VU Transparenz & virtuelle Identitäten WS14

"Isolation kann als eine spezielle Variante des Schutzes der Privatsphäre angesehen werden, bei der die Datenverarbeitung durch Cloud-Dienste unterschiedlicher Geschäftsprozesse getrennt ist und Anbieter von Cloud-Diensten weder die Daten ihrer Nutzer einsehen noch den Zweck der Nutzung ihrer Dienste durch Cloud-Nutzer wissen sollten." (Q1)

Zusammenfassung Artikel:

Der Artikel "Isolation im Cloud-Computing und Mechanismen zum Schutz der Privatssphäre" wurde von Prof. Sonehara und Prof. Echizen vom National Institute of Informatics in Tokyo, sowie von Dr. Wohlgemuth von der TU Darmstadt, verfasst. Der Artikel ist in der dritten Ausgabe im Jahr 2011 in der Fachzeitschrift "Wirtschaftsinformatik" erschienen. Laut Sonehara et al. ist die Nutzung von Cloud-Computing längerfristig nur für unkrititsche Dienste geeignet, da kein Unternehmen der Cloud kritische Daten anvertraut. Als Grund dafür wird die fehlende Isolation der Datenverarbeitung genannt. Wie bereits im Eingangszitat beschrieben handelt es sich bei Isolation um eine spezielle Variante des Schutzes der Privatssphäre, wo die Verarbeitung von Daten durch Cloud-Lösungen verschiedener Geschäftsprozesse getrennt ist. Durch die nicht Nutzung von Cloud-Diensten im geschäftlichen Bereich, geht für Unternehmen das Potential der Kostenreduktion bei der IT verloren.

Die Autoren beschreiben im Artikel Mechanismen von der technischen Seite, welche zum Schutz der Privatsphäre und zur Isolation verwendet werden. Dabei ist die Rede von "Privacy-enhancing Technologies", kurz "PET", welche dem Einzelnen bei der Kontrolle seiner Datenherausgabe entsprechend der vereinbarten Datenschutzpolitik mit dem entsprechenden Dienstanbieter unterstützen sollen. (Q2)

Dabei werden von Sonehara et. al. bestehende PET in folgende Bereiche eingeteilt:

• Privacy Policy Languages

• Verschlüsselungsschemata

• Anonymität und Pseudonymität

Ich möchte hier im Beitrag diese drei Bereiche nur kurz behandeln, da die Autoren statt den PET als Lösungsvorschlag die Einführung einer Isolation der Datenverarbeitung vorschlagen. (Q3)

In dem Bereich Privacy Policy Languages, wurde 2002 vom W3C, die Platform for Privacy Preferences, kurz P3P, standartisiert. Es handelt sich dabei um maschinenlesbare Regeln zur Erhebung und Verarbeitung von Daten, welche vom Anbieter auf seiner Website veröffentlich werden. Der Webbrowser, wenn P3P installiert ist, liest die Policy beim Aufruf der Seite und vergleicht sie mit den Datenschutzeinstellungen des jeweiligen Benutzer. Zu diesen Bereich passt auch ganz gut, die von meiner Kollegin Frau Eibl, in ihrem Beitrag behandelte Privacy Rule Definition Language", kurz PRDL.

Im Artikel werden zwei verschiedene Verschlüsslungsschemata beschrieben, das Adaptive Privacy Management System, kurz Adaptive PMS, von Hewlett-Packard und die Homomorphische Verschlüsselung. Beim Ersteren werden persönliche Daten von mehreren Personen verschlüsselt in einem Datencenter gespeichert und nur vertrauenswürdige dritte Parteien (Übereinstimmung Datenschutzpolitik) erhalten den Entschlüsselungschlüssel. Jedoch muss die dritte Partei, als Datenkonsument, die Daten zur Weiterverarbeitung entschlüsseln und sind somit nicht mehr geschützt bzw. hat die betroffene Person die Kontrolle darüber verloren. Bei der homomorphischen Verschlüsselung können die Daten für statistische Zwecke genützt werden und sind gleichzeit geschützt. Dieser Mechanismus ist nur für Dienstleistungen geeignet für die der Datenkonsument den Klartext der Daten nicht benötigt.

Die Anonymitäts- und Pseudonymitätsmechanismen zielen darauf ab, das Transaktionen von einzelnen Benutzern nicht verknüpfbar sind, damit wird die Erstellung eines nicht zugestimmten Profilbildes erschwert. Anonymitätsmechanismen sind für personalisierte Dienstleistungen nicht geeignet, aber Pseudonymitätsmechanismen erlauben die kontrollierte Herausgabe und Erhebung persönlicher Daten bei gleichzeitiger Zurechenbarkeit zu dem Nutzer.

Diese beschriebenen Privacy-enhancing Technologie  stellen eine Zugriffskontrolle auf persönliche Daten, welche vom betroffenen Nutzer kontrolliert wird, dar. Jedoch gehen diese Technologien davon aus, dass dem Nutzer die Datenerhebung bewusst ist und pseudonymisierte oder verschlüsselte Daten für die Dienstleistung ausreichen. Bei der unbewussten Datenerhebung ist der Schutz von PET unbrauchbar und vor allem benötigen viele Geschäftsprozesse die Weitergabe von persönlichen Daten. Aus diesem Grund schlagen die Autoren die Einführung einer "Isolation durch die Definition von autorisierten Kooperationen zwischen Cloud-Nutzern und Cloud-Diensten" vor. Dabei werden die autorisierten Datenflüsse, welche während eines Geschäftsprozesses stattfinden dürfen, definiert. Der Cloudnutzer delegiert an den Clouddienstanbieter welche Zugriffsrechte für welche Daten vorhanden sind. Zugriffsrechte und Freigaben für die Datenutzung werden vom einzelnen Cloudnutzer definiert und an den Anbieter übertragen. Diese können fallweise erstellt werden, aber auch jederzeit widerrufen werden.

Die Abbildung aus dem Artikel von Sonehara et. al. zeigt das Zugriffskontrollmodell der Delegation von Rechten in den beiden Zugriffskontrollbereichen. Die Ellipsen stellen einen Referenzmonitor, welche eine logische Einheit die für die Kontrolle und Durchsetzung von Zugriffsrechten zuständig ist, dar. Die durchgezogene Linie sind freigegebene Zugriffe auf die Daten und die gestrichelte Linie zeigt die Übertragung von Rechten dar. (Q4)

 Die Teilnehmer dieses Zugriffskontrollmodell sind folgende: (Q5)

• Cloud-Nutzer

• Cloud-Dienstanbieter

• Auditor

• Certification Authority (CA)

Cloud-Nutzer sind Datenanbieter, wenn sie einem Cloud-Dienst Zugriff gewähren. Der Nutzer als Dateneigentümer überträgt die Autorisierungen für die Datenfreigabe (je nach Datenschutzpolitik) an den Anbieter. Cloud-Anbieter sind Datenkonsumenten, wenn sie die Daten eines Cloud-Nutzers verarbeiten. Aber der Cloud-Dienst ist Datenanbieter, wenn er die Daten an Dritte weitergibt. Ein Auditor überprüft, ob die gesetzten Regeln zur Datennutzung nicht gebrochen werden, wenn doch, so identifiziert der Auditor den Verursacher. Die Certification Authority zertifiziert die Identitäten der Cloud-Nutzer und Cloud-Dienstanbieter.

Bei der Übertragung von Rechten stellen die Autoren 7 Anforderungen für die Isolation der Datenverarbeitung im Cloud-Computing: (Q6)

• Der Zugriff auf die Daten des Nutzers erfolgt nur dann, wenn der anfragende Cloud-Dienstanbieter die nötigen Rechte dazu hat.

• Die CA stellt einem Cloud-Dienstanbieter nur eine Autorisierung aus, wenn der betreffende Cloudnutzer ausdrücklich zugestimmt hat.

• Nur autorisierte Cloud-Dienstanbieter sollen Zugriff auf die entsprechenden Daten des Cloud-Nutzers erhalten. Zusätzliche Daten dürfen nicht weitergegeben werden.

• Ein Cloud-Dienstanbieter darf Daten eines Nutzers (A) in den Datensatz eines anderen Nutzers (B) schreiben, wenn der Nutzer A das Leserecht und der Nutzer B das Schreibrecht an den Dienstanbieter übertragen haben.

• Ein Dienstanbieter darf auf Daten des Nutzers, welche bei einem anderen Anbieter liegen, nur zugreifen, wenn er ein Zugriffsrecht dafür hat. (siehe rechtes Bild)

• Wenn der Dateneigentümer dem Clouddienstanbieter die übertragenen Rechte widerruft, muss dieser die entsprechenden Daten löschen.

• Für Soll/Ist- Zustandsvergleich des Auditors betreffend der Datenweitergaben, muss eine Historie der Datenweitergabe dokumentiert werden.

Fazit & Relevanz zur Thematik Transparenz

Für mich ist der Lösungsvorschlag der Autoren in diesem Artikel nur sehr abstrakt dargestellt, ohne praxisbezogene Beispiele und Anwendungen kann ich mir darunter nur begrenzt etwas vorstellen. Auch fehlt mir im Artikel die Vorgehensweise zur Umsetzung der beschriebenen Trennung der Datenverarbeitung in Geschäftsprozessen zum Schutz der Privatsphäre. Ebenfalls wird die technische Umsetzung und deren Zusatzkosten nicht näher erörtert.

Die Autoren zeigen im Artikel gut, dass die Kontrolle der eigenen Daten und die Transparenz der Vorgänge weit über den normalen Datenzugriff hinausgeht. Das Cloud-Computing hebt die Grenzen des Zugriffskontrollbereichs der IT-System der Unternehmen, infolge der Verwendung von Clouds durch die Mitarbeiter, auf. Viele Daten werden außerhalb des eigenen IT-Systems bei der Ausführung von Geschäftsprozessen der Cloud-Nutzer verarbeitet. Im Artikel wird gezeigt, dass die Anwendung der traditionellen Sicherheitsmechanismen (PET) für die Durchsetzung der Vertraulichkeit von Daten der Cloudnutzer zu Konflikten mit der Verfügbarkeit der Cloud-Dienste führt.

Quellen:

Q1) Sonehara et al. (2011), S. 151

Q2) Sonehara et al. (2011), S. 152

Q3) Sonehara et al. (2011), S. 153-154

Q4) Sonehara et al. (2011), S. 156

Q5) Sonehara et al. (2011), S. 155-156

Q6) Sonehara et al. (2011), S. 155-156