Verschlüsselung Truecrypt vs NAS

[PsychoHH]

Ich will das Thema Sicherheit vs. Komfort nochmal kurz aufgreifen.

In einem anderen Thread hatte jemand behauptet dass er einen verschlüsselten Ordner über eine Remote DS eingehängt habe. Der Schlüssel sei auf einem USB Stick an der Remote DS gespeichert. Also hätte man den Komfort dass es beim Start automatisch passiert, wenn die DS aus dem Netzwerk entfernt wird dann bleibt der Ordner verschlüsselt. Ich finde so eine Lösung ziemlich "smart". Ich kann jedoch leider den entsprechenden Thread nicht mehr wiederfinden, noch hatte derjenige Einzelheiten gepostet.

Hat das jemand so oder so ähnlich bei sich gelöst? Hat jemand eine Idee wie das genau eingerichtet wird?

Also wahrscheinlich meinst du mich und kann es funktioniert perfekt.

Mounten tue einfach per keyfile dieser kann auf einen stick oder auf einer entfernen ds/PI oder wie in meinem Fall auf einem stick an einer entfernten fritzbox liegen. Der Vorteil liegt darin. Wenn meine ds geklaut wird ist der key nicht in der nähe der ds. Wenn ich den stick entferne oder eine der fritzboxen ausschalte oder die von Verbindung trenne ist der key auch nicht vorhanden. Man könnte auch alle x min checken ob der key noch verfügbar ist und wenn nicht trennen usw. Gibt ja tausend Szenarien.

 

[tale]

@Kniffo: Um noch eine Möglichkeit zu nennen:

Falls man gerne Truecrypt nutzen möchte, aber die Container-Dateien nicht mag: Mit iSCSI kann man dem PC eine externe Festplatte vorgaukeln, die tatsächlich jedoch virtuell über das Netzwerk angeschlossen ist und deren Daten auf dem NAS vorhanden sind.

Nach Aufbau einer Verbindung mit dem "iSCSI-Initiator" (zumindest unter Win 7 von Haus aus an Bord) erscheint die "Platte" dann als ganz normales Device in Truecrypt und kann dort wie gewohnt komplett verschlüsselt und genutzt werden.
Angenehmerweise sind Möglichkeitem für Snapshots und Backups NAS-intern gegeben.

Aber Vorsicht: Es dürfte ziemliche Probleme geben, falls mehrere PCs parallel auf die Daten zugreifen müssen/wollen.

 

[ralfi80]

@PsychoHH
Danke für die Rückmeldung! Ich finde Deine Idee genial! Das Keyfile auf der Fritz!Box ist sogar noch einfacher als auf der entfernten DS. Die Fritz!Box dürfte ja in der Regel ständig erreichbar sein. Wenn man nun die heimische Fritz!Box mit der entfernten Fritz!Box automatisch per VPN verbindet dann ist das Keyfile ja nur aus dem heimischen Netz erreichbar. Bei Diebstahl der DS sind somit die verschlüsselten Daten sicher. Und zuhause hat man den Komfort, dass automatisch mit dem Einschalten gemountet wird. Perfekt

Jetzt ist nur die Frage wie ich das einrichten kann?

Per DSM kann ich ja nicht auf das entfernte Keyfile verweisen. Also per Skript? Kannst du oder jemand anders mir da aushelfen, wie dieser Befehl lauten müsste?

 

[PsychoHH]

Ja ganz genau so habe ich das auch eingerichtet
Sollte die ds geklaut werdem schalte ich eine fritzbox einfach aus, trenne den stick oder entferne den Stick aus der fritzbox dann ist der key nicht mehr erreichbar.

Ich schicke dir das lieber nachher mal per pn

 

[Itf009]

Mir auch bitte

 

[Tommes]

@PsychoHH
Kannst ja auch ein Wiki schreiben

 

[PsychoHH]

Neeeeein das ist Top Secret

Nachrichten sind an euch beide raus

 

[Nightlover]

Neeeeein das ist Top Secret

Oder bekommt man das Skript auch nach?

Night

 

[PsychoHH]

Hast Post

 

[Dima]

Hast Post

Hi!

Könnte ich auch die Anleitung kriegen?

Danke & Gruß

 

[PsychoHH]

Extra dafür angemeldet?

 

[Dima]

Extra dafür angemeldet?

jap

sonnst hat es ein "read only" - mode vollkommen ausgereicht!

 

[Tommy75]

Hi PsychoHH,

nachdem der Schlüsselmanager im DSM6.1 bei mir einfach nicht funktionieren will, wäre ich auch brennend heiß an deinem Script oder der Anleitung dafür interessiert.

Danke.

 

[Arnie99]

Ich wäre auch sehr an einer komfortablen Script-Lösung interessiert. Da ich die verschlüsselten Ordner nur mounten möchte, wenn der PC läuft, würde ich die Schlüssel gerne dort ablegen.

 

[PsychoHH]

Beide post

 

[TeXniXo]

LOL
Wieso postest nicht einfach einen Link da rein?
Mir auch bitte

 

[cheffe81]

Hi PsychoHH


Ich hätte auch gerne eine Anleitung

 

[Barny-Bit]

Hi PsychoHH,

für mich bitte auch *smile*

wobei im Wiki wäre sicher ein guter Platz für sowas..

-bernhard

 

[Ramihyn]

Soweit ich das sehe, ist die Sache eigentlich relativ einfach zu bewerkstelligen. Ich musste mir nur ein paar Informationen aus verschiedenen Quellen zusammensuchen, um hinter den ach so geheimen Trick zu steigen, wie man das bewerkstelligen kann:

1. Fritz!Box-NAS-Funktion aktivieren und dafür sorgen, dass eingestecktes USB-Medium auf Netzwerkshare (CIFS) zur Verfügung gestellt wird.
2. Die Grundlagen der Anleitung hier (Frage/Antwort auf Stackexchange) nachvollziehen, um sich damit ein Shellscript zu erstellen. Wichtiger Aspekt: das für den ecryptfs-Mountbefehl notwendige Kennwort muss dabei entweder vom an die Fritte gesteckten USB-Medium geholt oder aus den darauf gespeicherten (Teil)Informationen zusammengesetzt werden.
3. im Aufgabenplaner vom DSM der Syno einfach eine "ausgelöste Aufgabe" (Benutzerdefiniertes Script) mit Ereignis "Hochfahren" anlegen, wo genau dieses in 2. erstellte Script geladen und ausgeführt wird.

Damit die Syno also beim Booten automatisch die verschlüsselten Ordner mounted und entschlüsselt, muss die Fritz!Box im LAN erreichbar sein, das USB-Medium muss dort eingesteckt und gemounted sein und die Kennwortkomponenten müssen darauf verfügbar sein. Ist irgendeine dieser Rahmenbedingungen nicht erfüllt, dann macht die Syno beim Booten nichts.
Wieweit man im Shellscript die Nichtverfügbarkeit des Kennworts/Schlüsselspeichers abfangen muss, um im DSM unschöne Fehlermeldungen zu vermeiden, weiss ich ( noch ) nicht. Ich hab das Shellscript selbst noch nicht geschrieben, sondern mir bisher grad nur fix die Grundlagen zusammengesucht. Für die Geheimniskrämerei von PsychoHH habe ich da wenig Verständnis. "Security by obscurity" hat noch nie längerfristig funktioniert.

 

[PsychoHH]

@cheffe81 leider erlaubst du keine pn.
@Barny pn ist raus.


@Ramihyn: das hat nichts mit Geheimniskrämerei zutun. Jedoch liegt bei der Scriptvariante das pw nicht als klartext da sondern es wird die keyfile benutzt. Und da man hierzu das Synology eigene pw braucht, muss ich das ja nicht öffentlich machen. Grund hierfür ist einfach, dass ich das ganze selbst benutze und ungern will, dass Synology daran etwas ändert.