Vertrauen ist eine Entscheidung im Aufbau

Gewoehnlicher Wolkenspeicher verlangt die Annahme eines einfachen Satzes: der Anbieter haelt die Daten, verspricht Verschluesselung im Ruhezustand und ist vertrauenswuerdig genug, nicht hineinzusehen, nichts zu verlieren und nichts herauszugeben. Meist ist dieses Vertrauen gut platziert. Das Problem ist, dass es ein Versprechen ist und keine Eigenschaft, und ein Versprechen kann durch eine Richtlinienaenderung gebrochen werden, durch einen Insider, durch einen falsch eingerichteten Speicherbereich oder durch eine Anordnung, von der niemand erzaehlt.

Storj behandelt dieses Vertrauen als das, was wegzukonstruieren ist. Eine Datei wird auf der eigenen Maschine verschluesselt, bevor etwas sie verlaesst, in Stuecke geteilt, durch eine Fehlerkorrektur mit Redundanz geschickt und dann ueber Tausende unabhaengig betriebene Knoten verteilt. Ein einzelner Knoten haelt ein Bruchstueck, das fuer sich genommen wertlos ist. Zur Wiederherstellung muessen genug dieser Stuecke zusammenkommen, und der Anbieter kann das nicht leichter als jeder andere.

Warum die Teilung fuer die Zuverlaessigkeit zaehlt

Das Argument der Ausfallsicherheit ist leichter zu greifen als das der Privatsphaere. Gewoehnlicher Objektspeicher haelt mehrere Kopien in einem Rechenzentrum, was eine sterbende Platte abfaengt, aber nicht eine ganze Region, einen Abrechnungsstreit oder ein Unternehmen, das aufhoert zu existieren. Stuecke auf Tausende unzusammenhaengende Betreiber zu verteilen bedeutet, dass ein grosser Teil gleichzeitig offline sein kann und die Datei trotzdem rekonstruierbar bleibt. Das ist ein anderes Fehlermodell, und fuer Archivdaten vermutlich das bessere.

Brauchbar statt nur interessant macht es die Schnittstelle. Der Dienst bietet eine standardisierte Objektschnittstelle, also arbeiten vorhandene Werkzeuge, Bibliotheken und Skripte mit einem geaenderten Endpunkt und einem anderen Schluessel. Das Kommandozeilenwerkzeug zum Abgleichen, das viele ohnehin nutzen, unterstuetzt es von Haus aus, ein Archivauftrag laesst sich also mit einer Zeile Konfiguration umlenken. Normtreue ist unspektakulaer und genau der Grund, warum dieser Aufbau fuer Leute erreichbar ist, die ihre Werkzeuge nicht umschreiben wollen.

Die Rechnung und die ehrlichen Grenzen

Die Preise teilen sich in Speicher und Verkehr, und beim Verkehr ist es konkurrenzfaehig: das Zurueckholen ist guenstig genug, dass die Gesamtkosten fuer eine Medienbibliothek, aus der gelegentlich gelesen wird, gut aussehen. Das freie Kontingent ist gross genug fuer eine echte Bewertung mit tatsaechlichen Daten statt mit einer Stichprobe. Unabhaengige Messungen haben es in dieser Kategorie in die vordere Gruppe gestellt, was mehr ist als eine Werbeaussage.

Die Grenzen sind ebenfalls real. Es ist Objektspeicher und kein Dateisystem, also passt es zu Sicherungen, statischen Inhalten und Archiven, nicht zu einer Datenbank oder einem Arbeitsverzeichnis. Die Verzoegerung bei kleinen zufaelligen Lesezugriffen ist bauartbedingt schlechter als bei einer lokalen Platte, weil eine Anfrage Knoten in mehreren Laendern beruehren kann. Und die Verwaltung ist zwar verteilt, in der Mitte steht aber weiterhin eine Organisation fuer Abrechnung und Koordination, also ist das ein verteilter Aufbau und keine Anarchie.

Der Wert liegt darin, dass es eine wirklich andere Form anbietet. Wenn jede Wolke wie jede andere aussieht, muss jemand die unterste Schicht neu bauen, bevor sich auf der Ebene der Grundsaetze etwas verbessern kann.

Praktische Schritte fuer eine Bewertung. Mit dem freien Kontingent und einer echten Last beginnen statt mit einem kuenstlichen Test, denn die Zahlen, auf die es ankommt, sind die eigenen. Schluessel mit den geringsten Rechten je Aufgabe verwalten, und fuer alles, was nicht verloren gehen darf, eine zweite Kopie anderswo halten, denn Redundanz innerhalb eines Anbieters ist nicht dasselbe wie Redundanz ueber Anbieter hinweg. Und vor dem Umzug eines Archivs die Preisseite fuer das Zurueckholen lesen, weil der Speicher nur die Haelfte der Rechnung ist und die andere Haelfte dann kommt, wenn die Daten gebraucht werden.