Веб-гигант Google предоставляет множество прекрасных функций в своем облачном хранилище. Google говорит, что хранить данные у них безопасно. Даже если ваш компьютер, планшет или телефон выходят из строя, данные на Google Drive находятся в безопасности. Компания также утверждает, что файлы, хранящиеся у них в дата-центре, не могут исчезнуть.

Чтобы использовать Drive, вам необходима учетная запись Google. Создать учетную запись в Google проще простого. Google предложит вам придумать надежный пароль. Пароль должен содержать как минимум 8 символов. Тем не менее, требования к чувствительным к регистру или разнообразным буквам и числам при регистрации в Google отсутствуют. Хотя это могло бы улучшить безопасность.

Защита учетной записи в Google - это основной шаг по обеспечению безопасности в хранилище Drive. Google предлагает двухшаговую верификацию(двухфакторную аутентификацию) для того, чтобы увеличить надежность учетной записи. Как только вы активируете эту функцию, при каждом входе в какой-либо из сервисов Google вам нужно будет вводить дополнительный код. После ввода правильного имени пользователя и пароля на странице учетной записи в Google вы получите СМС с кодом верификации на свой мобильный телефон. Вы сможете войти в Google только после ввода этого кода. Таким образом, двухшаговая аутентификация может сделать Google Drive более защищенным от хакеров. Вы также можете получать такие коды с помощью приложений для смартфона.

В учетной записи Google есть секретный вопрос и возможность ввода электронного адреса или номера телефона для восстановления учетной записи, а также это позволить возобновить контроль над учетной записью в случае взлома. Вы также контролируете приложения, в которые вы входите с помощью своей учетной записи. Также доступны журнал посещений, IP-адрес и данные об устройстве, чтобы вы могли отслеживать активность по своей учетной записи Googlе.

Шифрование просто жизненно необходимо для любого облачного сервиса. Несмотря на то, что Google Drive в работе использует HTTPS, он не предоставляет собственную услугу по шифрованию файлов. Так что если вы хотите зашифровать файлы, сделайте это до отправки их на Google Drive. Вы можете бесплатно воспользоваться программой Boxcryptor, чтобы обезопасить свои облачные файлы.

Google Drive предлагает целый ряд индивидуальных опций для обмена. Используя эти настройки, вы можете определить, кто может иметь доступ к файлам, кто может их загружать, редактировать и т. д. Вы можете просматривать версии файловна Google Drive. Так что если вам необходима предыдущая версия, вы можете ее получить, нажав на правую кнопку мыши на необходимом файле и выбрав опцию ‘Управление версиями’.

Можно отметить, что безопасность сервиса онлайн-хранения данных от Google зависит от безопасности учетной записи Google. Если можно защищать свои учетные записи Gmail ID, тогда смело можно рассчитывать на надежную защиту файлов на Google Drive.

Microsoft OneDrive

Облачное хранилище OneDriveот мощнейшего разработчика софта Microsoft. Для того чтобы использовать OneDrive, необходимо обзавестись учетной записью Microsoft. ПосетитеOutlook.com, чтобы открыть новую учетную запись Microsoft. Во время подписки Microsoft принимает ряд надежных мер безопасности, чтобы защитить потребителя от действий хакеров. Microsoft предлагает и требует ввода сложного пароля, состоящего минимум из 8 символов с регистрочувствительными буквами. Все это делается ради безопасности.

Безопасность OneDrive зависит от безопасности учетной записи Microsoft. Поэтому, если учетная запись Microsoft защищена, это также поддерживает безопасность пространства на OneDrive.

Microsoft подходит очень серьезно к вопросам безопасности учетных записей на Outlook.com. Для создания учетной записи нужно зайти в опцию «Настройки учетной записи», там подтвердить свою личность, используя двухшаговую аутентификацию. Для настроек учетной записи эта функция включена по умолчанию.

Двухшаговая верификация Microsoft обладает большим функционалом, чем аналогичная функция от Google. Тем не менее, можно спокойно доверять обоим сервисам.

В своей работе OneDrive использует соединение HTTPS. ‘Недавняя активность’. Оттуда также можно управлять приложениями, использование которых разрешили вместе с Outlook.com.

OneDrive предлагает функцию бесплатного просмотра истории файловдля офисных документов. ‘Предыдущие версии’ других форматов файлов доступны для пользователей бизнес-уровня. Поэтому, если вносить изменения в документы Office, в OneDrive можно бесплатно просмотреть их предыдущую версию. Файлы OneDrive недоступны без вашего на то разрешения. Несмотря на это, OneDriveне шифруетзагружаемые на его сервер файлы. Таким образом, можно обеспечить более высокий уровень безопасности для своих данных, можно воспользоваться сторонними сервисами для шифрования, например,Boxcryptor.

Dropbox - это один из самых популярных провайдеров онлайн-хранения данных. Его используют как в личных, так и в коммерческих целях. Dropbox- это исключительно облачное хранилище. Так что все их силы сконцентрированы на облаке..

Dropbox говорит, что безопасность данных - это их первоочередный приоритет. При подписке на Dropbox можно заметить, что этот процесс довольно простой и быстрый. Потребуется ввести имя, адрес электронной почты и пароль. Страница создания учетной записи предложит использовать надежный пароль. Тем не менее, обязательства относительно поддержания определенного уровня безопасности отсутствуют.

Подписка на Dropbox может не потребовать немедленной верификации электронного адреса, но для того, чтобы беспрепятственно обмениваться файлами, необходимо подтвердить свою электронную почту. Все эти опции будут доступны по мере использования сервиса.

Dropbox предлагает функцию версии файлов для того, чтобы можно было вернуться к старой версии необходимых файлов. Если файл был отредактирован, а позже понадобилось получить его предыдущий вариант, просто нажать на правую кнопку мыши на новой версии файла, и выберите опцию «Предыдущие версии» в контекстном меню.

Учетная запись Dropbox предоставляется с целым рядом дополнительных систем безопасности. Также можно использовать двухшаговую верификацию, при которой необходим ввод уникального кода при каждом входе в Dropbox. Этот код можно получить на мобильный телефон. Также можете получить код через приложение для смартфонов. В любом случае, двухфакторная аутентификация может существенно увеличить уровень безопасности вашей учетной записи.

На странице настроек безопасности Dropbox также можно мониторить и управлять подсоединенными устройствами, журналом посещений, привязанными приложениями и т. д., с целью предотвращения несанкционированного доступа.

Dropbox использует соединение HTTPS на своем сайте и во время передачи данных между вами и облачным хранилищем. Можно контролировать доступ к файлам с помощью опций обмена данными.

Сам Dropbox не предоставляет опцию шифрования файлов до загрузки на их сервер. В Dropbox уверяют, что они шифруют файлы во время передачи и в течение всего остального времени. Тем не менее, можно зашифровать файлы до отправки на Dropbox. Для этого существует целое множество инструментов.Boxcryptor- один из них. Он использует стандартную технологию шифрования «AES-256 bit», чтобы еще больше увеличить уровень безопасности ваших файлов.

Copy - один из самых популярных сервисов облачного хранения данных, конкурирующий с Dropbox, Google Drive, OneDrive и т. д. Сервис также предлагает бонус за привлечение новых клиентов, с помощью которого существующие пользователи могут увеличить свое бесплатное пространство. Процесс регистрации на Copy занимает всего несколько секунд. Вас попросят указать имя, адрес электронной почты и пароль. В процессе регистрации на Copy. Все что было указано касательно пароля - он должен состоять как минимум из 6 символов.

Copy.comиспользует безопасное HTTPS соединение во время передачи данных между пользователем и своим сервером. Компания такжеутверждает, что они хранят данные в зашифрованном формате. Но несмотря на это, нельзя самостоятельно шифровать данные на Copy.com. Но никто не отменял сторонние сервисы по шифрованию данных перед их отправкой на Copy. Так что спокойно можно вначале зашифровать файлы, а потом отправить их на хранение в Copy.

Copy.com не предлагает двухшаговой верификации, которая играет очень большую роль в поддержании безопасности учетной записи. Надеюсь, что вскоре они начнут предлагать эту ценную опцию.

В Copy есть функция проверки истории файлов, с помощью которой можно получить предыдущие версии своих файлов. К сожалению, в Copy.com нету опции просмотра истории посещений учетной записи.

Несмотря на прекрасный пользовательский интерфейс и функциональность, Copy все еще не хватает некоторых необходимых функций.

Сервис Mega, который известен своей конфиденциальностью. Mega был основанKim Dotcom. Сервис предоставляет каждому новому пользователю 50 Гб бесплатного пространства. Для регистрации в Mega необходимо предоставить такую основную информацию, как имя, адрес электронной почты, пароль и т. п. Mega требует использовать надежный пароль. Если пароль недостаточно сложный, вы получите следующее сообщение: ‘ваш пароль недостаточно надежен чтобы продолжить’.

Mega использует HTTPS соединение и технологию шифрования клиентской части. Это значит, что локально зашифрованная информация будет отправлена на Mega. При загрузке информации с сервиса, она расшифровывается. Как утверждается на странице помощи по вопросам безопасностиMega, ваши файлы невозможно читать на сервере. Компания настоятельно рекомендует не терять пароль. Пароль к Mega это не только пароль, а код, который открывает основной ключ дешифровки. Mega утверждает, что пароль на сервисе восстановить невозможно. Если нет резервной копии основного ключа дешифровки то, тогда потеряется и все данные, хранящиеся на сервере сервиса.

Тем не менее, существуют сообщенияо том, что в системе шифрования Mega на базе браузера есть определенные слабости.

Mega предлагает прекрасные средства безопасности, но, к сожалению, истории версий файлов у сервиса нет. Можно восстановить удаленные файлы с помощью приложения ‘SyncDebris’ от Sync Client, или из папки ‘Rubbish Bin’ на Mega. Для мониторинга активности Mega предоставляет опцию журнала посещений и опцию управления приложениями.

Интересно то, что у Mega нет опции двухшаговой верификации, которая могла бы намного улучшить усилия сервиса, касающиеся конфиденциальности и безопасности.

В данном разделе были подробно рассмотрены доступные средства безопасности популярных провайдеров облачного хранения данных, таких как Google Drive, Dropbox, Copy и Mega. Что касается безопасности, у всех у них есть собственные и особые предложения. Теперь посмотрим какие же основные средства безопасности предлагают эти сервисы. Ниже представлен удобный для ознакомления контрольный список.

    Требование к надежности пароля: Google, Microsoft и Mega требуют использовать надежный пароль. Dropbox и Copy более гибкие в этом плане.

    Требование верификации адреса электронной почты: Все сервисы рано или поздно требуют верифицировать свой электронный адрес.

    Двухшаговая верификация: Google Drive, OneDrive и Dropbox предоставляют двухшаговую верификацию. Copy и Mega на данный момент не предоставляют такой опции.

    Шифрование клиентской части: Только Megaпредлагает шифрования клиентской части. Это осуществляется с устройства, с которого загружаются файлы.

    Шифрование серверной части: Dropbox, Mega и Copy хранят файлы на серверах в зашифрованном виде. Где можно использовать локальное шифрование, чтобы избежать рисков.

    Использование безопасного соединения (HTTPS): Все эти провайдеры используют безопасное соединение HTTPS. Тем не менее, Mega дает пользователям выбор его отключить (по выбору).

    Использование секретных вопросов для верификации пользователей: У Google Drive эта опция доступна. OneDrive, Dropbox, Copy и Mega на данный момент не используют секретный вопрос.

Из вышеуказанного становится ясно, что Google Drive предоставляет почти все средства безопасности, кроме шифрования. Microsoft OneDrive и Dropbox идут следом за ним. Mega предоставляет такое сложное средство безопасности, как шифрование, но на сервисе отсутствует двухшаговая верификация. Copy необходимо поработать над тем, чтобы превратить прекрасное облачное хранилище в более безопасную среду с помощью двухшаговой верификации, требования к надежности пароля и других инновационных систем безопасности.

За последние несколько лет появилось столько сервисов для удаленного хранения и синхронизации пользовательских данных, что отказаться от их использования уже почти невозможно. Тем не менее многих останавливают вопросы конфиденциальности. В конце концов, загружая файлы в облако, мы передаем их на чужой компьютер, а значит, доступ к нашей информации может иметь еще кто-то, кроме нас.

С другой стороны, сложно отказаться от многочисленных удобств, которые нам дают сервисы для хранения данных: наличие резервной копии файлов, возможность получить доступ к своим документам с любого устройства из любой точки мира, удобная передача файлов другим людям. Можно найти несколько способов решения проблемы безопасности удаленного хранения файлов. О некоторых из них и пойдет речь в этом обзоре.

⇡ Cloudfogger — бесплатное шифрование для любого облака

Возможно, самый простой способ заботы о безопасности файлов, хранящихся в облаке, — шифровать их вручную. Для этого можно использовать защищенные паролем архивы или же одно из множества существующих приложений для шифрования. Но для тех, кто имеет дело с большим числом документов, в которые постоянно вносятся изменения, такие способы не очень хорошо подходят. Раз уж сервисы для удаленного хранения файлов избавляют нас от необходимости загружать на них файлы вручную, то и процесс шифрования стоит автоматизировать. Это можно реализовать при помощи специализированной программы Cloudfogger. Она работает с Windows, Mac, а также может быть установлена на устройства с Android и iOS.

Приложение шифрует данные с использованием 256-разрядного шифрования алгоритмом AES (Advanced Encryption Standard), перед тем как они загружаются в облако. Файлы попадают на серверы Dropbox и других облачных хранилищ исключительно в зашифрованном виде, поэтому доступ к ним можно получить только в том случае, если на устройстве, с которого вы хотите открыть файл, тоже установлен Cloudfogger.

Очень удобно, что шифрование не вызывает неудобств в работе: ключ для доступа к файлам вводится лишь один раз, при загрузке системы, после чего можно работать с ними в обычном режиме. Но если, к примеру, ноутбук будет украден, то при следующем запуске злоумышленник уже не сможет узнать содержание файлов в защищенных папках.

В начале работы с Cloudfogger нужно создать учетную запись (причем для большей безопасности можно отключить опцию восстановления пароля, но в этом случае забывать его категорически не рекомендуется). Затем приложение само попытается найти папки популярных облачных сервисов Dropbox, SkyDrive, Google Drive и прочих. Но даже если Cloudfogger не справился с этой задачей в автоматическом режиме, все равно можно вручную выбрать директории, содержимое которых требуется шифровать.

Кроме этого, есть возможность определить отдельные файлы из любых других папок. Сделать это проще всего при помощи контекстного меню «Проводника» — Cloudfogger добавляет в него свой список команд.

Также предусмотрена возможность исключать из шифрования отдельные директории и файлы из тех папок, которые защищены Cloudfogger. Такие данные будут загружаться на облачные сервисы в обычном режиме. Стоит иметь в виду, что после того как синхронизируемая папка будет защищена Cloudfogger, потребуется некоторое время на повторную загрузку данных из нее в облачное хранилище.

Еще одна функция Cloudfogger — обмен зашифрованными файлами с другими людьми. Если данные, содержащиеся в облачных хранилищах, будут защищены приложением, стандартные способы отправки ссылок на них другим людям не подойдут. Но вот если разрешить доступ к файлам в интерфейсе Cloudfogger, можно безопасно обмениваться ими с другими людьми. Файлы, зашифрованные Cloudfogger, можно передавать на флешке или отсылать по почте.

Технически доступ к файлам работает так: каждый файл Cloudfogger (.cfog) содержит уникальный ключ AES, который в зашифрованном виде хранится в самом файле. Такие 256-разрядные ключи защищены ключами RSA, которые уникальны для каждого пользователя. Расшифровка происходит только в том случае, если доступ к файлу пытается получить тот пользователь, чей ключ RSA соответствует прописанному в заголовке файла.cfog. Если таких пользователей несколько, данные об их ключах, соответственно, заносятся в заголовки файлов.

Еще одно специализированное решение для обеспечения безопасности файлов на «облачных» сервисах — Boxcryptor. Первоначально созданное как дополнение к Dropbox, сегодня это приложение поддерживает все популярные сервисы для удаленного хранения файлов. Правда, в бесплатной версии доступно шифрование данных, хранящихся лишь на одном сервисе, а также нельзя включить шифрование имен файлов.

Boxcryptor автоматически определяет наличие установленных клиентов популярных сервисов для хранения файлов в облаке (поддерживается даже «Яндекс.Диск»), создает виртуальный диск и добавляет в него соответствующие папки. В настройках можно управлять всеми подключенными папками: добавлять новые, на время отключать шифрование и так далее.

Сервис предлагает поддержку всех основных платформ, как настольных, так и мобильных. Есть даже расширение для Google Chrome. Для работы с Boxcryptor потребуется создание учетной записи — забывать свой пароль категорически не рекомендуется!

⇡ Tresorit — облачный сервис с повышенным вниманием к безопасности

Если из соображений безопасности вы еще не используете никаких сервисов для удаленного хранения файлов, стоит обратить внимание на молодой проект Tresorit, запущенный около полугода назад. Сервис создан как альтернатива стандартным решениям для хранения файлов в облаке и готов обеспечить гораздо более высокий уровень конфиденциальности файлов.

Tresorit обеспечивает шифрование файлов на стороне пользователя. Таким образом, все данные хранятся на серверах сервиса уже в зашифрованном виде. Для шифрования используется стойкий алгоритм AES-256. При создании учетной записи пользователя предупреждают о том, что в случае потери пароля получить доступ к данным на удаленном сервере будет невозможно. Никаких способов для восстановления пароля не предусмотрено, поскольку пароль не хранится нигде: ни в установленном приложении, ни на серверах сервиса. А для пользователей, потерявших пароль, разработчики Tresorit предлагают единственное решение — зарегистрироваться заново.

За повышенную безопасность придется заплатить отказом от некоторых привычных функций. Например, вы не сможете получить доступ к своим файлам с чужого компьютера — веб-интерфейса у Tresorit нет. Пока что разработчики даже не обещают такой возможности, объясняя это тем, что в JavaScript множество уязвимостей. Впрочем, с учетом возможности установки приложения Tresorit на мобильных устройствах, этот недостаток не кажется таким уж серьезным — в конце концов, если нет возможности всюду носить за собой ноутбук, то смартфон уж точно почти всегда при пользователе.

Для обмена файлами используются приглашения, рассылаемые по почте. Настраивая общий доступ, можно назначать людям разные роли: одни могут только просматривать файлы, другие — вносить в них изменения и добавлять в папки новые файлы, третьи — плюс к этому еще и приглашать новых пользователей.

⇡ MEGA — безопасные 50 Гбайт в облаке с синхронизацией

До недавнего времени новое детище Кима Доткома вряд ли могло рассматриваться как альтернатива привычным сервисам для удаленного хранения файлов. Дело в том, что единственным способом загрузки файлов в него было перетаскивание их в окно браузера. Соответственно, ни об автоматической загрузке, ни о синхронизации речи не было.

Но с выходом приложения для Android , а также бета-версии клиента для Windows у сервиса появились эти две важнейшие возможности.

О самом сервисе и о принципах безопасности, на основе которых он создан, мы уже подробно писали в материале «Mega-возвращение Кима Доткома: 50 Гбайт в облаке бесплатно» , поэтому остановимся лишь на основных моментах. Итак, MEGA был создан как ответ на закрытие Megaupload американскими властями. Серверы, на которых хранятся пользовательские данные, расположены в Новой Зеландии. Все файлы шифруются на стороне пользователя, то есть перед отправкой на сервис, благодаря чему получить доступ к ним без знания пароля невозможно. В отличие от Tresorit, MEGA работает в браузере и дает возможность пользователям просматривать списки файлов, удалять и перемещать их, но онлайн-просмотр недоступен, так как они зашифрованы. Для просмотра файл нужно предварительно скачать на диск. Для шифрования используется 2048-разрядный ключ RSA, а забытый пароль восстановить невозможно, поскольку он одновременно является и ключом шифрования.

Поначалу у пользователей не было даже возможности поменять пароль, введенный при регистрации, но теперь такая возможность появилась. Более того, если пользователь уже вошел в свою учетную запись MEGA в браузере, но не помнит текущий пароль, он может его сменить, введя новый и затем перейдя по подтверждающей ссылке в письме, которое отправляется на привязанный к аккаунту адрес электронной почты.

Клиент MEGASync дает возможность синхронизировать содержимое любых папок на диске с виртуальными папками, имеющимися в учетной записи Mega. Прямо при первоначальной настройке можно выбрать, какие папки куда нужно бекапить.

Позже в настройках приложения можно добавить дополнительные папки. Настройки клиента также дают возможность просматривать информацию о свободном месте (напомним, Mega предлагает целых 50 Гбайт бесплатно), ограничивать скорость загрузки, использовать прокси.

Клиент MEGA для Android позволяет не только скачивать файлы, хранящиеся на сервере, но и автоматически загружать на сервис все фотографии и видеофайлы, сделанные камерой устройства. Также в клиенте доступны все основные операции по работе с файлами: удаление, перемещение, создание ссылок на файлы для обмена с другими людьми, поиск.

⇡ Заключение

Наличие на компьютере файлов, о содержании которых не стоит знать никому постороннему, — это еще не повод отказываться от использования сервисов для удаленного хранения данных. Просто нужно позаботиться о конфиденциальности, установив ПО для обеспечения дополнительной защиты или же отдав предпочтение одному из сервисов с шифрованием на стороне пользователя. Наиболее привлекательным среди всех рассмотренных решений выглядит Mega. Сервис предлагает очень большой объем дискового пространства бесплатно, обеспечивает шифрование файлов до загрузки на сервер без использования дополнительных утилит, а также дает возможность просматривать список файлов и управлять ими в браузере и с мобильного устройства на Android.

Идея облачных хранилищ гениальна. Вместо того чтобы хранить данные локально на используемых устройствах, внешних дисках и домашних сетевых хранилищах и во­зиться с доступом, синхронизацией и резервными копиями, пользователи по Интернету переносят файлы и папки в дата-центры служб и не знают забот. Доступ обеспечивается из приложения или программы-клиента, где бы пользователь ни находился - нужно только ввести пароль. Проблем с местом для хранения нет: сервисы предлагают до 30 Тбайт, причем за начальный период пользования плата не взимается.

И все же есть в бочке меда ложка дегтя, из-за которой забывается вся прелесть использования облаков. Пользователи передают в чужие руки свои данные: фото из последнего отпуска на море, или видео со свадьбы, или личную переписку. Поэтому в этом сравнении мы сосредоточились на безопасности десяти сервисов облачного хранения данных: IT-гигантов - Apple, Google, Microsoft, Amazon, двух хостингов - Box и Dropbox, - специализирующихся на облачном хранении, а также двух поставщиков услуг из России - «Яндекс» и Mail.ru.

Плюс миллиард пользователей за пять лет

Еще в 2015 году количество пользователей облачных хранилищ составляло около 1,3 млрд. К 2020-му их станет на 1 млрд больше.

Трафик данных - в три раза больше

В 2015 году пользователи облачных хранилищ передавали в среднем всего 513 Мбайт данных в месяц. К 2020-му объем увеличится втрое.


Функциональные возможности: можно ли верить рекламе

Поставщики, разумеется, знают, что пользователи придают безопасности особое значение, и должны идти навстречу их требованиям. Если бегло просмотреть все предложения, складывается впечатление, что облачные сервисы используют высочайшие стандарты безопасности и поставщики приклады­вают все усилия, чтобы защитить данные своих клиентов.

Впрочем, при более внимательном прочтении становится ­ясно, что это не совсем соответствует действительности и стандарты не всегда новые. Поставщики услуг исчерпывают возможности безопасного хранения данных далеко не полностью, а «высокий уровень безопасности», «SSL-защита» или «безопасное шифрование» - не более чем слоганы, позволяющие воспользоваться тем, что у большинства клиентов нет специальных знаний в вопросах безопасности.

Объем памяти в Сети

Сервисы облачного хранения данных завлекают клиентов бесплатными предложениями. За некоторую плату объем можно увеличить.

TLS - далеко не все

«SSL» и «HTTPS» - популярные и всем известные аббревиатуры из области безопасности. Но бдительность терять не следует. Этот вид шифрования - необходимость, но не гарантия исключительной безопасности данных. Криптографический протокол TLS (Transport Layer Security - «протокол защиты транспортного уровня»), в 1999 году официально заменивший SSL 3.0 (Secure Sockets Layer - «уровень защищенных cокетов»), обеспечивает защищенный обмен данными между веб-сайтом облачного хранилища и программой-клиентом на вашем компьютере или приложением на вашем смартфоне.

Шифрование во время передачи данных важно в первую очередь для защиты поступающих метаданных. Без TLS любой злоумышленник может перехватить передачу и изменить данные или украсть пароль.

Мы проверили облачные хранилища с помощью комплексного инструмента для тестирований Qualys (sslabs.com/ssltest). Все поставщики используют актуальную версию стандарта TLS 1.2. Шесть из них предпочитают 128-битное шифрование AES, четыре - более мощное AES 256. И то, и другое нареканий не вызывает. Все сервисы активируют дополнительную защиту Perfect Forward Secrecy (PFS - «совершенная прямая секретность») для того, чтобы переданные зашифрованные данные даже впоследствии нельзя было расшифровать.

HSTS же (HTTP Strict Transport Security - «строгая транспортная безопасность HTTP») - еще один механизм безопасности, который защищает от операций типа downgrade attacks, - большинство поставщиков не использует. Весь список, то есть TLS 1.2 с AES 256, PFS и HSTS, есть только у Dropbox.

Двойная защита доступа

Доступ к личным данным должен быть защищен двухэтапной верификацией. Amazon помимо пароля запрашивает PIN-код, который генерируется прило­жением.


Шифрование на сервере - вопрос доверия

Еще одна стандартная функция, кроме безопасной передачи, - это шифрование данных на сервере поставщика. Amazon и Microsoft, увы, составляют исключение из правил, не шифруя данные. Apple использует AES 128, остальные - более свежий AES 256.

Шифрование в дата-центрах - не диковинка: если злоумышленникам, несмотря на все меры безопасности, все-таки удастся украсть данные пользователя, им еще понадобится ключ - если только они не прибегнут к вымогательству. И часто именно тут возникает проблема: этот вид шифрования - весьма сомнительный выход, если поставщики хранят ключи к вашим данным.

То есть какой-нибудь администратор облачного сервиса легко может в любой момент просмотреть все ваши фотографии. Если верится с трудом, может, вариант доступа следственных органов к данным будет более убедительным. Конечно, поставщики всячески демонстрируют серьезное отношение к делу, но клиентам приходится пересиливать себя и проявить доверие, поскольку таким образом их данные защищены не полностью.


Dropbox обеспечивает безопасность с помощью 256-битного шифрования AES во время хранения и SSL/TLS во время передачи

Без шифрования end-to-end

Итак, большинство сервисов обеспечивает безопасность данных пользователей путем защиты передачи и шифрования на сервере, причем все участники нашего сравнения, которые шифруют данные пользователей, имеют ключи. Ни один из сервисов не использует шифрование end-to-end. Его принципиальное отличие от шифрования во время передачи и на сервере - шифрование с самого начала.


End-to-end подразумевает шифрование локально на устройствах пользователя и передачу уже в этом виде в дата-центры. При обращении к данным они возвращаются обратно к пользователю в том же зашифрованном виде и расшифровываются на его устройствах. Смысл в том, что пользователь, во-первых, отправляет данные исключительно в зашифрованном виде, а во-вторых, не выдает поставщику никаких ключей.

То есть даже если админ сгорает от любопытства, злоумышленник похищает данные или следственным органам нужно их раскрыть, ничего у них не получится.
С постоянным шифрованием тесно связана реализация так называемого «принципа нулевого разглашения» (Zero know­ledge).

В переводе на простой язык суть его в следующем: никто, кроме вас, не знает, как расшифровать ваши данные. Ни один поставщик услуг облачного хранения данных не получает информацию, которую можно использовать для расшифровки зашифрованных данных, - вы ему ничего не сообщали, у него «ноль знаний». Осуществить это на практике затруднительно и довольно неудобно, и участники нашего сравнения по этому критерию ничего представить нам не могут.

Без двухфакторной аутентификации

Очевидно, что поставщики занимаются вопросами безопасности данных своих клиентов, но почему-то не до конца продумывают план действий. Доступ к данным, хранящимся в об­лаке, эффективно защищает двухфакторная аутентификация. Суть его заключается в следующем.

Для успешного завершения процесса входа недостаточно только имени пользователя и пароля - нужен еще PIN-код, причем не постоянный, как, например, для банковской карточки, а генерируемый приложением на смартфоне или отправляемый по SMS на телефон. Обычно такие коды действительны в течение 30 секунд.

Пользователю нужно держать под рукой смартфон, привязанный к учетной записи, и во время выполнения входа после пароля ввести полученный код. Отечественные поставщики этот простой и эффективный метод защиты не предлагают, в отличие от интернет-гигантов, а также «узкопрофильных» Box и Dropbox.

Фактическая скорость облачных хранилищ

Мы измерили скорость облачных хранилищ по кабелю (до 212 Мбит/с), DSL (18 Мбит/с) и LTE (40 Мбит/с). На диаграмме представлена средняя скорость по всем способам соединения.


Сам себе шифровальщик. Boxcryptor шифрует файлы на устройстве и обеспечивает удобное управление аккаунтами в облачных хранилищах в одном окне. Пользователи могут выбрать, нужно ли им самим управлять ключом или нет

Местонахождение - тоже важный аспект

Несмотря на все старания, в домашних условиях невозможно достигнуть того уровня безопасности, который предлагает сервис облачного хранения данных в дата-центре, и это мощный аргумент в пользу облачного хранилища. В этом можно убедиться, взглянув на их оборудование. Все поставщики, кроме Drop­box, даже для бесплатных предложений сертифицированы по международному стандарту ISO 27001.

Немаловажную роль играет также местонахождение дата-центров. Серверы Amazon, Google и других компаний находятся в США и подпадают под действие американских законов. На серверы, которые находятся только в России, например, «Яндекс» и Mail.ru, соответственно, распространяются российские законы.


Чтобы не мешать работе других программ, Dropbox использует автоматическое ограничение в клиенте

Вывод: есть куда расти

Сервисы облачного хранения данных, которые мы рассмотрели, по безопасности предлагают только стандартный набор. Искать шифрование End-to-end или Zero knowledge не имеет смысла. Защиту передачи данных обеспечивают все сервисы, однако шифрованием на серверах Amazon и Microsoft не занимаются.

Зато дата-центры отвечают высоким требованиям информационной безопасности. Вместе с тем, облачного хранилища с идеальной защитой сравнение не выявило.

Преимущества поставщиков России - в местонахождении, однако самые простые методы защиты, например двухфакторную ­аутентификацию, они игнорируют. Вы должны сами позаботиться о постоянной защите данных, даже если это означает большие расходы и сложное управление.

В какой-то момент мы столкнулись с необходимостью организовать шифрованное хранилище для удаленного размещения файлов. После недолгих поисков нашел легкое облачное решение, которое в итоге полностью устроило. Далее я вкратце опишу это решение и некоторые особенности работы с ним, возможно, кому-нибудь пригодится. На мой взгляд, вариант надежный и вместе с тем достаточно удобный.

Архитектура
За основу я решил взять систему облачного хранения данных . Которая была установлена в OS Debian Linux v7.1 и развернута в виде виртуальной машины под гипервизором Proxmox Virtual Environment v3.1.

Систему облачного хранения данных установил на зашифрованный диск ОС Linux, доступ к данным возможен только по протоколу HTTPS, для авторизации помимо стандартного пароля необходимо ввести также одноразовый пароль (OTP). Регулярно осуществляется резервное копирование. Предусмотрена возможность экстренного отключения и удаления всех данных ownCloud.

Гипервизор Proxmox Virtual Environment
Гипервизор Proxmox Virtual Environment представляет собой специализированный дистрибутив OS Debian Linux v7.1, удаленный доступ к системе возможен по протоколу SSH на стандартном порту TCP 22. Однако основным рабочим инструментом для управления виртуальными машинами является Web-интерфейс.

Раз в сутки происходит генерирование горячей копии (snapshot) виртуальной машины ownCloud с экспортом ее на серверы NFS, используя стандартные возможности Proxmox VE.

На скриншоте, виртуальная машина в Web-интерфейсе имеет идентификатор 100 (ownCloud). Доступ к ее консоли возможен через пункт контекстного меню «Console».

Например, вот так выглядит ввод пароля для шифрованного диска во время загрузки:

Облачное хранилище данных ownCloud
Про установку ownCloud на хабре есть достаточно хорошая статья от пользователя BlackIce13 http://habrahabr.ru/post/208566/ там уже перечислены основные возможности и некоторые плюсы этой платформы.

От себя могу лишь добавить, что, на мой взгляд, существует несколько более простой способ установки ownCloud для дистрибутива ОС Linux Debian и многих других, нежели предложенный автором статьи. Доступны готовые репозитории: http://software.opensuse.org/download/package?project=isv:ownCloud:community&package=owncloud
В этом случае все необходимые зависимости ставятся автоматически, а от вас будет лишь требоваться скорректировать настройки под свою специфику.

OwnCloud развернул на базе ОС Debian Linux v7.1 внутри виртуального контейнера. Удаленный доступ к хранилищу возможен по протоколу SSH на стандартном порту TCP 22.
Основная работа с ownCloud осуществляется через Web-интерфейс, возможно также подключение через протокол WebDAV и использование клиентов синхронизации (Sync).

Кстати, поскольку доступ к ownCloud осуществляется через HTTPS логи доступа и ошибок ведутся сервером Apache в файлах "/var/log/apache2/access.log" и "/var/log/apache2/error.log" соответственно. Также ownCloud имеет свой собственный лог "/var/www/owncloud/data/owncloud.log".

Одноразовые пароли OTP
Для усиления безопасности доступ к ownCloud через Web-интерфейс возможен с использованием двухфакторной авторизации: традиционный пароль и одноразовый пароль OTP. Функционал OTP реализуется с помощью внешнего дополнения One Time Password Backend . Встроенной поддержки OTP у ownCloud нет.

Настройка основных параметров OTP осуществляется в разделе «Admin» под административной учетной записью.

На скриншотах настройки двухфакторной авторизации и одноразовых паролей подобранные для обеспечения совместимости с аппаратными генераторами FEITIAN OTP c200.
Алгоритм: Time-based One Time Password (TOTP)
Количество цифр в пароле: 6
Время жизни пароля: 60 секунд

Чтобы двухфакторная авторизация вступила в действие необходимо назначить пользователю Token Seed. До этого момента он может заходить в ownCloud, используя только лишь обычный пароль. Что собственно необходимо сделать сразу после создания пользователя, перейти в раздел «Personal» и ввести Token Seed в одноименное поле.

Генерировать Token Seed, используя встроенные возможности модуля OTP ownCloud, не рекомендуется, поскольку в алгоритме его работы наблюдаются проблемы. Формат ввода: Base32 (%32) UPPERCASE. Конвертировать Token Seed в разные форматы можно с помощью утилиты www.darkfader.net/toolbox/convert

Конкретно для этого проекта использовался Token Seed вшитый в аппаратный Token FEITIAN OTP c200. В общем случае можно использовать любой генератор паролей, а затем приводить его к нужному формату, используя приведенный в тексте конвертер.

Примером такого приложения для ОС Android может служить Android Token: https://play.google.com/store/apps/details?id=uk.co.bitethebullet.android.token&hl=ru

Проинициализированный Token Seed выглядит следующим образом:

Для отключения OTP достаточно удалить Token Seed из настроек. Если это невозможно, например, по причине того, что генератор OTP утерян, поэтому доступа к личному кабинету пользователя нет, то отключение OTP возможно только путем прямой модификации данных в СУДБ MySQL. Для этого необходимо запустить из командной строки клиент MySQL:
# mysql -uowncloud –p
Enter password:

Затем выполнить запрос аналогичный следующему, изменив значение поля «user» на необходимое:
mysql> delete from owncloud.oc_user_otp where `user` = "test";

Из-за архитектурных ограничений OTP работает только при доступе к ownCloud через Web-интерфейс, но не через WebDAV. Данный недостаток компенсируется тем, что список IP-адресов, которые могут использовать WebDAV, строго ограничен. Отвечают за это директивы «Allow from» в файле настроек сервера Apache "/etc/apache2/conf.d/owncloud.conf". Обратите внимание, что директивы там указываются дважды.

IP-адреса перечисляются через пробел. Необходимо удостоверятся в том, что в списке обязательно присутствуют IP обратной петли 127.0.0.1, а также публичный IP сервера самого ownCloud. В противном случае в работе WebDAV возможны сбои. После изменения настроек Apache его необходимо перезапустить:
service apache2 restart

Защита от брутфорса
В свежих версиях ownCloud ведется лог неудачных попыток авторизации: "/var/log/owncloud/auth.log". Содержимое "/var/log/owncloud/auth.log" контролирует сервис Fail2ban. Если им в течение короткого времени фиксируется 5 или более неудачных попыток авторизации с одного IP-адреса, то он блокируется фильтром пакетов IPTables на 10 минут. Если после автоматической разблокировки, попытки продолжаются, то IP блокируется повторно навсегда. Следит за работой Fail2ban можно в логе "/var/log/fail2ban.log".

Список IP-адресов, которые не должны блокироваться ни при каких обстоятельствах задается параметром «ignoreip» в файле настроек "/etc/fail2ban/jail.conf". IP перечисляются через пробел.

После изменения настроек Fail2ban его необходимо перезапустить:
service fail2ban restart

В случае необходимости вручную разблокировать какой-либо IP, необходимо выполнить на сервере из CLI команду аналогичную следующей, скорректировав в ней адрес:
iptables -D fail2ban-Owncloud -s 187.22.109.14/32 -j DROP

P.S.
Live версию ownCloud можно посмотреть на официальном сайте