DS213j - Datensicherheit bzgl. Diebstahl

[mike3k]

Hallo,

ich interessiere mich für die 213j. Haupt-Usecase ist die Ablage von Daten aller Art: Dokumente, Grafiken, Code-Repos usw. Backup online automatisch ins Hidrive via rsync. Zarafa ist auch recht interessant.

Ich habe nur augenscheinlich irgendwie ein Problem mit dem Gerät (bzw allen NAS), ggf irre ich mich aber auch, daher frage ich lieber mal nach!

Ich möchte, dass meine Daten bei physischen Diebstahl sicher sind.

1. Dazu gibt es ja die AES Kodierung, wobei die 213j ja extra einen unterstützenden Chip haben soll. Das PW möchte ich nicht unbedingt immer eingeben müssen. Aber wenn ich es im Gerät speichere, kann man die Platten ausbauen und es auslesen, richtig?

2. Der ssh-key für hidrive, liegt der dann auch plain auf dem Gerät?

3. Zarafa: Gilt für dessen Daten das gleiche, d.h. auch nicht wirklich absicherbar?

Thx für eure Antworten!

 

[Merthos]

Tja, so ist das halt. Entweder bequem oder sicher, beides ist nicht.

 

[mike3k]

Warum das? Mir fallen auf Anhieb (!) zwei Lösungswege ein, die man ins Gerät einbauen könnte!

1. Beim jeder Einrichtung generiert das Gerät einen Key, den man meinetwegen extern zwecks Wiederherstellung bei Gerätedefekt nutzt. Mit dem Key wird ALLES auf den HDDs verschlüsselt. Der Key selbst könnte in einem Flashspeicher liegen. Resettet man das Gerät, wird der Schlüssel verworfen und ab is der Lack!

Klar könnte "man" den Key ausm Flash extrahieren, aber das wird ein "normaler" Dieb kaum tun...

2. Key via USB Stick beim Start als Ersatz für den Flashspeicher, ähnlich wie es auch bei Thecus gemacht werden kann. Gibts hier vielleicht gar "Bastelansätze" für die DS?

 

[raymond]

Schlag das alles Synology vor:
http://www.synology.com/support/beta_form.php?lang=deu

Synology hat eine Freigabeverschlüsselung, aber damit laufen nicht alle Dienste (kannst du ja auch vorschlagen, dass mit mehr Diensten das machbar ist), siehe: http://www.synology.de/support/tutorials_show.php?lang=deu&q_id=455 mehr ist momentan nicht drin. Die Freigabeverschlüsselung macht auch alles verdammt langsam, weswegen das erst bei richtig großen NASes zu empfehlen ist.

Oder du musst halt zu einen TrueCrypt Container greifen.

 

[Matthieu]

@mike3k: Der zweite Vorschlag kommt hier immer mal wieder. Hat eben nur den Haken dass die Sicherheit damit vom USB-Stick abhängt. Da kann man meiner Meinung nach auch gleich die ganze DS sichern anstatt Performance zu verlieren und dann auf den Stick aufzupassen. Man verlagert den Schwerpunkt nur.
Eine Verschlüsselung der gesamten Platte findest du u.a. bei QNAP. Damit geht allerdings auch ein deutlich größerer Performanceverlust einher verglichen mit der Ordnerbasierten Lösung. Ich frage mich bei dem Vorschlag außerdem: Wer soll den Reset machen? Ist ja schön dass der Key auf einem Flash liegt, aber auch dessen Löschung muss erst mal veranlasst werden. Es ist auch nicht gesagt, dass Synology den Key nicht im Flash-Speicher der DS ablegt. Ich habe nie groß danach gesucht, aber habe auch noch nicht gelesen dass jemand über den Key auf der DS gestolpert ist.

MfG Matthieu

 

[Merthos]

Alle Keys liegen aktuell auf der Platte.

Zur Verwendung eines USB-Keys hatte ich hier mal was vorgestellt. Sofern Du das Backup nach HiDrive selber machst, wäre so eine Lösung auch dafür denkbar.

Allerdings bleibt dann die Frage, warum Du überhaupt eine DS haben willst. Ein Selbstbau mit irgendeiner Secure-Linux-Variante sollte Deine Wünsche deutlich einfacher erfüllen.

 

[nachon]

Zu deinem dritten Punkt im ausgangsthread: geht Zarafa überhaupt mit der 213j? Ich meine nicht.

 

[mike3k]

Ich antworte mal gesammelt. Ja die USB-Lösung ist nicht die beste, Idealfall wäre aus allen Sichten ja die Lösung Nr. 1 und sie ist definitiv kein Hexenwerk und sollte von Synology eigentlich in jedes Gerät eingebaut werden. Im Endeffekt ist das eine transparente Verschlüsselung, dank "Crypto-Chip" sollte sich das auch überhaupt nicht auf die Performance auswirken! Daher verstehe ich nicht, warum sowas KEIN Hersteller hat - ich kenne dagegen einige Leute, die das wollen und der wirkliche Bedarf ist ja nicht geweckt, da die meisten sicher nicht wissen, dass Ihre angelegten Nutzerkonten "für'n Poppes" sind, wenn man die Platten ausbaut. Ebenso Zugänge zu Backup-Diensten, Mailkonten usw... Eigentlich ja schon fast fahrlässig?

> Ein Selbstbau mit irgendeiner Secure-Linux-Variante sollte Deine Wünsche deutlich einfacher erfüllen.
Hab ich vorher auch schon überlegt, mit einem kleinen Revo auch schon probiert. Aber das ist mir zuviel Frickelei (bin jetzt auch eher nicht der Linux Crack. Große Kernel-/Systemupdates traut man sich da nicht zu machen... Daher will ich eher ein System, das verbreitet ist etc.

> Zu deinem dritten Punkt im ausgangsthread: geht Zarafa überhaupt mit der 213j? Ich meine nicht.
Wegen dem ARM? Hier (http://www.synology.de/dsm/dsm_app.php?lang=deu#dsm_app_content_tabs_by_3rd_party) stehen für 2013er Modelle: RS10613xs+, RS3413xs+, DS2413+, DS1813+, DS1513+, DS713+, DS413j, DS213, DS213air

Vielleicht fehlt die "j", weil noch neu? die 213 und 213air haben doch auch einen ARM? Die 413j steht ja auch dabei...

 

[Merthos]

Fahrlässig? Nun ja, hast Du Deine PINs/TANs, Verträge, Versicherungsunterlagen usw. auch im Hochsicherheitstrakt liegen oder nur einfach im Stubenschrank in einer Schatulle? Wenn jemand in meine Wohnung einbricht, dann ist die DS meine kleinere Sorge, und dann eigentlich mal nur im Sinne von hab ich noch ein Backup.

Ich denke Du überschätzt den Bedarf und ich glaube nicht, dass sich das wirtschaftlich für einen NAS-Anbieter lohnen würde.

 

[Matthieu]

Die 213j hat einen ARMv7. Der ist bei Synology nicht gerade verbreitet. Der "Hardware-Code" in spk's ist "armada370".
Siehe: http://forum.synology.com/wiki/index.php/What_kind_of_CPU_does_my_NAS_have
Ist also mit den von dir genannten Geräten nicht gleichzusetzen.

MfG Matthieu

 

[mike3k]

Fahrlässig? Nun ja, hast Du Deine PINs/TANs, Verträge, Versicherungsunterlagen usw. auch im Hochsicherheitstrakt liegen oder nur einfach im Stubenschrank in einer Schatulle? Wenn jemand in meine Wohnung einbricht, dann ist die DS meine kleinere Sorge, und dann eigentlich mal nur im Sinne von hab ich noch ein Backup.

Ich denke Du überschätzt den Bedarf und ich glaube nicht, dass sich das wirtschaftlich für einen NAS-Anbieter lohnen würde.

Genau das finde ich eben nicht! Die Dinger werden ja eben auch im SOHO Bereich genutzt... Szeanrio: Ein solcher Benutzer (z.B. Arzt, Versicherungsvertreter usw) hat so einen Kasten rumstehen und auf dem ist alles gesichert. Er meint, durch die Benutzerkonten ist ja alles paletti. Es gibt einen Einbruch, das Ding verschwindet und landet bei Ebay. Irgendwer kaufts, sieht die Daten und stellt sie ins Netz. Skandal da, der ursprüngliche Besitzer hat erstmal ein existenzbedrohendes Problem und was seine Clienten angeht lassen wir gleich mal außen vor... Na gute Nacht! Klärt mal die Benutzer auf und schon ist der Bedarf da! Und als Gewerbetreibener hat man "eigentlich" auch die Pflicht (Datenschutz etc), die Daten sicher zu verwahren! Auch manipulationssicher, was bei den Kisten ja so nicht unbedingt gegeben ist... (Platte rausbauen, Daten verändern, wieder reinhängen - geht ja, gelle?)

Wirtschaftlich lohnen... Ahja, da sind wir wieder... a) kostet sowas nicht wirklich Geld (Flashbaustein für den Key (50ct?) + Softwareanpassung für transparente Verschlüsselung, Lösungen gibt es bereits (z.B. LVM+LUKS)!!!) und b) lohnt sich das schon, denn sowas kaufen die Leute definitiv... Und ähnliche Dinge gibts ja am Markt und werden eingesetzt. Diese Key-Geschichte z.B. ist mE so am IPhone umgesetzt (wohl schon immer? ich hab keins...), s. sonst eben auch: Truecrypt, DiscCryptor, Bitlocker als Vollauffwerksverschlüsselung) usw... Bitlocker nimmt den TPM-Chip, ersatzweise eben USB-Stick / Passphrase. Also alles kein Hexenwerk und kommt mir bloß keiner mit den "Unkosten"!

PS: Pins habe ich logischerweise keine Rumliegen, genauso wenig wie TANs. Restliche Unterlagen die wichtig sind, gehören in ein Bankschließfach und gut ist. Die Masse davon wird auch kein Dieb mitnehmen, was soll er auch damit. Bringt ihm ja kein Geld!

@Matthieu: Thx für den Link. Das ist ja alles ein Durcheinander mit den CPU's ^^ Sollte ein v7 nicht abwärtskompatibel zum v5 sein? Oder hat der 5er dort irgendwelche Erweiterungen drin, die der 7er net hat etc?

 

[Matthieu]

v5 und v7 sind unterschiedliche Architekturen und damit nicht Binärkompatibel. Deswegen auch der zusätzliche Hardware-Code für spk's. Jede Architektur hat da ein eigenes Kürzel.

MfG Matthieu

 

[Puppetmaster]

Genau das finde ich eben nicht! Die Dinger werden ja eben auch im SOHO Bereich genutzt... Szeanrio: Ein solcher Benutzer (z.B. Arzt, Versicherungsvertreter usw) hat so einen Kasten rumstehen und auf dem ist alles gesichert. Er meint, durch die Benutzerkonten ist ja alles paletti.

Und genau aus dem Grund kannst du ja auch deine Ordner verschlüsseln. Und wenn du sensible Daten hast, dann hast du zum einen die Pflicht, dich über Sicherheitsaspkete zu informieren und zum anderen es auch anzuwenden bzw. umszusetzen.
Versteht sich von selbst, dass du das PW bzw. den Key dann nicht auf den Platten speicherst.
In dem von dir genannten (professionellen) Umgebungen ist ein ständiges Aus- und Einschalten der DS ohnehin nicht so sinnvoll, von daher müßte das Passwort auch erst bei einem zwingenden Neustart wieder eingegeben werden.

Auf meiner DS zu Hause habe ich ebenfalls Daten, die ich nicht in fremde Hände geben möchte. Verschlüsselung der fraglichen Ordner ist daher für mich Pflicht. Da die DS aber 24/7 läuft habe ich keine weitere "Arbeit" damit.

 

[mike3k]

Und genau aus dem Grund kannst du ja auch deine Ordner verschlüsseln.

Das ist mE aber eben nur eine halbherzige Lösung (,die auch noch aufwendig zu bedienen ist).

Denn:
- SSH-Key für HiDrive ist ungesichert (Ein Dieb könnte darüber selbst meine Online Backups löschen...!!! Mal auf der Zunge zergehen lassen...)
- E-Mail-Konten Zugänge sind ungesichert (Identitätsdiebstahl möglich...)
- Daten der Zusatzapps (Zarafa etc) sind ungesichert
- ...

Und wenn du sensible Daten hast, dann hast du zum einen die Pflicht, dich über Sicherheitsaspkete zu informieren und zum anderen es auch anzuwenden bzw. umszusetzen.

Richtig! Ich weiß das... Wissen dass aber auch die restlichen 99,9% der Leute da draußen? Vgl. WLAN-Verschlüsselungsdebatten von vor ein paar Jahren und aktuelle Datenleak-Geschichten. Zeigt wohl, dass diese Pflicht nicht so wirklich wahr/ernst genommen wird.

Versteht sich von selbst, dass du das PW bzw. den Key dann nicht auf den Platten speicherst.
In dem von dir genannten (professionellen) Umgebungen ist ein ständiges Aus- und Einschalten der DS ohnehin nicht so sinnvoll, von daher müßte das Passwort auch erst bei einem Neustart wieder eingegeben werden.

Nein warum? Warum sollte das Gerät laufen, wenn keiner da ist? Bei mir läuft nix, wenn keiner da ist, nicht mal der DSL-Router... Wozu auch, Strom kostet Geld Und das halten viele so, die ein kleines Ladengeschäft o.ä. haben. Rechner sind da aus, wenn geschlossen. Und die Funktionen WOL, Anschalten bei LAN-Kontakt und Abschalten bei Inaktivität gibts ja nicht umsonst und sind auch sehr sinnvoll!

 

[Puppetmaster]

Richtig! Ich weiß das... Wissen dass aber auch die restlichen 99,9% der Leute da draußen? Vgl. WLAN-Verschlüsselungsdebatten von vor ein paar Jahren und aktuelle Datenleak-Geschichten. Zeigt wohl, dass diese Pflicht nicht so wirklich wahr/ernst genommen wird.

Das ist nun aber mal so, dass du selbst dafür haftest wenn du dich nicht informierst. Dafür findest du ja sicher auch noch mehr Beispiele.
Synology als NAS-Hersteller sagt dir ja auch nicht, dass du grundsätzlich mit einen Klick in der DS deine Daten vor Diebstahl geschützt hast. Wenn das aber dein Anliegen hast, dann mußt du auch die geeigneten Fragen dazu stellen. Ansonsten geht das auf deine eigene Kappe.

 

[mike3k]

Das ist nun aber mal so, dass du selbst dafür haftest wenn du dich nicht informierst. Dafür findest du ja sicher auch noch mehr Beispiele.
Synology als NAS-Hersteller sagt dir ja auch nicht, dass du grundsätzlich mit einen Klick in der DS deine Daten vor Diebstahl geschützt hast. Wenn das aber dein Anliegen hast, dann mußt du auch die geeigneten Fragen dazu stellen. Ansonsten geht das auf deine eigene Kappe.

Geht mal "auf die Straße" und frag mal den gemeinen User. Der geht mit Sicherheit davon aus, dass durch das Anlegen von PW-Geschützten SMB-Accounts das alles sicher ist, etc... Für die erweckt es nämlich den Eindruck. Ist ja auch nachvollziehbar. Ich hab den Thread hier jetzt mal beim Synology-Support eingekippt, mal schauen ob & was die Antworten. Vielleicht ergibt sich ja was bei den 14er Geräten. Wünschenswert wäre es auf jedenfall.

 

[Ap0phis]

Der "gemeine User" weiß doch fast gar nichts über Sicherheit im Netz!
Wie oft lese und höre ich den Satz: Mir passiert doch nichts, ich habe ja einen Virenscanner.

Du kannst höchstens davon ausgehen, das User, die gelegentlich mal Fachforen besuchen etwas mehr wissen. Und selbst hier im Forum meinen die Mehrzahl der neueren NAS-Besitzer, dass sie mit einem RAID 1 kein Backup mehr brauchen. ... oder wundern sich, dass sie auf ihrem weitergeleiteten FTP- und html-Port jede Menge fremde IP´s loggen. ... falls sie es überhaupt bemerken.

 

[itari]

es ist immer wieder spannend, einer Verschlüsselungsdiskussion zu folgen ... Sinn macht Verschlüsselung aber eigentlich nur dann, wenn die Anwendung selbst verschlüsselt ... alles andere ist einfach nur nett *gg*

Itari

 

[mike3k]

es ist immer wieder spannend, einer Verschlüsselungsdiskussion zu folgen ... Sinn macht Verschlüsselung aber eigentlich nur dann, wenn die Anwendung selbst verschlüsselt ... alles andere ist einfach nur nett *gg*
Itari

Naja ne, so pauschal würd ich das jetzt eben nicht sehen... Denn im hier skizzierten Fall brächte das ja auch nicht viel, wenn ich durch Plattenausbau an die (verschlüsselten) Rohdaten UND die Verschlüsselungsdetails, sprich Passphrases/Schlüssel komme. Sinnfrei, da ja mangels geschütztem Bereich (im Idealfall einem TPM+Flashbaustein) alles auf der Platte versammelt rumliegt...

 

[Matthieu]

Wenn die Anwendung (!) selbst verschlüsselt, liegt der Schlüssel mitnichten neben den Rohdaten. Im Idealfall verlangt die Anwendung dann nämlich nach dem Schlüssel bspw. per Smartcard (und das wird durchaus auch so in der Praxis umgesetzt). Ein simples Beispiel wäre die Verschlüsselung von Office-Daten über die integrierte Funktion. Passwort kennt der Anwender oder der Passwort-Safe (Keepass o.ä.) und liegt nicht neben den Rohdaten.

MfG Matthieu