Download - Sikkerhet i nettskyen
Det følgende er omarbeidet fra kapittelet «Excel i nettskyen» i boken «Excel for næringslivet» av Per Arne Godejord og Morten Helbæk
(ISBN: 9788215022512)
Sikkerhet og lagring av filer i nettskyen
Vi har i de siste årene sett en økende grad av at våre dataprogram og filer flyttes helt eller delvis over
på datasystemer som er utenfor vår datamaskin, og dermed utenfor vår direkte kontroll. Å være i
nettskyen, eller skyen, har blitt et begrep som både næringsliv og offentlige institusjoner benytter for
å beskrive en rekke digitale aktiviteter. Vi snakker på mange måter om et moteord som endrer
betydning ut fra den enkelte sammenheng, men det er også like mye et nytt begrep for hvordan vi i
dag ser på databehandling.
Et utvalg nedsatt av Nordisk råd for å utrede skytjenester (TemaNord 2011:566) har brukt følgende
definisjon:
”Skytjenester er et fellesbegrep for IT-tjenester levert over internett med en betalingsmodell der en
betaler i forhold til bruk. Skyleverandøren selger en tjeneste, for eksempel bruk av et økonomisystem,
eller et informasjonssystem. De som bruker tjenesten aksesserer den gjennom en web-browser uten å
installere eller vedlikeholde software på det egne system...Dataene blir lagret på en server i skyen,
det vil si på en server i leverandørens datasenter. En nettsky gjør det med andre ord mulig å få tilgang
til tjenesten ved behov og betale pr. bruk for applikasjoner, tjenester, lagring nettverk etc. uten selv å
måtte foreta investeringer i IT infrastruktur og utstyr, og med mulighet til raskt å skalere opp og
ned.»
Nettskyen gir muligheter for rask oppskalering og nedskalering av ressurser som er i bruk av den
enkelte. Uten tilgang til nettskyen og ved bruk av egne ressurser, ville disse måtte tilpasses
maksbelastningen til den enkelte brukers datasystem. Det gjelder både datakraft, nettkapasitet og
antallet programvarelisenser.
UNINETT har definert Nettsky-begrepet til å dekke tre like tjenestemodeller:
1. Software som en tjeneste: kunden bruker en applikasjon uten å kontrollere operativsystemet,
utstyr eller nettverksinfrastrukturen som applikasjonen kjøres på.
2. Plattform som en tjeneste: man bruker vertsomgivelser for egne applikasjoner uten å kontrollere
operativsystemet, utstyr eller infrastrukturen som applikasjonen kjøres på.
3. Infrastruktur som en tjeneste: man bruker dataressurser på en virtuell maskin som regnekapasitet,
lagring og nettverk uten å kontrollere nettskyinfrastrukturen.”
Nettskybegrepet bygger på mange års forskning i virtualisering, distribuert databehandling, nettverk,
web og programvaretjenester.
Noen av ordene vi har benyttet over er i seg selv moteord, og vi skal kort forklare dem før vi går
videre.
Distribuert databehandling betyr at flere datamaskiner arbeider sammen for å løse en felles
oppgave, på en slik måte at de virker som en desentralisert superdatamaskindatahandsaming. Hver
datamaskin får en del av oppgaven, noe som gir et skalerbart system der behandlingskapasiteten
øker for hver datamaskin som legges til. Ved å sette sammen datamaskiner på denne måten kan en
oppnå en samlet behandlingskapasitet som overstiger en enkelt superdatamaskin.
Virtualisering, innenfor informasjonsteknologi, betyr å opprette virtuelle utgaver av
datamaskinressurser som så fremstår for den enkelte bruker som fysiske ressurser. Hensikten er å
utnytte dataressurser mer effektivt og/eller skape en uavhengighet til den faktiske fysiske løsningen.
Det er mulig både å lage flere virtuelle ressurser ut av én fysisk ressurs og å lage én virtuell ressurs ut
av flere fysiske.
Distribuert databehandling er når vi iverksetter mulighet til å kjøre et program på flere
datamaskiner, knyttet sammen via nettverk, samtidig. Vitenskapelig sett er det dette som er kjernen i
Netsky-konseptet.
Nå som vi kort har sett på noen sentrale begreper skal vi se nærmere på dette med Nettsky.
Nettsky Nettsky som teknisk løsning, eller rettere sagt; et sett med tekniske løsninger, har i seg et stort
potensiale for å påvirke hvordan vi kan arbeide i en organisasjon, og hvordan vi kan organisere
arbeidsoppgaver og tjenester. Vi har nå en økt mulighet til å samarbeide om oppgaver, øke
fleksibiliteten i forhold til hvor vi befinner oss når vi ønsker å benytte en applikasjon eller data,
tilgjengelighet til informasjon og vi får dermed en mulighet til kostnadsreduksjon gjennom
optimalisert og effektiv databehandling.
Nettskyen er altså ikke en spesifikk teknologi, men typer av leveranser av skalerbare IT-ressurser over
Internett men mange ulike teknologier og tilnærmingsmåter til det å benytte dataverktøy, som har
det til felles at de skiller program og informasjon fra den underliggende infrastrukturen og de ulike
mekanismene som tidligere ble benyttet for å levere tjenester. Motsatsen er at organisasjonen har
de samme ressursene lokalt, og drifter dem lokalt. Disse ressursene kan omfatte utstyr, infrastruktur,
plattform, applikasjoner og tjenester. Det skilles mellom offentlige/kommersielle nettskyer og private
nettskyer.
En sentral egenskap ved kommersielle nettskyer er at de leverer IT-tjenester der en betaler pr. bruk,
fra lagring av filer til systemtilgang, software, prosessering etc. I prinsippet skal det være mulig for en
organisasjon eller privatperson å begrense utstyret lokalt til internettforbindelse og PC, og for øvrig
kjøpe alle IT-tjenester det er behov for fra nettsky - leverandøren. Tjenestene er skalerbare og svært
kraftige og leveres over internett, som oftest basert på et web-grensesnitt. Kunden slipper dermed å
investere i infrastruktur og programvare.
Leverandørene av nettskytjenester er gjerne store flernasjonale selskap med betydelig virksomhet i
mange land på flere kontinenter (IBM, Amazon, Microsoft, Google, Facebook). Økonomien i
nettskytjenester er knyttet til standardisering, forenkling, volum, kostnadseffektiv drift, og
prisgunstig lokalisering.
Aktuelle nettskytjenester er GoogleDrive, SkyDrive, SharePoint, Dropbox og iCloud, og i det følgende
skal vi kort beskrive noen av dem.
Dropbox Når du installerer Dropbox, får du en egen mappe på maskinen din (My Dropbox) som har noen
spesielle egenskaper de andre mappene dine ikke har:
Mappen viser alle filer og mapper du har hos Dropbox.
Den gir deg mulighet til å dele mappen ved å invitere andre brukere (e-postkonto).
Den gir deg oversikt over hvem som har tilgang.
Den gir deg mulighet til å fjerne brukere som allerede har tilgang.
Den gir deg mulighet til å bla gjennom filer du har hos Dropbox.
Den gir deg tilgang til filene dine fra en hvilken som helst datamaskin med Internett.
Du kan lage en mappe i Dropbox og dele den med andre. Du inviterer de andre ved å bruke e-
postadressene deres. Når mappen er delt, sendes det en invitasjon til de andre. Alle filer du legger i
den delte mappen, vil alle de andre også ha tilgang til.
La oss si at du og en kollega arbeider sammen med et dokument som omhandler forretningsstrategi.
Dere arbeider i Microsoft Word.
1. Du lager et utkast, og kaller filen ”strategi_oek.doc”.
2. Du lagrer «strategi_oek.doc» i My Dropbox i mappen ”Strategi”.
3. Du deler mappen ”Strategi” med kollegaen din.
4. Kollegaen din ser på sin maskin at filen ” strategi_oek.doc ” er lagt i Dropbox.
5. Kollegaen din åpner filen i Microsoft Word og gjør endringer.
6. Kollegaen din lagrer filen i Dropbox i mappen ”Strategi”.
7. Du får en melding på din maskin om at filen er oppdatert.
8. Du åpner filen og ser endringene til kollegaen din har gjort.
Google Drive Google Drive er en fillagrings- og synkroniseringstjeneste, som først ble introdusert for offentligheten
av Google den 24. april 2012. Google Drive er en utvidelse av Google Docs. Når Google Drive blir
aktivert, blir URL'en docs.google.com erstattet med drive.google.com.
Det er tredjeparts Google Drive-applikasjoner som kan bli installert fra Chrome Web Store. Disse
applikasjoner, som kjører i Google Chrome, opererer med filer online, og kan bli brukt til å redigere
bilder, videoer, fakser, signere dokumenter og administrere prosjekter osv.
I tillegg til nettsidene trenger Google Drive en klient for å synkronisere filer. Ved starten av tjenesten
var programvare tilgjengelig for følgende enheter: på Mac med Lion (10.7) og Snow Leopard (10.6);
PCer med Windows XP, Windows Vista og Windows 7. Operativsystemer for mobiler: på Android
smarttelefoner og nettbrett med Eclair og nyere oprativsystemer (Android 2.1+); på iPhone og iPad,
iOS 3.0+. Linux-støtte er på vei. Ifølge Sundra Pichai fra Google, vil Google Drive bli tett integrert med
Chrome OS versjon 2.0.
iCloud iCloud er en nettskytjeneste fra Apple annonsert 6. juni 2011 på WWDC 2011. Tjenesten lar brukerne
lagre blant annet sanger, bilder, apps, bøker, dokumenter, kontakter, kalender og epost i nettskyen
med automatisk synkronisering til andre iOS-enheter som iPhone, iPod Touch og iPad, i tillegg til til
Mac og PC. iCloud er gratis inntil 5 GB, med mulighet for å betale for ekstra lagringsplass.
Sikkerhet i skyen
Vi har nå sett på noen begreper, definisjoner og skytjenester. Å kunne benytte en internettbasert
tjeneste for lagring og samarbeid med dokumenter etc. er med på å gjøre ting mer effektivt i en
travel arbeidsdag, og gjør «nettskyen» til en besnærende tjeneste. Men som med alt annet tilknyttet
Internett lurer det farer som i enkleste fall kun betyr mindre irritasjonsmoment men som i verste fall
kan bety økonomisk tap.
Det mest åpenbare sikkerhetsproblemet er knyttet til tilgjengelighet. Dersom du plutselig befinner
deg uten nettverks eller mobilnettilknytning vil arbeidsbøkene og andre filer være utilgjengelig. Det
er viktig å sørge for at du alltid har en oppdatert kopi av filene på din harddisk.
Den viktigste trusselen ved bruk av nettskytjenester er at informasjon kan komme på avveier eller
stjeles av uvedkommende, om ikke sikkerheten er godt nok ivaretatt.
Det er en viss uenighet blant sikkerhetseksperter om hvorvidt nettskyen er mindre sikker eller mer
sikker enn andre former for bruk av dataressurser.
Noen vil hevde at det å samle store mengder kundedata, filer og servere i en enkel nettsky-tjeneste
vil gi datakriminelle adgang til enorme mengder data. Dette kan føre til tap av data eller ødeleggelse/
skadelige endringer av data.
På den annen side kan det hevdes at det å samle data i et enkelt nettsky-område er enklere å
beskytte enn om man benyttet en rekke med nettskybaserte tjenester.
Men uansett hvordan man ser på det er det et faktum at nettsky-konseptet ikke er annet enn en
internett-basert tjeneste, og Internett er pr. definisjon et åpent område. I den gamle, klassiske,
datalagringsmåten er data samlet innenfor en virksomhets egne datatjenester, og disse
trengte/trenger på ingen måte å nødvendigvis være tilknyttet Internett.
Det er ingen ting i veien for å ha en kombinasjon av klassisk intern datalagring og eksternt baserte
tjenester, men utfordringen for en virksomhet i dagens samfunn er at de ansatte i stadig større grad
er tilknyttet sosiale nettverk basert på internett. En moderne ansatt vil ha sin sosiale profil på
Facebook, Twiter, linkedin og google+. Hun vil være vant til å kunne laste opp, samarbeide om og
arbeide med filer i en rekke ulike onlinebaserte tjenester, så som GoogleDrive, SkyDrive og Dropbox.
Dersom en virksomhet har interesser i ulike land vil nettopp denne fleksibiliteten og evnen til å
utnytte internett være en nøkkelfaktor i effektiv IKT-bruk.
At flere medarbeidere kan arbeide i sanntid med en arbeidsbok i Excel er mer effektivt enn å drive
med individuell redigering for så å sende en arbeidsbok til og fra via e-post. Dette er en virkelighet vi
kan mislike men den er et faktum og en virksomhets sikkerhetspolicy må innrettes deretter.
Men du som bruker er likevel den viktigste garantisten mot at uvedkommende får fatt i
konfidensielle data, og din jobb er å sørge for at filer som må deles kun deles med de personer du
inviterer og ikke legges ut offentlig for alle.
Dette betyr at du må sette deg grundig inn i tjenester som Dropbox og SkyDrive før du tar dem i bruk.
Datatilsynet har satt opp et sett med spørsmål du som bruker bør stille deg før du tar i bruk nettsky-
tjenester og de er som følger:
Brukervilkår: Hva sier brukervilkårene? Bør jeg være bekymret for noen av dem? Forstår jeg
vilkårene?
Seriøsitet: Hvor seriøse fremstår tjenestetilbyderen? Kjenner jeg noen som kan gi med et råd
om bruk av tjenesten er forsvarlig for formålet mitt?
Sikkerhet: Hvordan ser det ut til at tjenesteleverandør har ivaretatt sikkerheten? Hvor enkel
ser det ut til for uvedkommende å skaffe seg tilgang? Ser sikkerheten tilstrekkelig ut i forhold
til informasjonen jeg ønsker lagret? Søk gjerne råd hos andre som har greie på sikkerhet.
Passord: Hvis tjenesteleverandør stiller krav til kvalitet på passordet er dette et godt tegn.
Virker det som leverandør har ivaretatt dette på en god måte?
Rettigheter: Hvilke rettigheter har jeg om all informasjonen jeg har lagret blir borte? Sies det
noe om det i vilkårene? Har jeg en egen sikkerhetskopi?
Lovgivning: Hvilket land er tjenesteleverandøren hjemmehørende i? Hvem kan hjelpe meg
hvis noe skulle gå galt? Informasjonen på nettbaserte løsninger kan i utgangspunktet være
lagret hvor som helst i verden, og at andre regler kan gjelde i utlandet
Beskyttelse av sensitive data i skyen
Siden de ulike sky-tjenestene altså er utenfor din og ditt selskaps kontroll bør du utvise varsomhet
med å laste opp sensitive data, enten du bruker Dropbox , Google Drive, eller SkyDrive. Selv om
skytjenester opererer med kryptering av din kommunikasjon med tjenesten, altså at filene blir
kryptert i transitt vil alle som får tilgang til kontoen din åpne og lese filene. Industrispionasje er en
reell trussel og ikke bare noe som skjer på film, så det å sørge for kryptering av filer på din personlige
datamaskin en viktig måte å beskytte sensitive data uten å måtte gi opp skylagring.
Du vil da trenge krypteringsverktøy for å kryptere og deretter dekryptere filene dine, og dersom dine
kolleger skal arbeide på samme fil vil de trenger passordet.
Kryptering De aller beste krypteringssystemer er militære. Men det finnes flere gode program, både i
gratisversjon og i betalingsversjon, som tilbyr tilnærmet militær kryptostyrke. Et slikt program er
Pretty Good Privacy (PGP), som finnes både i en gratis- og i en betalingsversjon.
Hvis vi åpner en fil som er kryptert med PGP i Notepad, vil et lite utsnitt av den kunne se slik ut:
qANQR1DBwnMDXbpSDDwOpY4QDJEBS5lnqcHQjpZMZR/O8H3bKZMebJB0mlh61PLE6gInw9BznthJQ
XB0ls4o79ZFUcMk1DWBoynIGVVFc4xue5L4FN/qANQR1DBwnMDXbpSDDwOpY4QDJEBS5lnqcHQjpZ
MZR/O8H3bKZMebJB0mlh61PLE6gInw9BznthJQXB0ls6o79ZFPcMk1DWBoynIGVVFc4xue5L4FN/
qANQR1DBwnMDXbpSDDwOpY4QDJEBS5lnqcHQjpZMZR/O8H3bKZMebJB0mlh61PLE6gInw9BznthJQ
XB0ls4o79ZFUcMk1DWBoynIGVVFc4xue7L8N/qANQR1DBwnMDXbpSDDwOpY4QDJEBS5lnqcHQjpZM
ZR/O8H3bKZMebJB0mlh61PLE6gInw9BznthJQXB0ls4o79ZFUcMk1DWBugjkFIGVVFc4xue5L4FN/
Å kryptere dokumenter og mapper med PGP gjøres enkelt ved å høyreklikke med musa på et
dokument eller en mappe, og så velger du PGP i menyen som kommer opp, deretter encrypt.
Du kan velge om du vil kryptere filen med et sett med «nøkler» eller kun med et passord. Det
enkleste i forhold til dokumenter som også skal brukes av dine kolleger er å benytte et passord som
du har avtalt på forhånd med de som skal ha tilgang.
Når regnearket er kryptert laster du det opp i «skyen», og den som skal arbeide videre med filen må
skrive inn det avtalte passordet.
Fig 10. Åpning av PGP-kryptert Excel-fil med passord
Opprett en TrueCrypt beholder En annen måte å beskytte Excel-filene dine på er å opprette en kryptert beholder, dvs en fil som kan
inneholde andre filer. TrueCrypt er et enkelt gratisprogram for denne typekryptering og du kan
opprette en kryptert filbeholder og deretter lagre den i f.eks. Dropbox-mappen din. Hvor stor denne
kontainerfilen skal være bestemmer du selv, og sett utenfra vil dette være en enkel uskyldig fil.
Fig 11. Opprettelse av TrueCrypt beholder
Når du trenger å lagre et regneark med senitive data bruker du TrueCrypt til å montere den krypterte
filbeholderen som en stasjonsbokstav. Filene du så plasserer inne i TrueCrypt-stasjonen vil bli
kryptert og lagret inne i TrueCrypt filbeholderen som du så kan lagre i «Skyen».
Fig 12. Kryptert beholder skjult i en Wordfil og hentet frem i form av en lokal disk, for lagring av Excel-filer
Steganografi Det finnes flere måter en kan skjule privat informasjon på, og en av de mest kjente metodene er det
som kalles steganografi. I motsetning til kryptografi, som gjør en fil uleselig, gjør steganografi filen
usynlig. Steganografi skjuler data, enten det er i form av tekst eller bilder, inne i annen data. Billed-
og lydfiler inneholder nemlig ubrukte eller lite viktige områder, og disse områdene kan benyttes til å
lagre data. Det betyr at du kan lagre et bilde eller et dokument inne i et annet bilde. Det finnes en
rekke programmer som du kan laste ned fra Internett til denne bruken, og et av dem er Invisible
Secrets 4. I bildet under ser du at vi har valgt en Excel-fil vi ønsker å skjule før vi laster den opp i en
nettsky.
Fig 13. Vi velger en Excel-fil vi ønsker å skjule inne i et bilde
Deretter må vi velge en «beholderfil», for eksempel et bilde.
Fig 14. Vi velger et bilde som «beholder» for en sensitiv Excel-fil
Programmet ber oss så lage et passord før det skjuler Excel-filen inne i bildet vi har valgt. Bildet kan
så lastes opp i SkyDrive eller Dropbox. Når vi, eller en av våre kolleger, skal ha fatt i filen for å jobbe
videre med den, åpnes den i Invisible Secrets 4 ved å taste inn korrekt passord.
Fig 15. Vi finner frem til en Excel-fil skjult i et bilde via passord
Passord Som vi har sett baserer de ulike programmene for kryptering av filer seg på passord. Du kan også
passordbeskytte direkte i en fil. I det følgende tar vi utgangspunkt i Excel, og du velger da «fil» og
deretter «Beskytt arbeidsbok».
Fig 16. Excel gir mulighet for passordbeskyttelse av arbeidsbok
Å passordbeskytte direkte via den aktuelle filen (tekstbehandling, regneark, etc.) kan i mange tilfeller
være nok, men dersom du ønsker å lagre sensitive data i en skytjeneste bør du heller velge
krypteringsprogram som de vi har beskrevet tidligere. Dette vil gi en økt sikkerhet i forhold til kun å
stole på Microsoft sin innebygde kryptering som er regnet som relativ svak.
Uansett om du benytter krypteringsprogram eller setter passord direkte i filen, må du velge ditt
passord med omhu. Det hjelper ikke å ha kryptert filene dine med avanserte program dersom
passordet ditt er «1234» eller navnet på din kone.
Et sterkt passord bør helst være en tilfeldig rekke med tegn og her er noen tips til hvordan du kan
lage et sterkt passord:
Lag passordet langt. Hvert tegn du legger til, mangedobler beskyttelsen. Passordet bør ha
minst 25 tegn for å være virkelig sikkert. På noen systemer kan du også bruke mellomrom i
passord, slik at du kan lage det vi kaller en passordfrase. Den er ofte lettere å huske, men
fortsatt vanskelig å gjette for en utenforstående.
Kombiner bokstaver, tall og symboler. Jo større variasjon du har i passordet, jo vanskeligere
er det å gjette det. Jo flere forskjellige typer symboler du bruker, desto sterkere er passordet.
Bruk hele tastaturet når du skal konstruere et godt passord, ikke bare de vanligste tegnene.
Det an lønnes seg å endre et passord regelmessig. Et sterkt passord holder seg lenger enn et
svakt. Et passord som er kortere enn 8 tegn, regnes som trygt i omtrent en uke, mens et
passord på 14 tegn eller mer kan være trygt i flere år.
Når du skal velge et passord for en fil unngå sekvenser og gjentatte tegn så som "12345678",
"222222", "abcdefg", og bokstaver som ligger ved siden av hverandre på tastaturet. Unngå også
påloggingsnavnet ditt til din datamaskin eller e-post. Alle deler av navnet, fødselsdatoen,
personnummeret og lignende informasjon om deg selv og familiemedlemmer gjør passordet svakt.
En studie utført av Troy Hunt i 2011 viste at de tre mest populære numeriske
passordkombinasjonene var
123456
12345678
123456789
Denne type kombinasjoner kan lett knekkes av ulike typer av kodeknekkeprogram, eller rett og slett
gjettes av den som ønsker tilgang til dine filer.
Videre må du unngå ord som finnes i ordbøker. Kriminelle bruker avanserte verktøy som raskt gjetter
passord som er basert på ord i ordbøker, inkludert ord som er skrevet baklengs, vanlige feilstavinger
og erstatninger, og alle typer banneord.
Kilder
Datatilsynet, 2011, Privat bruk av nettskytjenester, hentet fra
https://www.datatilsynet.no/Teknologi/Nettsky---Cloud-Computing/Lagring-pa-nett-nettsky/
den 31.07.2014
Nordic Council of Ministers, 2012, TemaNord 2011:566, Nordic Public Sector Cloud
Computing – a discussion paper, ISBN 978-92-893-2286-7
Troy Hunt, 2011, The only secure password is the one you can’t remember, hentet fra
http://www.troyhunt.com/2011/03/only-secure-password-is-one-you-cant.html den
31.07.2014
UNINETT, u.d. , Notat Nettskyteknologi i UH-sektoren, hentet fra
https://www.uninett.no/webfm_send/638 den 31.07.2014