Wie sicher ist NextCloud?

Probleme mit Samba, NFS, FTP und Co.
Antworten
ubik
Beiträge: 145
Registriert: 26.02.2009 12:02:24

Wie sicher ist NextCloud?

Beitrag von ubik » 24.09.2018 12:35:00

Hallo,

ich hätte eine Frage:

NextCloud ist ja bekanntlich die Cloud, die man schlechthin benutzt.

Wenn ich jetzt private Dateien ins Internet schicke, besteht die Gefahr, dass jemand darauf zugreifen kann?

Wenn ja, hätte ich zwei Fragen:

1.) Wie kann ich den Zugriff am besten abwehren?
2.) Gibt es eine E-Mail Bestätigung, falls sich jemand einloggt (ähnlich so wie als wenn ich mich auf Google einloggen würde, da bekomme ich auch eine E-Mail)?

uname
Beiträge: 12045
Registriert: 03.06.2008 09:33:02

Re: Wie sicher ist NextCloud?

Beitrag von uname » 24.09.2018 13:02:51

Ich nutze Nextcloud nicht. Wirklich sicher ist aber nur End-to-End-Encryption oder eine manuelle Verschlüsselung direkt auf deinen Rechner. Wenn du Daten unverschlüsselt in eine Cloud lädst, können sie immer geklaut werden. Vom Angreifer, vom Admin, vom Backup-Admin, ...

https://nextcloud.com/de/endtoend/

Benutzeravatar
weshalb
Beiträge: 1265
Registriert: 16.05.2012 14:19:49

Re: Wie sicher ist NextCloud?

Beitrag von weshalb » 24.09.2018 16:10:33

ubik hat geschrieben: ↑ zum Beitrag ↑
24.09.2018 12:35:00
Hallo,

ich hätte eine Frage:

NextCloud ist ja bekanntlich die Cloud, die man schlechthin benutzt.

Wenn ich jetzt private Dateien ins Internet schicke, besteht die Gefahr, dass jemand darauf zugreifen kann?

Wenn ja, hätte ich zwei Fragen:

1.) Wie kann ich den Zugriff am besten abwehren?
2.) Gibt es eine E-Mail Bestätigung, falls sich jemand einloggt (ähnlich so wie als wenn ich mich auf Google einloggen würde, da bekomme ich auch eine E-Mail)?
Einloggen ist die eine Sache. Was ist, wenn dein Web-Server generell gehackt wird und man auf sämtliche Dateien im Nextcloud-Ordner zugreifen kann?

Ich halte Verschlüsselung auch für das Sicherste, zumal mir trotzdem keine wichtigen Daten in die Cloud kommen.

Benutzeravatar
jph
Beiträge: 1049
Registriert: 06.12.2015 15:06:07
Lizenz eigener Beiträge: MIT Lizenz
Wohnort: Greven/Westf.

Re: Wie sicher ist NextCloud?

Beitrag von jph » 24.09.2018 17:53:55

ubik hat geschrieben: ↑ zum Beitrag ↑
24.09.2018 12:35:00
Wenn ich jetzt private Dateien ins Internet schicke, besteht die Gefahr, dass jemand darauf zugreifen kann?
Natürlich besteht das Risiko, dass die Kiste gehackt wird, besonders wenn Sicherheitsupdates nicht baldigst installiert werden. Ansonsten: SSL (Let’s Encrypt bietet sich an) und sichere Passwörter verwenden. Nextcloud bringt einen eingebauten Schutz gegen Bruteforcing mit; nach einigen Fehlversuchen wird der Login bewusst verlangsamt.

Ich habe meine Nextcloud zusätzlich mit Zwei-Faktor-Authentifizierung abgesichert. Als Token-Generator nutze ich FreeOTP. GNOME und iPhone können weiterhin munter Kalender und Kontakte synchronisieren, da ich für diese separate Gerätepasswörter eingerichtet habe.

uname
Beiträge: 12045
Registriert: 03.06.2008 09:33:02

Re: Wie sicher ist NextCloud?

Beitrag von uname » 25.09.2018 10:14:55

All diese Maßnahmen sind nicht ausreichend, wenn Nextcloud irgendwo im Internet gehostet wird. Dem Hoster interessieren weder 2FA noch Gerätepasswörter, da er direkten Zugriff auf die Daten hat. 2FA und Gerätepasswörter müssten nicht nur für den Zugriff, sondern für eine clientseitige Ver- und Entschlüsselung verwendet werden. Das ist meistens nicht der Fall.

ChoMar
Beiträge: 1184
Registriert: 26.01.2004 19:51:47
Kontaktdaten:

Re: Wie sicher ist NextCloud?

Beitrag von ChoMar » 26.09.2018 14:51:23

https://docs.nextcloud.com/server/11/ad ... ation.html
Nextcloud kann auch die Daten verschlüsseln.
Hilft aber auch nix, wenn der Hoster tatsächlich drauf zugreifen will.
Linux und Windows laufen bei mir zusammen. Ich zocke halt gerne.

uname
Beiträge: 12045
Registriert: 03.06.2008 09:33:02

Re: Wie sicher ist NextCloud?

Beitrag von uname » 26.09.2018 15:04:55

Steht da ja auch:
https://docs.nextcloud.com/server/11/admin_manual/configuration_files/encryption_configuration.html hat geschrieben: Warning
...
The encryption app does not protect your data if your Nextcloud server is compromised, and it does not prevent Nextcloud administrators from reading user’s files. This would require client-side encryption, which this app does not provide.
...
Und dann steht da noch, dass SSL (eigentlich TLS) hier natürlich auch keinen Schutz bietet.

Immerhin ist man ehrlich und verspricht nicht Dinge, die nicht erfüllt werden.

Benutzeravatar
novalix
Beiträge: 1908
Registriert: 05.10.2005 12:32:57
Lizenz eigener Beiträge: MIT Lizenz
Wohnort: elberfeld

Re: Wie sicher ist NextCloud?

Beitrag von novalix » 26.09.2018 16:25:27

Solange der Client ein handelsüblicher Browser ist, kann die client-seitige Verschlüsselung nicht vertrauensvoll funktionieren. Der benötigte JS-Code müsste ja erst vom Server geladen werden. Die Verifizierung, dass der Code unkompromittiert ist, lässt sich imho nicht umsetzen.
Mit einem Browser-Add-On oder einem eigenständigen Programm erst kann man eine prinzipiell vertrauenswürdige client-seitige Verschlüsselung umsetzen.
Das heißt dann aber eben auch, man arbeitet in einer anderen Anwendung (auch bei der Add-On-Lösung befindet man sich nicht im "normalen" Browser).
Solange NextCloud (oder vergleichbare Server) auf die Bedienung durch den Browser setzen, ist eine wirklich vertrauenswürdige Verschlüsselung nicht umsetzbar.
Das Wem, Wieviel, Wann, Wozu und Wie zu bestimmen ist aber nicht jedermannns Sache und ist nicht leicht.
Darum ist das Richtige selten, lobenswert und schön.

ubik
Beiträge: 145
Registriert: 26.02.2009 12:02:24

Re: Wie sicher ist NextCloud?

Beitrag von ubik » 27.09.2018 16:18:49

Was wäre denn, wenn man die Daten auf Nextcloud verschlüsselt? Diese Möglichkeit gibt es. Man kann ein Verschlüsselungsmodul benutzen und dann werden die Daten auf dem Webserver verschlüsselt gespeichert, d. h., dass niemand darauf zugreifen kann vom Server her.

Der zweite Aspekt ist, dass man SSL benutzt. Dadurch können unterwegs Daten nicht abgegriffen werden.

Aber der dritte Aspekt ist: Wenn jemand das Passwort kennt, dann kann er ja alle Daten mal eben runterladen.

Benutzeravatar
MSfree
Beiträge: 10686
Registriert: 25.09.2007 19:59:30

Re: Wie sicher ist NextCloud?

Beitrag von MSfree » 27.09.2018 16:36:05

ubik hat geschrieben: ↑ zum Beitrag ↑
27.09.2018 16:18:49
Was wäre denn, wenn man die Daten auf Nextcloud verschlüsselt? Diese Möglichkeit gibt es. Man kann ein Verschlüsselungsmodul benutzen und dann werden die Daten auf dem Webserver verschlüsselt gespeichert, d. h., dass niemand darauf zugreifen kann vom Server her.
Du vergißt, daß wenn Daten vom Server via Modul verschlüsselt abgelegt werden, dieses Modul die Daten auch wieder entschlüsseln muß, bevor die Daten an den Client gereicht werden. Da Ver- und Entschlüsselug auf dem selben Server stattfinden, hat ein Angreifer auch jederzeit die Möglichkeit, an entschlüsselte Daten zu kommen.
Der zweite Aspekt ist, dass man SSL benutzt. Dadurch können unterwegs Daten nicht abgegriffen werden.
Falsch, auch SSL-verschlüsselte Daten können abgegriffen werden, man fängt damit aber nicht viel an, wenn man den Schlüssel nicht kennt. Mit einem Proxy, der per SSL-bumping als Man-in-the-Midle sitzt, kann man sogar entschlüsselte Daten abgeifen. Allerdings sollte der Client das mitbekommen, da er am SSL-Zertifikat den Man-in-the-Middle theoretisch identifizieren kann, viel Anwender achten aber nicht auf sowas.
Wenn jemand das Passwort kennt, dann kann er ja alle Daten mal eben runterladen.
Naja, das ist ja der Sinn des Paßwortes, daß man darüber Zugriff bekommt :wink:
Deshalb sollte man Paßwörter auch sicher aufbewahren, idealerweise nur im Gedächtnis.

Benutzeravatar
novalix
Beiträge: 1908
Registriert: 05.10.2005 12:32:57
Lizenz eigener Beiträge: MIT Lizenz
Wohnort: elberfeld

Re: Wie sicher ist NextCloud?

Beitrag von novalix » 28.09.2018 00:31:26

MSfree hat geschrieben: ↑ zum Beitrag ↑
27.09.2018 16:36:05
Du vergißt, daß wenn Daten vom Server via Modul verschlüsselt abgelegt werden, dieses Modul die Daten auch wieder entschlüsseln muß, bevor die Daten an den Client gereicht werden. Da Ver- und Entschlüsselug auf dem selben Server stattfinden, hat ein Angreifer auch jederzeit die Möglichkeit, an entschlüsselte Daten zu kommen.
Ich erlaube mir mal das noch weiter auszuführen.
Nicht jeder irgendwie erfolgreiche Angreifer hat vollen Zugriff auf die NextCloud-Installation. Insofern ist die Verschlüsselung, die NextCloud anbietet, "besser als nichts".
Bestimmte Angriffe ziehen dann tatsächlich nur unlesbares aus der Installation.

Wenn Dir also die Sicherheit der Daten wichtig ist, nutze diese zusätzliche Maßnahme.

Das große Aber besteht darin klar zu erkennen, dass diese Art der serverseitigen Verschlüsselung gegen eine bestimmte Gruppe von Angriffen gar nichts bringt. Das sind alle derartigen Angriffe, die es schaffen, "tief" in das System einzudringen.
Eine Form dieses tiefen Eindringens wäre z.B. eine Institution (nennen wir sie mal Mafia oder NSA), die Deinen Hoster davon überzeugt, dass es besser für sein Lebensglück sei, die Zugangsdaten herauszurücken.

Wenn Dir also die Sicherheit der Daten *wichtig* ist, verzichte auf NextCloud.
Das Wem, Wieviel, Wann, Wozu und Wie zu bestimmen ist aber nicht jedermannns Sache und ist nicht leicht.
Darum ist das Richtige selten, lobenswert und schön.

Benutzeravatar
MSfree
Beiträge: 10686
Registriert: 25.09.2007 19:59:30

Re: Wie sicher ist NextCloud?

Beitrag von MSfree » 28.09.2018 08:26:25

novalix hat geschrieben: ↑ zum Beitrag ↑
28.09.2018 00:31:26
Das sind alle derartigen Angriffe, die es schaffen, "tief" in das System einzudringen.
Naja, wenn gdb für dich schon "tief" ist?...
Wenn Dir also die Sicherheit der Daten *wichtig* ist, verzichte auf NextCloud.
Ich bin ohnehin kein Fan von Own/NextCloud, ich habe aber für mich auch noch keinen Verwendungszweck gefunden. Zumal meine Tests mit der Software sogar meinen 3.1GHz Core-i5 in die Knie gezwungen haben.

Wenn es denn aber so ein Ding unbedignt sein soll, dann sollte man das zuhause oder im Büro auf einem eigenen Rechner betreiben und nicht bei einem Hoster in der "Cloud". Dann ist auch Next/OwnCloud sicher betreibbar.

Benutzeravatar
novalix
Beiträge: 1908
Registriert: 05.10.2005 12:32:57
Lizenz eigener Beiträge: MIT Lizenz
Wohnort: elberfeld

Re: Wie sicher ist NextCloud?

Beitrag von novalix » 28.09.2018 11:11:09

MSfree hat geschrieben: ↑ zum Beitrag ↑
28.09.2018 08:26:25
Naja, wenn gdb für dich schon "tief" ist?...
Das habe ich nicht gut formuliert. Insgesamt habe ich es in meinem vorigen Post versäumt, den TE konkret zu adressieren.
Mir ging es darum darzustellen, dass eine zusätzliche Sicherheitsmaßnahme (hier: serverseitige Verschlüsselung) nicht vollkommen sinnlos ist, auch wenn sie nicht der Weisheit letzter Schluss ist.

Die Frage, die sich für mich an die hier entstandene Diskussion anschließt, ist: Gibt es quelloffene Alternativen zu NextCloud, die mit client-seitiger Verschlüsselung arbeiten?

Hinsichtlich Notizen, Bookmarks und z.T. Dokumentenablage könnte man dafür turtl verwenden.
Nicht ganz trivial zu installieren[*], ist es aber das einzige wovon ich Kenntnis habe.

[*] Man muss die benötigten Clients jeweils mit den eigenen Serverdaten neu bauen. Außerdem wird der Server selbst gerade vollkommen neu implementiert.
Das Wem, Wieviel, Wann, Wozu und Wie zu bestimmen ist aber nicht jedermannns Sache und ist nicht leicht.
Darum ist das Richtige selten, lobenswert und schön.

uname
Beiträge: 12045
Registriert: 03.06.2008 09:33:02

Re: Wie sicher ist NextCloud?

Beitrag von uname » 28.09.2018 11:20:20

MSfree hat geschrieben:Naja, das ist ja der Sinn des Paßwortes, daß man darüber Zugriff bekommt :wink:
Deshalb sollte man Paßwörter auch sicher aufbewahren, idealerweise nur im Gedächtnis
Auch diesen Punkt kann man vergessen. Das ach so geheime Passwort wird auf der Tastatur eingegeben, wird verschlüsselt zum Webserver übertragen und taucht auf den Webserver von Nextcloud wieder unverschlüsselt auf. Dort wird es gehasht und mit dem dort abgelegten gehashten und gesalzenen Passwort verglichen. Nix mit Challenge-Response-Verfahren bzw. clientseitiger Passwort-Verschlüsselung. Der Angreifer muss nur die Anmelderoutine leicht umschreiben anstatt mit viel Mühe das verschlüsselte Passwort zu hacken. Dass selbst ein beliebig sicheres Passwort nicht schützt versteht sich wahrscheinlich von selbst. Genauso einfach kann man bei einen SSH-Server mit Debianstrace Passwörter im Klartext auslesen.

ChoMar
Beiträge: 1184
Registriert: 26.01.2004 19:51:47
Kontaktdaten:

Re: Wie sicher ist NextCloud?

Beitrag von ChoMar » 01.10.2018 11:49:36

Gibt es quelloffene Alternativen zu NextCloud, die mit client-seitiger Verschlüsselung arbeiten?
Das hängt vom Einsatzzweck ab.
Prinzipiell lassen sich z.B. eingebundene Volumes verschlüssels. (SFTP, SMB...)
Aber dran denken, auch Clients können angegriffen werden. UEFI, Zero-Day-Exploits etc.
Linux und Windows laufen bei mir zusammen. Ich zocke halt gerne.

uname
Beiträge: 12045
Registriert: 03.06.2008 09:33:02

Re: Wie sicher ist NextCloud?

Beitrag von uname » 01.10.2018 12:23:55

novalix hat geschrieben:Gibt es quelloffene Alternativen zu NextCloud, die mit client-seitiger Verschlüsselung arbeiten?
Du könntest dir mal Debianecryptfs-utils (Kernel) oder Debianencfs (FUSE) anschauen. Damit kannst du die Daten dann überall sicher im Internet hosten.

Benutzeravatar
novalix
Beiträge: 1908
Registriert: 05.10.2005 12:32:57
Lizenz eigener Beiträge: MIT Lizenz
Wohnort: elberfeld

Re: Wie sicher ist NextCloud?

Beitrag von novalix » 04.10.2018 13:06:44

Hi,

mit "Alternativen zu NextCloud" meinte ich eher Software für Netzdienste, die auch für "normale Konsumenten" einfach zu bedienen sind.
Ausgehend von der Anforderung, dass in der Cloud bereitgestellte Ressourcen prinzipiell "shareable" sein sollten, besteht ja bei den low level tools eine gewisse Schwierigkeit bei der Bedienung.
Als Beispiel kann man hier ganz gut die praktisch irrelevante Verschlüsselung von E-Mails anführen. Rein technisch seit Jahren verfügbar, wird sie im real life praktisch nicht verwendet; selbst in Szenarios, wo sie eigentlich wichtig und erforderlich wäre.
Der Hauptgrund hierfür ist wohl, dass selbst geübte Computer-Nutzer bei der Bedienung an ihre Grenzen stoßen.
Und wie das bei Austauschprotokollen halt so ist: Sicherheit ist immer das, was *alle* Beteiligten daraus machen.

Persönlich habe ich null Bedarf an einer Software wie NextCloud. Wenn ich sowas aufsetzen würde, dann weil es ein Bedürfnis anderer gibt, solche Funktionalität im Rahmen ihrer Bedienungsgewohnheiten zu nutzen.
Das weiter oben erwähnte turtl erwartet von dem Nutzer die Eingabe der üblichen Credentials (Nutzername, Passwort). Dass damit dann etwas ganz anderes geschieht[*], als es bei anderen Systemen üblich ist, kann für den Nutzer eine Randnotiz bleiben.

Selbstverständlich ist der Einwand von @ChoMar richtig, das client-seitige Verschlüsselung nicht "absolute Sicherheit" bedeutet.
Wenn man Schlüsselverwaltung sehr ernst nimmt, dann generiert und verwaltet man Schlüssel ausschließlich auf einem maximal vertrauenswürdigen Rechner ohne Netzanschluss in einem Tresorraum etc.

Für die meisten Nutzer wird es da wohl den einen oder anderen Kompromiss geben müssen.

[*]Es wird ein Schlüsselpaar erzeugt. Der private Key landet niemals auf dem Server. Für Inhalte, die mit anderen geteilt werden sollen, werden abgeleitete public keys erzeugt, die mit einer neuen Credential-Kombination erreichbar sind.
Das Wem, Wieviel, Wann, Wozu und Wie zu bestimmen ist aber nicht jedermannns Sache und ist nicht leicht.
Darum ist das Richtige selten, lobenswert und schön.

Benutzeravatar
jph
Beiträge: 1049
Registriert: 06.12.2015 15:06:07
Lizenz eigener Beiträge: MIT Lizenz
Wohnort: Greven/Westf.

Re: Wie sicher ist NextCloud?

Beitrag von jph » 04.10.2018 17:33:12

novalix hat geschrieben: ↑ zum Beitrag ↑
04.10.2018 13:06:44
mit "Alternativen zu NextCloud" meinte ich eher Software für Netzdienste, die auch für "normale Konsumenten" einfach zu bedienen sind.
Bei clientseitiger Verschlüsselung wirst du – egal, welche Lösung du einsetzt – immer das Problem haben, dass die Dateien über die Weboberfläche nicht zugänglich sind, was den Ansatz einer von unterwegs zugänglichen Cloud konterkariert und Federated Sharing nahezu unmöglich macht. Zumal du mit clientseitiger Dateiverschlüsselung die weiteren möglicherweise interessanten Dienste wie Kalender, Kontakte etc. nicht verschlüsselst.

Das Argument, dass der Betreiber des Servers draufschauen kann, ist valide. Aber: ist das für deinen Anwendungsfall relevant? Sind die Daten tatsächlich dermaßen schützenswert?

Eine Alternative ist, den Server im heimischen Keller zu betreiben. Aus eigener Erfahrung weiß ich zu berichten, dass das mit VDSL und 40 MBit Upstream gut funktioniert.

uname
Beiträge: 12045
Registriert: 03.06.2008 09:33:02

Re: Wie sicher ist NextCloud?

Beitrag von uname » 04.10.2018 18:12:16

Webbasiert clientseitig verschlüsselt geht mit Javascript-Verschlüsselung.

https://privatebin.net
https://github.com/PrivateBin/PrivateBin

Kannst damit auch Dateien hochladen.

https://vim.cx

Natürlich selbst hosten, da der Code manipuliert sein kann.

Link natürlich niemals unverschlüsselt über das Netzwerk verschicken, da der Teil hinter # der AES-Schlüssel ist, der auch nie zum Privatebin-Server übertragen wird.

Sicherheit bedeutet, dass man auch das jeweilige Konzept versteht.

Benutzeravatar
jph
Beiträge: 1049
Registriert: 06.12.2015 15:06:07
Lizenz eigener Beiträge: MIT Lizenz
Wohnort: Greven/Westf.

Re: Wie sicher ist NextCloud?

Beitrag von jph » 04.10.2018 19:07:11

uname hat geschrieben: ↑ zum Beitrag ↑
04.10.2018 18:12:16
Webbasiert clientseitig verschlüsselt geht mit Javascript-Verschlüsselung.
[…]
Sicherheit bedeutet, dass man auch das jeweilige Konzept versteht.
Ich glaube, dass dein Vorschlag die Anforderung „für normale Konsumenten geeignet“ nicht erfüllt. Jede Lösung, die wesentlich komplizierter ist als das vertraute Dropbox oder Google Drive, wird bei diesem Anwenderprofil keine Akzeptanz finden.

Daher mein Hinweis auf den Schutzbedarf der Daten. Sicherheit bedeutet nämlich auch, abwägen zu können.

Wenn sich Anwenderprofil und Schutzbedarf nicht vereinen lassen, dann ist die Lösungsmenge leer oder eine Cloud nicht Mitglied derselben.

ChoMar
Beiträge: 1184
Registriert: 26.01.2004 19:51:47
Kontaktdaten:

Re: Wie sicher ist NextCloud?

Beitrag von ChoMar » 05.10.2018 13:50:28

Daher mein Hinweis auf den Schutzbedarf der Daten. Sicherheit bedeutet nämlich auch, abwägen zu können.

Wenn sich Anwenderprofil und Schutzbedarf nicht vereinen lassen, dann ist die Lösungsmenge leer oder eine Cloud nicht Mitglied derselben.
Richtig! Daher auch mein Hinweis auf die Sicherheitsprobleme auf Client-Seite.
Wir haben hier von Angriffen auf Hoster oder Kooperation der Hoster mit Behörden gesprochen.
Das sind valide Szenarien.
ABER: Wenn "normaluser" auf die Daten Zugriff haben sollen, dann lassen sich die Daten, meiner Ansicht nach, auch nicht gegen Angriffe auf diesem Level schützen.
Die Lösungsmenge wäre in diesem Fall also "leer".
Man kann das ganze, auch für eine Nextcloud, noch sicherheitstechnisch erhöhen, in dem man z.B. einen Rootserver mietet und die Clouddaten in ein verschlüsseltes Volume packt. Da der Hoster keinen Rootlogin auf einen aktiven Rootserver hat und ein verschlüsseltes Volume nach dem Neustart nicht im Zugriff ist bleibt tatsächlich nur die Möglichkeit eines Onlinehacks auf den Server. Damit scheidet schon mal das "kooperation mit Behörden" aus.
Linux und Windows laufen bei mir zusammen. Ich zocke halt gerne.

Antworten