, werden mit einem 256-Bit-AES-Schlüssel des Spaces verschlüsselt.
Benutzerautorisierung
Die Anmeldung eines Nutzers erfolgt über die TeamDrive Client-Software, die ihn gegen den TeamDrive Registrierungsserver überprüft. Das erfolgt grundsätzlich über die Eingabe einer E-Mail Adresse oder eines Benutzernamens und eines Passworts.
Die Autorisierung zwischen dem TeamDrive Client und dem Registrierungsserver erfolgt auf Basis des Public Key des Registrierungs-Servers. Informationen wie die E-Mail-Adresse und das Registrierungspasswort plus weitere Daten des Benutzers werden unter der Verwendung des Public Key des Registrierungsservers verschlüsselt an den Registrierungs-Server übertragen.
Einzig der Aktivierungscode wird unverschlüsselt über eine ebenfalls unverschlüsselte E-Mail an den Nutzer verschickt. Zudem wird eine verschlüsselte Antwort mit der Device ID an den TeamDrive Client gesendet. Nach der Aktivierung durch den Nutzer generiert die Client-Software einen PBPG Key und einen passenden Public Key. Im Anschluss schickt die Client-Software das Registrierungspasswort und den Public Key verschlüsselt, unter Verwendung des Public Keys des Servers, an den Registrierungsserver zurück. Der Aktivierungscode wird verifiziert und der Public Key des Nutzers gespeichert. Alle im Anschluss folgenden Nachrichten, die an den Registrierungsserver geschickt werden, sind mit dem PBPG Public Key des Nutzers verschlüsselt und benötigen die Geräte-ID und das Registrierungspasswort zur Autorisierung.
Datenhaltung und Verarbeitung
Zum Erzeugen eines Space benötigt der Benutzer ein Space Depot und dessen Passwort. Damit weiß der TeamDrive-Client, mit welchem Server er Kontakt aufnehmen muss, um den Space zu erzeugen. Anschließend fordert die Client-Software den Public Key des TeamDrive Hosting Servers an. Die Client Software sendet die Geräte-ID, die Space Depot ID, Benutzername, Benutzer-ID, den Public Key des Benutzers und den Namen des Spaces als verschlüsselte Nachricht an den TeamDrive Server. Die Nachricht wird mit dem Public Key des Servers verschlüsselt übertragen. Die Space Depot ID und das Passwort werden überprüft. Für die verschlüsselte Übertragung der Antwort wird der Public Key des Benutzers verwendet. Der TeamDrive Server erstellt einen neuen Space auf dem vorgegebenen Space Depot. Ein 128 Bit “Genehmigungscode” wird zufällig für den neuen Space erzeugt und an den Client zurückgesendet.
Für den Zugriff auf einen Space wird die entsprechende URL, ein Autorisierungscode und ein Space-Datenschlüssel benötigt. In der URL ist die Adresse des Servers, über die das Space Depot mit dem Inhalt des Spaces angesprochen wird, sowie die Space ID, enthalten. Veränderungen in dem Space werden auf das Space Depot und in den Space hochgeladen bzw. heruntergeladen. Dabei werden HTTP PUT und POST Methoden verwendet. Bevor eine Datei den Client verlässt, wird diese komprimiert und mit dem 256-Bit AES Schlüssel verschlüsselt.
Um auf einen Space zuzugreifen, öffnet der TeamDrive Client eine Session mit dem Server. Darin wird zunächst die ID des Space, auf den der Zugriff stattfinden soll, übertragen. Der Server erzeugt nach erfolgreicher Prüfung eine neue Session ID mit einer 128-Bit Zufallszahl (RND) und sendet diese an den Client zurück, der hier lokal abgelegt wird. Für das Hochladen und Löschen von Daten verwendet der Client die RND und den Autorisierungscode des Space und verknüpft diese xor inklusive einer MD5 Operation auf dem Ergebnis. Das Ergebnis wird zusammen mit der Session ID und den verschlüsselten Daten an den Server geschickt.
Die Sicherheit eines Space Depot wird dadurch sichergestellt, dass nach jeder Anfrage ein zufälliger RND Wert zurückgesendet wird, die der Client jedes Mal für einen lokalen Wert neu berechnen muss. Zudem garantiert ein MD5 Hash, dass der Autorisierungscode des Space nicht abgeleitet werden kann, auch dann wenn der RND und der lokale Wert auf der Client-Seite bekannt sind. Damit wird ferner verhindert, dass ein Angreifer in eine Session eindringen kann, um Daten auf den Server hochzuladen.
Zusammenfassung
Die Datensicherheit in einem TeamDrive Space wird durch die Verschlüsselung der Daten mit einem 256-Bit-AES-Schlüssel sichergestellt. Dabei ist der Schlüssel nur den TeamDrive Clients bekannt, die Mitglied eines Space sind. Anbieter von Storage-Services auf Basis von TeamDrive oder Systemadministratoren haben keinen Zugriff auf die Daten. Der Austausch der Space Autorisierungsschlüssel unter TeamDrive Nutzern erfolgt mit einem sicheren Public/Privat-Key Verfahren, welches selbst eine 256-Bit AES Verschlüsselung verwendet.
Der Zugriff auf ein Space Depot bzw. einen Space wird mit einem 128-Bit Autorisierungscode geschützt. Mit dem Autorisierungscode wird verhindert, dass der Speicherplatz eines Space Depot bzw. eines Space von unautorisierten Dritten verwendet werden kann.
Neben der verschlüsselten Speicherung der Daten auf den Servern und den Clients werden die Daten auch während der Übertragung immer komplett verschlüsselt, wodurch TeamDrive eine vollständige End-to-End Verschlüsselung der Daten gewährleistet.
Weiterhin ist zu erwähnen, dass TeamDrive vom “Unabhängigen Landeszentrum für Datenschutz in Schleswig Holstein (ULD)” das Datenschutzgütesiegel erhalten hat. Die Prüfnummer lautet 2-3/2005. Darüber hinaus wurde TeamDrive im Mai 2013 von Gartner zum “Cool Vendor in Privacy” 2013 benannt.