Risiko durch"Dirty Disks": Datensicherheit in der Cloud fraglich

Rackspace löst Sicherheitsprobleme als erster Cloud Provider - Gefahren für Kunden bei anderen Anbietern

(firmenpresse) - Context Information Security hat potenziell schwerwiegende Sicherheitslücken in den Implementierungen von Cloud-Infrastrukturdienstleistungen einiger Anbieter identifiziert. Schwachstelle ist die nicht ausreichende serverseitige Trennung von Kundendaten, die dadurch ernsthaft gefährdet sein können. So gelang es den Analysten, auf die Daten früherer Nutzer zuzugreifen, da diese noch auf den Festplatten gespeichert waren - sie waren durch die Systeme nur überschrieben und nicht gelöscht worden. Auf diesen "Dirty Disks" lagen Teile von Kundendatenbanken sowie Systeminformationen. In Kombination mit anderen Daten könnten Hacker die Kontrolle über andere Hosted Server übernehmen. "In der Cloud haben wir es nicht mit einer Infrastruktur aus physisch getrennten Speicherboxen zu tun. Ein Angreifer kann vielmehr ein Node (Netzwerkknoten) von einem Anbieter erwerben und eine Attacke auf das Zielunternehmen von derselben physischen Maschine aus starten, mit denselben physischen Ressourcen", erklärt Michael Jordon, Research und Development Manager bei Context. Das Konzept der Cloud sei damit nicht generell unsicher und die Vorteile blieben überzeugend, betont Jordon. "Dass Angriffe jedoch so einfach möglich sind, wirft die Frage auf, ob die entsprechenden Technologien wirklich schon ausgereift und ob in manchen Fällen die Sicherheitsvorkehrungen sowie die vorgenommenen Tests umfangreich genug sind". Context hat heute auf seinem Blog einen Bericht über die Sicherheitsrisiken auf Dirty Disks veröffentlicht:
http://www.contextis.com/research/blog/dirtydisks/

Generell ist das Sicherheitsrisiko auf die Art und Weise zurückzuführen, in der manche Cloud-Anbieter neue virtuelle Server automatisch einrichten, Betriebssysteme initialisieren und neuen Speicherplatz vergeben. Aus Performance-Gründen oder wegen Fehlern werden Sicherheitsmaßnahmen für die Trennung zwischen verschiedenen Nodes auf Multi-User-Plattformen manchmal nicht implementiert. Dadurch können Teilbereiche von anderen virtuellen Festplatten gelesen und damit Zugang zu Daten erlangt werden, die auf physischen Speichermedien des Providers liegen.



Die Sicherheitsexperten von Context testeten insgesamt vier Cloud-Anbieter unter Einhaltung ihrer Vertraulichkeitsverpflichtungen und Haftungsgrundsätze zur Offenlegung. Dabei wurde festgestellt, dass zwei von ihnen, VPS.NET und Rackspace, ihre virtuellen Server oder Nodes nicht durchgängig über gemeinsam genutzte Hard Disks und Netzwerkressourcen hinweg trennten. Sobald die Möglichkeit zum Datenzugriff bestand, informierte Context beide Provider. Rackspace entschied sich umgehend, die bestehende Schwachstelle gemeinsam mit Context weiter zu analysieren und zu beheben. Dabei wurde deutlich, dass die Defizite bei manchen Nutzern der jetzigen Legacy-Plattform für Linux Cloud Server zu finden waren. Laut Rackspace ist jedoch kein Fall bekannt, in dem Kundendaten durch Unberechtigte eingesehen oder sogar missbraucht wurden. Zwischenzeitlich hat Context die aktuelle Cloud-Plattform des Unternehmens sowie die neue Lösung für "Next Generation Cloud"-Computing auf der Basis von OpenStack erneut getestet. Dabei konnte bestätigt werden, dass die Sicherheitsrisiken erfolgreich behoben wurden. Context warnt jedoch vor Sicherheitsrisiken bei anderen Anbietern, die wie Rackspace populäre Hypervisor Software einsetzen und in derselben Weise implementiert haben wie Rackspace vor seinen Optimierungen.

VPS.NET hat Context informiert, dass ein Patch eingeführt wurde, um die Sicherheitsbedenken zu beheben - genaue Details wurden jedoch nicht genannt. VPS.NET basiert auf der Technologie von OnApp, die auch von über 250 anderen Cloud-Anbietern verwendet wird. OnApp bestätigte gegenüber Context, dass Kunden sich ab sofort für die sichere Löschung ihrer Daten entscheiden können. Trotz dieser Möglichkeit zum opt-in bleiben tausende virtuelle Maschinen einem potenziellen Risiko ausgesetzt, so die Befürchtung von Context. OnApp hat nach eigenen Angaben darüber hinaus keine Maßnahmen ergriffen, seine Festplatten von gegebenenfalls bestehenden Datenresten bisheriger Nutzer zu säubern. Angeblich sind nicht sehr viele Kunden von dem Problem betroffen. Im Laufe seiner Recherchen stellte Context fest, dass Datenverluste zwischen Servern auftreten können, wenn virtuelle Maschinen nicht ausreichend isoliert sind oder ein Fehler im Prozess des Bereitstellens oder Deaktivierens gemacht wird. Weitere Details dazu sind im Context-Blog aufgeführt.

Die von Context entdeckten Daten waren nicht aktuell, bei nachfolgenden Tests wurden dagegen Inhalte identifiziert, die weniger als eine Woche alt waren. Dies ist höchstwahrscheinlich darauf zurückzuführen, dass die Speichersysteme ihre virtuellen Laufwerke immer wieder in der Cloud verschieben. So wird die Leistung gesteigert und die Auslastung der Festplatten optimiert. Gleichzeitig aber bleiben alte Daten an ihren ursprünglichen Orten bestehen, da diese vor der erneuten Nutzung des Speicherplatzes nicht vollständig gelöscht werden.

Seit das Problem im vergangenen Jahr bekannt wurde hat Rackspace diverse Maßnahmen ergriffen um sicherzustellen, dass die virtuellen Festplatten auf seiner inzwischen abgelösten Cloud Server-Plattform stets vollständig gelöscht werden. "Bisher ist unklar, wie weitverbreitet das Sicherheitsrisiko unter Cloud-Providern ist", so Michael Jordon von Context. "Indem wir auf die Schwachstelle hinweisen, hoffen wir, dass auch andere Anbieter von Cloud-Infrastrukturdienstleistungen aufmerksam werden und sich um die Datensicherheit für ihre Kunden bemühen. Auf der anderen Seite kann der Endkunde seinen Weg in die Cloud mit der notwendigen Sorgfalt planen."
Weitere Infos zu dieser Pressemeldung:

Themen in dieser Pressemitteilung:


Unternehmensinformation / Kurzprofil:
PresseKontakt / Agentur:
Bereitgestellt von Benutzer: Adenion
Datum: 24.04.2012 - 11:35 Uhr
Sprache: Deutsch
News-ID 623218
Anzahl Zeichen: 5867

Kontakt-Informationen:
Ansprechpartner: Sven Schlüter
Stadt:

Düsseldorf

Telefon: Tel.: +49 (0)211 7327 9523

Kategorie:

New Media & Software

Meldungsart:
Anmerkungen:


Diese Pressemitteilung wurde bisher 233 mal aufgerufen.

BYOD: Context stellt Sicherheit von Tablet-PC"s in Frage ...
Bei der Untersuchung der drei beliebtesten Tablet-PC"s haben die Analysten von Context Information Security eindeutige Sicherheitsversäumnisse identifiziert. Die Ergebnisse sollten vor allem bei den Unternehmen Bedenken aufwerfen, die es Mitarbeitern ermöglichen wollen, ihre eigenen Geräte i

Sicherheitslücken in der Serialisierungsfunktion beeinträchtigen .NET-Umgebung ...
Die Analysten von Context Information Security haben auf der "Black Hat USA", die derzeit in Las Vegas stattfindet, ein neues White Paper vorgestellt. Darin werden Sicherheitslücken im .NET Framework von Microsoft beschrieben, die auf Schwachstellen in der Serialisierungsfunktion beruhen.

Black Hat Europe: Premiere für Sicherheitswerkzeug"CANAPE"von Context ...
Auf der Black Hat Europe, die in der vergangenen Woche in Amsterdam stattfand, haben die Sicherheitsexperten von Context Information Security erstmals ihr neustes Werkzeug für Sicherheitsüberprüfungen in Windows-Systemen vorgestellt. CANAPE erweitert die Funktionalitäten bestehender Web-Testappl

Weitere Mitteilungen von Context Information Security Ltd. Zweigniederlassung Düsseldorf

Praxistest im Bereich Entsorgung bestanden: Couplink-Lösung erfolgreich! ...
Was Jos Vroomen, IT-Leiter von Rd4 benötigte, war quasi ein Komplett-paket. Die Fahrzeuge und Container immer im Blick zu haben, die Wiegevorgänge zu automatisieren, Aufträge zu verwalten und eine Scan-Funktion für die niederländischen Abfallpässe schienen aufgrund der langen Suche ein schwer

Digitaler Spartensender 'Passion' mit frischem Internetauftritt, neuer Facebook-Fanpage und Premiumgruppe bei wer-kennt-wen.de ...
"Passion", der gemeinsame digitale Spartensender der Mediengruppe RTL Deutschland und der UFA Film TV Produktion, präsentiert sich ab sofort unter www.passion.de mit einer neuen Internetpräsenz. Im Zentrum des Relaunchs steht die Integration von Bewegtbild zum Programm von "Pass

PDF Association informiert auf der DRUPA 2012über PDF/VT ...
Berlin/Düsseldorf, 24. April 2012. Wie bereits 2008, ist die PDF Association auch in diesem Jahr auf der DRUPA, der weltgrößten Print-Media-Messe vom 03. bis 16. Mai 2012 in Düsseldorf, vertreten. Dort stellen die Spezialisten ihre Expertise rund um PDF-Standards und -Formate am Stand des PDF As

SER tritt Big Data-Nachweis an ...
Neustadt/Wied, 24.04.2012. Das Problem digitaler Massendaten ist so alt wie die IT. Neu ist dagegen der Begriff "Big Data," den Marktforscher als Top-IT-Thema für Business Intelligence (BI) für das Jahr 2012 erkoren haben. SER hat jüngst bei der Pentadoc ECM-Entscheiderkonferenz in Mün