Mein Name ist Randy Franklin Smith und ich schreibe diesen Blog für Progress über die Wichtigkeit von Dateitransferverschlüsselung als Teil einer 3-teiligen Serie über die Sicherheit von Dateitransfer, die auf dem englischen Blog erschienen ist. Diese Posts basieren auf einem Webinar, dass ich zusammen mit Ipswitch durchgeführt habe, das aufgezeichnete Webinar können Sie hier anschauen.
Verschlüsselungsmöglichkeiten
Das Internet kann sehr gruselig für Unternehmen sein. Aus diesem Grund schenken Unternehmen den Best Practices zur Sicherung von Dateitransfers besondere Aufmerksamkeit. Zu diesen Best Practices gehört Verschlüsselung. Prinzipiell gibt es 3 Möglichkeiten, die Daten bei Dateitransfers zu verschlüsseln: FTPS, SFTP und HTTPS. Alle drei werden stark bei ‘internen zu externen’ sprich Transfers zwischen Unternehmen genutzt.
Die schnellste der drei Möglichkeiten und die am weitesten verbreitete Methode ist FTPS, was FTP über SSL bedeutet. Es hat jedoch implizite und explizite Notizen und braucht eine Reihe von Datenports, wobei SFTP nur einen Port benötigt und somit die einfachere der beiden Optionen ist.
Während FTPS und SFTP gut für Transfers zwischen Servern sind, ist HTTPS besser für interaktiven Transfer zwischen Benutzern. Letztendlich verschlüsseln all drei Optionen (FTPS, SFTP und HTTPS) Firmendaten auf automatische und transparente Weise und schützen sie vor Beschädigung während sie das Internet überqueren. Es hängt nur von den Anforderungen Ihrer Firma ab, welche der drei Möglichkeiten die richtige für Sie ist.
Warum es wichtig ist, Daten im Ruhezustand zu verschlüsseln
Es ist nicht nur wichtig, Daten zu verschlüsseln, wenn die Dateien von einem Server zum nächsten übertragen werden, sondern es ist ebenso wichtig, diese zu schützen und zu verschlüsseln, wenn sie auf Ihrem Server liegen. Warum? Es gibt zwei Gründe. Zum einen sind Datenaustauschdateien besonders anfällig, da die Datei ein einfach konsumierbares Format hat. Die Verschlüsselung einer solchen Datei fügt ein weitere Schutzstufe vor möglichen Hackern hinzu. Zum zweiten sind Dateitransferserver im Internet Angriffen stärker ausgesetzt.
Wenn die Daten im Ruhezustand verschlüsselt sind, müssten die Hacker nicht nur in den Server brechen, sondern auch den Schlüssel finden, um die Daten zu entschlüsseln. Das würde die Sache für die Häcker länger und anstrengender machen, und Ihrem Unternehmen mehr Zeit geben, den Vorfall zu melden und die Hacker zu finden.
Ihre Firma kann sehr wohl eine Firewall, DMZ oder einen Proxy-Server benutzen, aber selbst wenn diese vorhanden sind, sind die Daten trotzdem gefährdet, da diese mit der Außenwelt verbunden sind, während Dateitransfer dies nicht ist. In der heutigen Zeit von Cyber-Diebstahl ist es wichtig, dass Organisationen strategisch und defensive ihre Daten schützen – egal ob diese in Bewegung oder im Ruhezustand sind.
Daten, die mit Dritten geteilt werden oder auf die Dritte zugreifen
Wenn Firmen Dateien mit anderen Firmen austauschen, dann benutzen Sie meistens einen Storage-Anbieter, der automatische Verschlüsselung anbietet. Diese Storage-Anbieter verlangen jedoch in den meisten Fällen, dass alle Ihre Benutzer zu einer authentifizierten Domän gehören. Was passiert also, wenn Sie Dateien an eine Firma verschicken müssen, die nicht authentifiziert ist? Was für Möglichkeiten haben Sie? Können Sie nur mit Partnern arbeiten, die authentifiziert sind? Ihre Firma muss einen anderen Weg finden, die Dateien, im Transfer und im Ruhezustand, zu verschlüsseln.
Die meisten Firmen haben Richtlinien, die besagen, das jede Datei verschlüsselt sein muss, bevor sie übertragen wird, meistens durch PGP. PGP ist eine fehlersichere Methode für Firmen, um sicherzustellen, dass wenn eine Datei hochgeladen wird, diese verschlüsselt ist, ohne dass der Partner besonders technisch versiert sein müsste oder auf seiner Seite etwas implementieren müsste. Obwohl PGP daher nützlich ist, gibt es ein Risiko, dass Sachen brechen können und die Datei nicht PGP-verschlüsselt ist.
Genügt PGP alleine, um Dateisicherheit zu bewerkstelligen?
Was passiert also, wenn die PGP-Verschlüsselung bricht? Oder anders ausgedrückt – ist PGP stark genug, um die wichtigsten, privaten Firmendateien zu schützen? Viele Kunden benutzen PGP und loben seine Effizienz. Und PGP ist wirklich unglaublich effizient in den Händen von Sicherheitsexperten und –fachleuten. Diese Fachleute verstehen Sicherheitsziffern und –schlüssel und wissen, wie Sachen repariert werden können, wenn sie kaputt gehen.
Für die weniger technisch versierten Benutzer unter uns, passiert jedoch ein Szenario ähnlich diesem: Wir erhalten ein Login, um eine Datei zu entschlüsseln. Wenn wir nicht herausfinden können, wie es funktioniert, fragen wir moistens jemanden im Büro um Hilfe und somit ist der Code nicht länger privat, weil jemand anderem Zugang gegeben wurde.
Einfach ausgedrückt, würden Sie auch keine Firewall implementieren und sagen, dass Ihr Netzwerk sicher ist. Sie würden Vorsichtsmaßnahmen treffen, um Ihren Angestellten und Kunden zu versichern, dass Ihr System sicher ist. Genau so sollte PGP behandelt werden. Sie sollten PGP implementieren, aber sie sollten auch die weiteren Sicherheitsvorkehrungen treffen, um sicherzugehen, dass Ihr Netzwerk geschützt ist.
Nächste Schritte
Wenn Sie mehr über Verschlüsselung und Dateitransfersicherheit lernen möchten, sehen Sie sich das Webinar in voller Länge an.
Auf meiner Website (UltimateWindowsSecurity.com) finden Sie Neuigkeiten und Analysen.