Die Speichercloud Mega, mit 250 Millionen Usern und 1000 Petabytes gespeicherten Daten einer der Marktführer im Consumer-Sektor, warb in der Vergangenheit mit ihrer angeblich besonders hohen Sicherheit durch Ende-zu-Ende-Verschlüsselung im Client. Eine Forschergruppe der Applied Crypto Group der ETH Zürich belegt nun allerdings, dass die Daten doch angreifbar sind.
Mit der Aussage, nicht einmal Mega als Betreiber habe Zugriff auf die gespeicherten Daten, wollte sich das Unternehmen von Mitbewerbern wie etwa Dropbox oder Google Cloud abheben. In ihrem Paper und auf einer eigens eingerichteten Webseite demonstrieren die Forscher nun aber, dass es für den Betreiber sehr wohl möglich ist, die Verschlüsselungs-Keys der Nutzer zu rekonstruieren. Dafür müssen die sich lediglich mehrmals ein- und ausloggen. Auch einer entsprechend autorisierten Polizeibehörde stünde dieser Weg offen.
Insgesamt führen die Forscher fünf verschiedene Angriffe vor, die alle die Vertraulichkeit der Daten der Anwender untergraben und es dem Angreifer erlauben, unter dem Account eines Anwenders beliebige Files abzulegen. Für alle diese Angriffe wurde deren Praktikabilität durch Proof-of-Concept-Code bewiesen. Mega erfuhr davon bereits im März 2022 und hat inzwischen einen Patch entwickelt, der nach Meinung der Forscher die Angriffe zwar erschwert, aber nicht alle Probleme löst.
Für mich ist es in der Regel immer ein positives Zeichen wenn es Aktivität rund um Sicherheit und Verschlüsselung gibt. Natürlich ist es super, dass sich die Züricher Forscher*innen Mega genauer angesehen haben! Aber auch Mega hat einen positiven Teil beigetragen. Zum einen hat Mega seinen Client-Quellcode einsehbar gemacht (Source Available, das ist nicht OpenSource aber für Forschungsarbeiten ein wichtiger Schritt und tausend Mal besser als ClosedSource). Und damit hat Mega ja auch neben dem finanziellen Anreiz eine ganz explizite Einladung ausgesprochen ihr Produkt kritisch zu betrachten. (man kann den Quellcode auch selber kompilieren, wenn man Megas Kompilat nicht traut)… Mehr »
Für mich ist es in der Regel immer ein positives Zeichen wenn es Aktivität rund um Sicherheit und Verschlüsselung gibt. Natürlich ist es super, dass sich die Züricher Forscher*innen Mega genauer angesehen haben! Aber auch Mega hat einen positiven Teil beigetragen. Zum einen hat Mega seinen Client-Quellcode einsehbar gemacht (Source Available, das ist nicht OpenSource aber für Forschungsarbeiten ein wichtiger Schritt und tausend Mal besser als ClosedSource). Und damit hat Mega ja auch neben dem finanziellen Anreiz eine ganz explizite Einladung ausgesprochen ihr Produkt kritisch zu betrachten. (man kann den Quellcode auch selber kompilieren, wenn man Megas Kompilat nicht traut)… Mehr »