Fragen zur Verschlüsselung (speziell DS214+)

[o-Ton]

Hallo liebe Experten,

ich habe die DS214+ im Auge und mich interessiert vor dem Kauf u.a. das Thema Verschlüsselung. Ich habe das entsprechende Tutorial https://www.synology.com/de-de/knowledgebase/tutorials/455 auf der Syn-Seite gelesen und hätte in loser Reihenfolge ein paar Verständnisfragen. Ich wär dankbar, wenn ihr kurz ja, nein, vielleicht etc. dazu sagen könntet.

- wenn ein verschlüsselter gemeinsamer Ordner auf "automatisch anhängen" steht und mir jemand die komplette NAS klauen würde, könnte er sie in Betrieb nehmen und Zugriff auf diesen Ordner bekommen? Der Dieb hätte KEINE Passwörter.

- der NAS mitsamt verschlüsseltem Ordner steht nach wie vor in meinem Netzwerk; niemand außer mir (Admin) hat eine Zugriffsberechtigung für diesen Ordner. Niemand außer mir ist in der Admin-Gruppe. Aber der Ordner wird beim Starten wie gesagt automatisch gemounted. Ich bin auf keinem Clienten eingeloggt. Könnte ein anderer Benutzer Zugriff auf den Ordner bekommen? Er kennt nur SEINE Passwörter.

- Wie ist die Zugriffsberechtigung auf verschlüsselte Ordner zu verstehen? Wenn der Ordner nicht gemounted (also nicht "aufgesperrt") ist, dann kann ein Benutzer alle Rechte haben, aber trotzdem nichts mit dem Ordner anfangen?

- da ich auf der NAS alle meine Daten ablegen und sichern kann, gehe ich davon aus, dass ich das auch mit einem TrueCrypt Container tun kann, den ich auf einer externen Festplatte erstellt habe? Er wird als "normale" Datei behandelt?

- Falls ja, kann ich solch einen Container "normal" mounten und damit arbeiten, z.B. von meinem Laptop aus?

- ist diese Synology Verschlüsselung in Handhabung und Wirkung grundsätzlich vergleichbar mit z.B. der TC Container-Verschlüsselung?

- im Tutorial steht, dass ein verschlüsselter Ordner nicht über NFS aufgerufen werden kann. Was ist NFS?

Vielen Dank für eure Kommentare!

Gruß o-Ton

 

[Matthieu]

Hallo, hier mal ein paar Antworten:

- wenn ein verschlüsselter gemeinsamer Ordner auf "automatisch anhängen" steht und mir jemand die komplette NAS klauen würde, könnte er sie in Betrieb nehmen und Zugriff auf diesen Ordner bekommen? Der Dieb hätte KEINE Passwörter.

Jein. Theoretisch könnte der- oder diejenige mittels Reset-Knopf das Admin-PW zurücksetzen, allerdings wird dann auch die Einstellung "automatisch einhängen" entfernt. Das heißt nach Reset sind die Ordner nicht zugänglich ohne Schlüssel. Auf deine recht konkrete Frage daher: Dieb hätte keinen Zugriff.

- der NAS mitsamt verschlüsseltem Ordner steht nach wie vor in meinem Netzwerk; niemand außer mir (Admin) hat eine Zugriffsberechtigung für diesen Ordner. Niemand außer mir ist in der Admin-Gruppe. Aber der Ordner wird beim Starten wie gesagt automatisch gemounted. Ich bin auf keinem Clienten eingeloggt. Könnte ein anderer Benutzer Zugriff auf den Ordner bekommen? Er kennt nur SEINE Passwörter.

Nein. Die Zugriffsberechtigungen greifen so oder so.

- Wie ist die Zugriffsberechtigung auf verschlüsselte Ordner zu verstehen? Wenn der Ordner nicht gemounted (also nicht "aufgesperrt") ist, dann kann ein Benutzer alle Rechte haben, aber trotzdem nichts mit dem Ordner anfangen?

Wenn der Ordner nicht eingehangen ist, ist er nicht in der Liste der Ordner unter Windows zu finden. Gibt man die Adresse von Hand ein, ist er leer.

- da ich auf der NAS alle meine Daten ablegen und sichern kann, gehe ich davon aus, dass ich das auch mit einem TrueCrypt Container tun kann, den ich auf einer externen Festplatte erstellt habe? Er wird als "normale" Datei behandelt?

Ja. Wirklich Erfahrung mit Truecrypt habe ich allerdings nciht. Es gibt Probleme wenn dort die Netzverbindung plötzlich weg ist.

- Falls ja, kann ich solch einen Container "normal" mounten und damit arbeiten, z.B. von meinem Laptop aus?

Siehe oben. Vielleicht kann dazu jemand anderes was sagen.

Kann ich - ist diese Synology Verschlüsselung in Handhabung und Wirkung grundsätzlich vergleichbar mit z.B. der TC Container-Verschlüsselung?

Kann ich wie gesagt mangels TC-Erfahrung nicht sagen.

- im Tutorial steht, dass ein verschlüsselter Ordner nicht über NFS aufgerufen werden kann. Was ist NFS?

Eine Alternative zu Protokollen wie SMB/CIFS und FTP. Betrifft im wesentlichen nur Unix/Linux und am Rande noch Mac.

Alle Angaben ohne Gewähr

MfG Matthieu

 

[Merthos]

1) Stimme ich nicht mit Matthieu überein. Wenn der Dieb etwas Plan von der DS hat, dann sichert er die Schlüssel vorher weg oder überschreibt manuell die Nutzer (Platte unter Linux mounten). Wenn Automount verwendet wird, kommt man bei Interesse auch relativ einfach an die Passwörter/Schlüssel.

5) Es ist kein Container sondern ein Stacked File System, jede Datei wird also einzeln verschlüsselt. Zum Zugriff siehe z.B. im Wiki.

6) Nein, siehe 5.

 

[Matthieu]

1) Stimme ich nicht mit Matthieu überein. Wenn der Dieb etwas Plan von der DS hat, dann sichert er die Schlüssel vorher weg oder überschreibt manuell die Nutzer (Platte unter Linux mounten). Wenn Automount verwendet wird, kommt man bei Interesse auch relativ einfach an die Passwörter/Schlüssel.

Da hab ich wohl etwas zu wenig kriminelle Energie unterstellt
Liegen die Schlüssel auf der Platte oder im Flash?

MfG Matthieu

 

[dil88]

Liegen die Schlüssel auf der Platte oder im Flash?

M.W. auf der Platte: /usr/syno/etc/.encrypt/ (Quelle).

 

[o-Ton]

Hi Matthieu,

das bringt mich doch schonmal weiter, vielen Dank!

Das Thema TC ist vielleicht gar nicht so wichtig, wenn ich verstehe, wie wirksam die Syno-Verschlüsselung ist. Daher auch die Frage, ob man diese mit TC oder Safeguard Easy etc. vergleichen kann.

Sind dir oder anderen Forenmitgliedern Schwachstellen bekannt oder weißt du, ob Hintertürchen eingebaut sind? AES an sich ist ja schon extrem sicher.
Mal so zusammengefasst: kann ein Dritter mit beliebigen Mitteln Zugang zu einem von mir verschlüsselten Ordner erlangen, wenn er das Passwort nicht kennt?
Brute-Force Methode und Folter mal ausgenommen...

Kann man sagen, Passwort weg, Daten weg?

Grüße
o-Ton

 

[Matthieu]

Schau dir dazu mal an was im Netz so über "ecryptfs" steht. Synology hat das Rad nicht neu erfunden

MfG Matthieu

 

[o-Ton]

Ok, da hab ich mit meiner Antwort so lang gebraucht, dass inzwischen viele andere auch geschrieben haben. Vielen Dank auch euch!

Kann man das, was ihr geschrieben habt (Schlüssel auslesen usw.) auch machen, wenn der Ordner nicht angehangen ist?

 

[dil88]

Kann man das, was ihr geschrieben habt (Schlüssel auslesen usw.) auch machen, wenn der Ordner nicht angehanen ist?

Nach meinem Verständnis ja. Der springende Punkt ist die automatische Einhängung. Verzichtet man darauf, gibts m.W. auch keinen Schlüssel.

 

[o-Ton]

Nach meinem Verständnis ja. Der springende Punkt ist die automatische Einhängung. Verzichtet man darauf, gibts m.W. auch keinen Schlüssel.

Bloß nochmal zum Verständnis: Ordner NICHT automatisch anhängen, dann sicher(er)?

 

[Frogman]

Ordner NICHT automatisch anhängen, dann sicher(er)?

So würde ich das einstufen, ja.

 

[o-Ton]

Ok, das hilft mir schon weiter. Vielen Dank euch allen! Werd mir mal in Ruhe eure Links zu den Hintergrundinfos durchlesen.

Aber ich nehme mal mit, dass man seine Daten grundsätzlich schon der Syno-Verschlüsselung anvertrauen kann.

 

[Frogman]

Aber ich nehme mal mit, dass man seine Daten grundätzlich schon der Syno-Verschlüsselung anvertrauen kann.

Das schon, selbst wenn sie nicht CC-zertifiziert ist wie die von Dir genannte Referenz...

 

[Merthos]

eCryptfs ist ein Industriestandard und Open Source, das ist schon sicher. Es gibt ein paar Kleinigkeiten in der Implementierung von Synology (also das Handling in der GUI), die ich anders machen würde, und ohne Review des konkreten von Syno kompilierten Sourcecodes bleibt auch immer ein gewisses Restrisiko.

Von daher für privat / Small Business ausreichend, für Staatsgeheimnisse eher nicht.

 

[Matthieu]

Müsste sich der Source Code nicht über die Quellen verifizieren lassen? (Sprich über die Daten im sourceforge-Projekt von Synology wo die Quellen drin sind)

MfG Matthieu

 

[Frogman]

Verifizieren an sich schon, auch der Vergleich kompilierter Dateien, was schon recht aufwendig ist, aber darüber hinaus fehlt ja noch einiges. Das BSI hat übrigens 2009 eCryptfs schon weitgehend begutachtet und war recht beeindruckt - zwar sind in der Architektur an sich Schwächen bemängelt worden (sprich aus der Integration in das Linux und damit verbundenen Zugriffsmöglichkeiten), doch wird an einem Projekt gearbeitet, auf eCryptfs-Basis mit einer erweiterten Rechteverwaltung und Nutzung eines Tokens eine Lösung zur CC-Zertifizierung anzumelden.

 

[Galileo]

- da ich auf der NAS alle meine Daten ablegen und sichern kann, gehe ich davon aus, dass ich das auch mit einem TrueCrypt Container tun kann, den ich auf einer externen Festplatte erstellt habe? Er wird als "normale" Datei behandelt?

- Falls ja, kann ich solch einen Container "normal" mounten und damit arbeiten, z.B. von meinem Laptop aus?

- ist diese Synology Verschlüsselung in Handhabung und Wirkung grundsätzlich vergleichbar mit z.B. der TC Container-Verschlüsselung?

Die Wahl zwischen TC und DS-Verschlüsselung ist wie die Wahl zwischen Pest und Cholera.

Ich habe anfänglich nur mit TC gearbeitet, das geht schon. Du kannst am Laptop den Container ganz normal mounten.

Vorteile TC:
1. Hohe Sicherheit, weil
- Die Datenübertragung DS - Laptop ist verschlüsselt (bei DS-Verschlüsselung unverschlüsselt)
- Der Schlüssel wird beim mounten nicht übers Netz übertragen. (bei DS-Verschlüsselung wird der Key beim Anhängen übertragen)
- TC ist open source, da gibt es keine backdoors usw (bei DS-Verschlüsselung weiß man nicht genau, wer da noch dran kann).

2. Gute Performance, weil die Verschlüsselung vom (meist stärkeren) Prozessor des Laptops gemacht wird. Ver- / Entschlüsselung mit der DS ist langsam, zumindest bei den kleinen Stations.

Nachteile TC:
1. Der Container ist auf der DS ein unförmiger Klotz. Willst du daraus irgendwelche Daten kopieren oder verschieben dann geht das immer nur auf dem Umweg übers Laptop. Das ist ein Grund, warum ich jetzt doch teilweise auf DS-Verschlüsselung umsteige, trotz aller Nachteile.

2. Außerdem sollte man nicht unterschätzen, dass ein TC-Container auch mal beschädigt werden kann, insbesondere wenn man ihn übers Netz bearbeitet. Also: Immer geprüfte Backups vorhalten und Header sichern.

3. Ferner hat man das Problem, dass bei Versions-Sicherungen immer der ganze Container neu gesichert werden muss.

Allerdings kann man bei DS-Verschlüsselung auch keine Versionssicherungen machen, also wie gesagt: Wahl zwischen Pest und Choöera.

 

[Matthieu]

- TC ist open source, da gibt es keine backdoors usw (bei DS-Verschlüsselung weiß man nicht genau, wer da noch dran kann).

Siehe oben, das lässt sich theoretisch schon prüfen, ist praktisch aber ein recht hoher Aufwand (so wie bei quasi jedem Audit). Abgesehen davon garantiert Open Source keine Backdoor-Freiheit. Gerade bei einer Größenordnung die ein solches Projekt mittlerweile hat. Derartige Versuche hat es in der Vergangenheit schon gegeben.

MfG Matthieu

 

[Galileo]

Wir haben das ja schon mehrfach diskutiert. Bei TC fühle ich mich sicher, weil es eben schon eine exponierte Stellung hat. Da gehe ich zuversichtilich davon aus dass sich genug Leute mit der Sicherheit beschäftigen.

 

[Frogman]

TC wurde übrigens - wie man aus Snowden-Unterlagen erkennt - auch von den Schlapphüten als oberste Liga eingestuft (ein Schelm, wer da einen Zusammenhang mit der kastrierten letzten Version und überraschenden Einstellung des Projekts vermutet...). Also immer schön die 7.1a verwenden