"Zero wiedzy" zwykle oznacza, że dane klienta przechowywane są w postaci zaszyfrowanej i tylko on dysponuje kluczem umożliwiającym ich odszyfrowanie. Naukowcy z JHU stwierdzili jednak, że jeśli pliki użytkownika są udostępniane innym użytkownikom usługi (co jest dość częste), to klucze stają się podatne na przechwycenie przez operatora usługi – o ile, rzecz jasna, zechce on podjąć takie działanie. Badacze podkreślają, że choć na razie nie ujawniono takich sytuacji, to warto pamiętać, że taki scenariusz jest możliwy do zrealizowania.

Podczas analiz specjaliści przyjrzeli się trzem usługom chmurowym - Spider Oak, Wuala oraz Tresorit. W każdej z nich dane przechowywane są w postaci zaszyfrowanej, a ich odszyfrowanie następuje dopiero przy pobraniu przez użytkownika. Ten model jest oczywiście bezpieczny – "Jednak podczas udostępniania danych innym użytkownikom w ramach tej samej usługi operator system ma możliwość przeglądania plików i innych danych klienta" – wyjaśnia Duane Wilson z Johns Hopkins University, główny autor raportu (który można znaleźć na stronie uczelni).

Zobacz również:

• Usługa WhatsApp uruchamiana na urządzeniach iOS będzie bardziej bezpieczna
• Cyfrowa transformacja z AI - co nowego na Google Cloud Next 24
• Plikowa, blokowa czy obiektowa pamięć masowa?

Powszechnie wykorzystywanym rozwiązaniem jest używanie jako "pośrednika" między użytkownikami usługi, który weryfikuje uprawnienia przed udostępnieniem klucza deszyfrującego. Niekiedy jednak dostawcy używają w tym charakterze własnego, autorskiego rozwiązania – co pozwala im na ingerowanie w proces przekazywania danych i np. przedstawienie sfałszowanych danych uwierzytelniających. Taki atak byłby bardzo podobny do klasycznego hakerskiego ataku "man in the middle".

Autorzy badania podkreślają, że w czasie swoich analiz nie znaleźli dowodu, że którykolwiek z operatorów usług chmurowych stosuje takie techniki. Nie trafili też na żadne przypadki ujawnienia danych klientów z wykorzystaniem opisanej powyżej metody. Ich celem było jednak zwrócenie uwagi, że wbrew zapewnieniom niektórych operatorów, przechwycenie danych przez osobę czy instytucję zarządzającą systemem chmurowym jest możliwe. "To trochę jak z odkryciem, że twój sąsiad zostawił otwarte drzwi wychodząc do pracy. Nikt mu jeszcze niczego nie ukradł, ale przecież nie powinieneś czekać do momentu kradzieży – należy informować o zagrożeniu natychmiast" – wyjaśnia obrazowo Giuseppe Ateniese - profesor, który nadzorował badania.

Przedstawiciele firmy Spider Oak zgodzili się, że przynajmniej w niektórych aspektach naukowcy z Johns Hopkins University mają rację. Zastrzegli jednak od razu, że ich klienci mają do dyspozycji metodę pobierania i udostępniania danych, która jest w 100% odporna na technikę opisaną przez JHU - jeśli ktoś chce mieć pewność, że jego dane są absolutnie odporne na przechwycenie, powinien korzystać z usługi za pośrednictwem dedykowanej aplikacji (a nie z poziomu interfejsu webowego). "Każdy, kto rejestruje się w naszej usłudze, zostaje poinformowany o tym, że system "zero wiedzy" gwarantuje 100% skuteczność tylko w przypadku korzystania z programu klienckiego" – tłumaczą przedstawiciele firmy.

Spider Oak rozważa zresztą usprawnienie mechanizmu udostępniania plików w ramach platformy (m.in. poprzez wykorzystanie bezpiecznego systemu uwierzytelniania RSA) – tak, by klient mógł w każdej chwili z 100% pewnością sprawdzić kto przeglądał jego pliki. Takie rozwiązania są już zresztą na rynku – przykładem może być firma Silent Circle, która w swojej usłudze chmurowej zaoferowała klientom możliwość głosowego autoryzowania dostępu do danych.