DSM 6.x und darunter Entschlüsselung über Schlüssel Manager geht nicht....

[PaulMichael]

Hallo Zusammen,

ich bin gerade dabei meine DiskStation einzurichten.
ich habe zwei gemeinsame Ordner. Beide sind verschlüsselt und die Schlüssel sind im Schlüsslemanager abgelegt.

Irgendwie verstehe ich nicht, warum er beim Hochfahren die Ordner nicht entschlüsselt.

Ich bekomme auch keine Fehlermeldung etc.

Wenn ich in die gemeinsamen Ordner gehe und dort per rechter Maustaste "Anhängen" auswähle, danach auf Schlüsselmanager den Code eingebe, geht es. Bedeutet für mich, dass die Schlüssel im Manager richtig hinterlegt sind.

Ich finde leider auch keinen Lösungsansatz...

Gruß

 

[mausbieber]

Hallo Paul,
Du musst beim Hinzufügen des gemeinsamen Ordners zum Schlüsselmanager Rechnerschlüssel angeben, dann kannst Du an dem hinzugefügten Eintrag hinten den Haken setzen, dass er beim Starten automatisch eingehängt wird.
Bei mir geht es so

 

[independence2206]

Da es zu dem Thema noch nicht allzu viel Material gibt hänge ich mir hier mal ran.

-Der Rechnerschlüssel stellt sicher, dass die Verschlüsselung nur exakt von genau meiner DS entsperrt werden kann? Was dann also bedeutet, dass wenn meine DS den Geist aufgibt meine Daten auf jeden Fall weg sind, denn auch eine Austausch-DS gleicher Baureihe kann hier keine Abhilfe schaffe?
-Die Passphrase ist der normale Key, den ich beim Erstellen des verschlüsselten Ordners eingebe? Damit kann ich aber dann nicht das Volume automatisch einhängen oder?

Was passiert denn wenn der USB Stick worauf sich der Schlüsselmanager befindet abraucht? Sind dann die Daten auch weg oder kann ich den Schlüssel manuell eingeben? Ist es möglich einen ReserveUSB-Stick mit dem Schlüsselmanager zu erstellen?

 

[mausbieber]

Hallo,

der Rechnerschlüssel bezieht sich nur auf den Schlüsselmanager, für das Verzeichnis selbst hat man immer noch den key zum entschlüsseln.
Mit dem Rechnerschlüssel kann der Schlüsselmanger beim automatischen einhängen feststellen ob es die richtige DS ist.

 

[independence2206]

Ja und was ist dann der Unterschied zu der Passphrase, welche ich ja auch beim Erstellen eines neuen Schlüssels auswählen kann?

 

[mausbieber]

Hallo,
die oberen beiden Passphrasen ist die für den gemeinsamen Ordner, die untere ist die für den Schlüsselmanger.
Unter der unteren muss man Rechnerschlüssel stehen lassen, wenn man später den Ordner automatisch angehängt haben möchte.
Der Haken wird aber nicht automatisch gesetzt, dazu muss man noch einmal in den Schlüsselmanager

 

[independence2206]

Danke für deine Bemühungen mausbieber, ich verstehs trotzdem nicht^^
Ich glaube ich muss mir mal ein Video oder sonstiges dazu anschauen

 

[MasterofChaos]

Hi, ich hätte auch zwei Fragen zum Schlüsselmanager:

1. Gibt es irgendeine Möglichkeit "ohne" USB Stick mehrere verschlüsselte Ordner beim Start einzuhängen?
2. Gibt es eine Möglichkeit die SD Karte als Speicherort auszuwählen?
3. Gibt es eine Möglichkeit eine Batchdatei am PC zu schreiben um den Ordner automatisch einzuhängen?

Generell ist mir nicht ganz klar, was der USB Stick bewirken soll...wenn jemand die DS klaut, dann nimmt er doch eh alles mit...wozu dieser Aufwand? Ist es da nicht logischer, dass das Synctool bspw. nachschaut, ober der Computer der sich verbindet den richtigen Code kennt und dann den Ordner einhängt?

vg
Axel

 

[peterhoffmann]

Zum Entschlüsseln über eine Batchdatei gibt es:

synoshare --enc_mount $ENCRYPT_DIR_PATH $PASSWORD

Hierzu müsste dann das Passwort im Klartext in der Batchdatei hinterlegt sein. Das bringt natürlich keine Sicherheit, speziell beim Diebstahl der DS, hat der Dieb die Daten und das Passwort.

Es gibt z.B. folgende Möglichkeit (eine von vielen!) um dies zu verhindern:
Man teilt das Passwort zum Entschlüsseln in zwei Teile (123456 in 123 und 456). Teil1 bleibt in der Batchdatei, Teil2 wird aus einem anderen eingebundenen Laufwerk (nicht auf der DS!) ausgelesen. Hierzu bietet sich z.B. die NAS-Funktion einer Fritzbox an, wo man einen Pfad über die File Station einbindet. Beim Start der DS wird das Script über den Aufgabenplaner gestartet, das Script liest Teil2 aus einer Textdatei aus, baut das Passwort zusammen und entschlüsselt die gemeinsamen Ordner. Sollte sich die DS nicht im eigenen Netzwerk befinden (z.B. durch Diebstahl) findet sie beim Start nicht die Textdatei und kann somit auch die gemeinsamen Ordner nicht entschlüsseln.

Codeschnipsel:

FILE=/FreigabePfad/ZweiterTeilvomPW.txt
j=`head -n 1 $FILE`

meinarray=(gemeinsamerOrdner1 gemeinsamerOrdner2)

for i in ${meinarray[@]}; do
 synoshare --enc_mount $i "ErsterTeilvomPasswort"$j
done

Quelle für das Script: Irgendwo hier aus dem Forum, ich weiß leider nicht mehr wo.

 

[MasterofChaos]

Hallo Peter,

die Variante hört sich vielversprechend an. Kann man eine Aufgabe der DS auch auslösen, wenn ich bspw. mit einem bestimmten Rechner mich mit der DS verbinde?

Ich habe leider kein Frizbox...und die DS geht meist an, wenn ich nicht am Rechner bin.

vg und vielen Dank
Axel

 

[peterhoffmann]

Neuer Ansatz für die Passwortteilung:
Kleiner USB-Stick, 2 bis 3m USB-Kabel, das (fest!) hinter den Schrank (oder sonst versteckt) legen. Bei Diebstahl der DS wird der Dieb alle Kabel (inkl. dem USB-Kabel) hinten rausziehen und sich davon machen. So hat er wieder nur die DS und das halbe Passwort.

Mal generell: Das Passwort ist nur beim Neustart der DS nötig. Solange die DS nur im Standby ist, ist das Passwort nicht nötig. Bei mir läuft die DS immer durch, sprich sie braucht das Passwort nur nach einem Stromausfall oder Neustart durch ein Update.

 

[MasterofChaos]

Okay, dann überlege ich mir mal wie ich es am besten mache. Vielen Dank für die Hinweise

 

[Klobbi]

Hallo Zusammen,

der letzte Beitrag ist zwar schon eine Weile her, aber da ich aktuell mit dem Thema beschäftigt habe, möchte ich euch meine Lösung zeigen. Die Variante mit dem Stick stellte für mich keine Alternative dar. Wenn man eine FB hat, kann diese zwar nutzen, aber auch hier besteht unter Umständen die Möglichkeit, dass sich diese im gleichen Raum befindet und von Einbrechern mit erbeutet wird. Somit bevorzuge ich eine Lösung über einen externen Server, auf den außer mir keiner Zugriff hat.

Dieser Server ist z.B. unter https://www.domain.de erreichbar und verfügt zudem über ein SSL-Zertifikat. Dort habe ich mit einen Ordner angelegt und die PW-Datei abgelegt. Damit keiner die Passwortdatei lesen kann wurde eine .htaccess erstellt und nur der Zugriff für meine IP zugelassen.

htaccess:

Order Deny,Allow
Deny from all
Allow from xxx.xxx.xxx.xxx

Für alle, die keine feste IP haben, kann man diese auch automatisch aktualisieren lassen. Näheres dazu unter
https://github.com/holodyn/dyndns-htaccess

Anschließend kann man sich sein Passwort mit

p=$(curl -k https://www.domain.de/passwort/pw.txt)

oder

p=$(curl https://www.domain.de/passwort/pw.txt)

in seine Batchdatei holen.

Die 1. Variante mit -k schaltet Zertifikatsprüfung aus, somit kann man auch ein eigenes Zertifikat verwenden.

Somit habe ich meiner Meinung nach alle Anforderungen erfüllt.
1. Die Laufwerke werden immer eingehängt, solange sich die DS am Netz befindet.
2. Der Schlüssel ist weit weg und kann auch nicht ohne weiteres gelesen werden.
3. Dank SSL wird der Schlüssel nicht im Klartext übertragen.
4. Laufwerke werden nach einem Diebstahl nicht gemountet.

Wichtig dabei ist jedoch eine gesicherte Leitung mit ssl zu verwenden, sonst wird das Passwort im Klartext übermittelt UND dass der Zugriff über die IP eingeschränkt wird.


Vielleicht hilft diese Variante ja dem ein oder anderen der keine FB hat, aber vielleicht einen Server betreibt.
VG

 

[Puppetmaster]

Hm, wollte mich schon länger mal mit dem Thema Schlüsselmanager im DSM beschäftigen, aber da ich erst kürzlich eine Test-DS auf DSM 6.1 gebracht habe, war das ein eher theoretisches Thema.
Ich möchte dazu kein eigenes Thema eröffnen und hier passt es ja hervorragend.

Was ich mich jetzt frage: was ist der Trick, um einen "entfernten" USB Stick, beispielsweise an der Fritzbox, anzusprechen?
Wenn ich den Schlüsselmanager bei einer verschlüsselten Freigabe verwenden möchte, besteht der DSM auf einem an der DS angeschlossenen USB-Device...

Irgendwo fehlt mir da ein Schritt.

 

[Klobbi]

Da gibt es keinen Trick. Entweder der Stick steckt an der DS oder es geht nicht mit dem Manager. Entfernte Datein musst du per Script ansprechen.

 

[Puppetmaster]

OK, Trick = script

Aber wie soll das gehen? Da fehlt mir noch der entscheidende Hinweis.

Der DSM lässt mich ja gar nichts weiter tun, sofern er kein USB Gerät an der DS findet. Wie soll das umgangen werden?

EDITH: Ok, ich stehe vermutlich auf dem Schlauch und die verschlüsselten Freigaben müssen per script entschlüsselt werden, nicht über den Schlüsselmanager des DSM. DAS ist der entscheidende Hinweis. Korrekt?

EDITH2: wenn ich so beim Schreiben drüber nachdenke, hätte ich auch selbst drauf kommen können ...

 

[frimp]

Ich mache das mit einem angeschlossenen USB-Stick, den ich anschliessend abziehe. Pech nur, wenn die DS rebooted bzw, der Strom ausfällt.
Kam aber noch nie vor und wäre auch halb so wild...

 

[ong10]

Hallo,

vielleicht hilft das:
http://www.synology-forum.de/showth...ger-geht-nicht&p=714057&viewfull=1#post714057

Olaf

 

[_Joachim_]

Schlüssel-Manager / Passphrase neu initialisieren...

Hallo zusammen,

ohne jetzt alle obigen Posts gelesen zu haben, möchte ich meine "Schlüssel-Manager"-Erfahrungen kurz mitteilen inkl. einer Lösung.

Zunächst fiel auf, dass 2 meiner verschlüsselten 'Gemeinsamen Ordner' in der Systemsteuerung unter Bearbeiten > Verschlüsselung die Option "Beim Start automatisch anhängen" beinhalten, zwei andere verschlüsselte 'Gemeinsame Ordner' aber nicht. Und dass in den beiden Ordnern, wo diese Option vorhanden ist, das Setzen zwar akzeptiert wird, aber erfolglos bleibt.
Der Support erklärte dazu, dass möglicherweise die zwei Ordner (mit der Option) unter DSM 6.0 angelegt wurden; die ohne diese Option unter DSM 6.1. Mit DSM 6.1 sei die Funktionalität in den "Schlüssel-Manager" ausgelagert worden und nur über diesen das automatische Anhängen möglich.

Nur... die Nutzung meines "Schlüssel-Managers" (Aktion > Schlüssel-Manager) scheiterte regelmäßig an der Passphrase. Zwar hatte ich zu jedem verschlüsselten Ordner auch den nötigen Verschlüsselungsschlüssel um die Ordner manuell anhängen zu können (Verschlüsselung > Anhängen > Schlüssel eingeben), aber eine Passphrase zum Schlüssel-Manager?
Irgendwie müsste doch der "Schlüssel-Manager" neu zu initialisieren sein - ohne negativen Einfluss auf das funktionierende manuelle Einhängen!?
Hier lag für mich die Lösung darin, alle USB-Geräte von der DS zu entfernen! Nach einem Neustart und Zugriff auf den Schlüssel-Manager wurde ich aufgefordert ein USB-Speichergerät anzuschließen. Steckt man nun einen leeren USB-Stick an (zumindest einen ohne das Verzeichnis @keystore) dann kann man eine neue Passphrase vergeben, die darüber 'automatisch anzuhängenden' verschlüsselten Ordner mittels deren Verschlüsselungsschlüssel definieren und festlegen, ob sie beim Start automatisch angehängt werden sollen.

Wer also, wie der Support ebenfalls mitteilte, eine neue Passphrase für den Schlüssel-Manager anlegen möchte oder muss, kann (bei vorhandenem 'Schlüssel-Manager-Stick') auch einfach das Verzeichnis @keystore auf dem USB-Stick löschen - in jedem Fall aber werden die vergebenen Verschlüsselungsschlüssel für die jeweiligen verschlüsselten Ordner benötigt!

 

[GeeEmm]

Hallo zusammen,

mich würde interessieren, ob der Inhalt eines durch den Schlüsselmanager initalisierten USB Sticks gespeichert auf einer externen Quelle direkt für das Entschlüsseln der Ordner mit Hilfe eines Skriptes verwendet werden kann. Ich würde gerne vermeiden, dass die Ordner Schlüssel unverschlüsselt abgelegt werden. Gibt es sonst Alternativen, die Schlüssel möglichst sicher/verschlüsselt mit einem Skript einzubinden? Ich habe hier auch einen Thread aufgemacht:

https://www.synology-forum.de/showt...-Entschlüsseln-von-externer-Quelle-(Fritzbox)

Viele Grüße,
GeeEmm