Zero Knowledge

Zero Knowledge ist eine im Bereich Cloud Computing verwendete Technologie, die dem Nutzer maximale Privatsphäre gewährleisten soll. Dabei beschränkt sich der Anbieter selbst, indem er als Konsequenz mehrerer kryptographischer Maßnahmen keinen Einblick in die gespeicherten Dateien erhält.

Hintergrund[Bearbeiten]

Im Juli 2014 gab Whistleblower Edward Snowden der britischen Tageszeitung The Guardian ein Interview aus dem russischen Exil. Darin kritisierte Snowden den US-amerikanischen Cloud-Speicherdienst Dropbox scharf und brachte den Begriff Zero Knowledge als Basis für die sichere Datenspeicherung ins Spiel. Mitarbeiter von Dropbox könnten auf alle bei dem Anbieter gespeicherten Dateien im Klartext zugreifen, da diese unverschlüsselt auf den Unternehmensservern gespeichert würden. Zudem sei das Unternehmen „Privatsphäre-feindlich“ eingestellt, was sich auch dadurch zeige, dass Dropbox Condoleezza Rice in seinen Verwaltungsrat berufen habe.^[1] Der ehemalige NSA-Mitarbeiter appellierte an das Nutzerverhalten und rief dazu auf, stärker auf die eigene Privatsphäre zu achten. So sollte man seine Daten nur bei Cloud-Anbietern speichern, die auf das Zero-Knowledge-Prinzip setzen.

Aus Snowdens Sicht ist ein auf Zero Knowledge basierendes Produkt die „einzige Möglichkeit für Cloud-Anbieter, ihren Nutzern zu beweisen, dass sie ihnen vertrauen können und verantwortungsvoll mit den Informationen umgehen.“^[2] Der von Snowden empfohlene Anbieter wies jedoch später darauf hin, dass die Beschreibung ihrer Software als „Zero Knowledge“ technisch inkorrekt sei.^[3]

Definition[Bearbeiten]

Konkret versteht Snowden unter dem Begriff Zero Knowledge, dass niemand die Möglichkeit hat, auf Dateien von Nutzern zuzugreifen, auch nicht die Mitarbeiter eines Datentransfer-Anbieters oder Cloud-Speicherdienstes. In der Praxis wird das dadurch realisiert, dass die Dateien schon auf den Endgeräten der Nutzer verschlüsselt werden, während der Ablage auf dem Anbieterservern verschlüsselt bleiben und erst beim Empfänger durch die Eingabe eines komplexen Passworts wieder entschlüsselt werden. Zusätzlich zu dieser Ende-zu-Ende-Verschlüsselung muss außerdem sichergestellt sein, dass der Anbieter den zur Umwandlung in Klartext benötigten Schlüssel nicht kennt.^[4]^[5] Hierin liegt die aktive Beschränkung von Zero Knowledge: Der Anbieter muss den Nutzer authentifizieren und ihm Zugriff gewähren können, ohne dass er selbst Zugriff auf die Schlüssel der Nutzer hat. Erst dann kann Ende-zu-Ende-Verschlüsselung auch als Zero Knowledge bezeichnet werden.^[6]^[7] Die Namensgebung lehnt sich an dem in der Kryptographie verwendeten Zero-Knowledge-Beweis an.