Sicherheit - Fragen eines ahnungslosen....

[Tobias68]

Hi,

Fragen zur Datensicherheit....
1. Über die Benutzerkontensteuerung lege ich fest wer auf welche Ordner zugreifen kann, das ist verständlich.
2. Ich habe das Standard-Admin-Konto deaktiviert - wenn aber jemand einen Soft-Reset an der DS durchführt und das Standard-Admin-Konto wieder aktiviert kann er damit auf alle Verzeichnisse zugreifen - korrekt?
3. Wenn ich die Festplatte aus der DS ausbaue und an einen PC hänge kann ich auf alle Verzeichnisse zugreifen da dann die Benutzerkontensteuerung der DS nicht mehr aktiviert ist - korrekt?
4. Punkt 2 + 3 kann ich nur entgegenwirken indem ich die Verzeichnisse verschlüssel und diese in der DS manuell mounte - sind diese Verzeichnisse beim mounten der Festplatte an einen PC immer noch verschlüsselt?

Verschlüsselt ihr im privaten Umfeld die Verzeichnisse - und wenn ja - habt ihr dann auch alle Laufwerke auf euren privaten PC´s verschlüsselt???

Ich danke euch für kurze Infos
Grüße

 

[Thonav]

1. ist keine Frage
2. Ja
3. Nicht direkt - evtl. über ein Linux-System. Die Daten sind nicht wie bei einer USB-Platte verteilt.
4. Ja

Ohne Nr.: Ja, meine Dokumente. Die liegen nicht auf meinem PC, die liegen auf dem NAS.

 

[Kurt-oe1kyw]

2. Ich habe das Standard-Admin-Konto deaktiviert - wenn aber jemand einen Soft-Reset an der DS durchführt und das Standard-Admin-Konto wieder aktiviert kann er damit auf alle Verzeichnisse zugreifen - korrekt?

Nur wenn du das gestattest. Du kannst zwar mit dem Resetknopf das Standard-Adminkonto wieder aktivieren, aber ohne Kennwort kann der Resetknopfdrücker sich nicht Anmelden.

 

[Thonav]

Nein, lieber Kurt - wenn ich die Kiste mitnehme und resete, brauch ich keine Erlaubnis um auf die Daten zuzugreifen.

 

[Kurt-oe1kyw]

wenn ich die Kiste mitnehme und resete,

Dann habt ihr die falsche Einstellung gewählt
Wenn jemand meine Kiste mitnimmt kann er Reseten bis er schwarz wird, er wird es niemals als admin ins DSM schaffen.


Lösung:



Nur wenn ihr die Option "Admin-Kennwort beibehalten" NICHT aktiviert, kann sich jeder nach Drücken vom Resetknopf als admin Anmelden und ein eigenes PW vergeben, mit aktivierter Funktion (Punkt 5) bleibt das von mir gewählte extrem lange und sichere Kennwort erhalten.
Keine Chance als admin auf die Synology zu gelangen.

PS: imaadmin usw sind keine sicheren admin Kennwörter

 

[Thonav]

Weil?

 

[Kurt-oe1kyw]

siehe Bild Beitrag # 5

 

[Thonav]

Du Schlingel - hast Du also Deinen Post nochmal überarbeitet... Was passiert denn bei einem doppelten Reset??

 

[Kurt-oe1kyw]

Was passiert denn bei einem doppelten Reset??

ha erwischt!?
Ich weiß es nicht, dass habe ich noch nicht ausprobiert ob bei der Neuinstallation vom DSM dann immer noch das alte PW aktiv gehalten wird.
Könnte mir aber Vorstellen das es so ist, da kommt ja irgendwann die Frage ".... die meisten Einstellungen und Daten behalten" und ich vermute da bleibt die Option aktiv.
Ich kann es aber nicht mit 100% Sicherheit sagen, weil ehrlich gesagt ich habe viele private Daten auf der Synology die für uns "Wichtig" sind,
ob eingescannte Dias wo ich selber noch im Gitterbett liege und Hose+Westengilet in einem Trage oder Fotos welche das Aufwachsen der Kids und Enkel für andere "wichtig" sind? Eher weniger, von daher habe wir keine "Daten" wo es sich lohnen würde für andere die zu Besitzen.

 

[Thonav]

Ich glaube nicht, dass das Passwort einen doppelten Reset überlebt. Aber nun, irgendeiner wird es wohl mal ausprobieren müssen, KURT

 

[Tobias68]

Ich danke euch beiden für die kurzen, aber eindeutigen Antworten.
@kurt: Genau nach dem Punkt aus deinem Beitrag #5 habe ich gesucht - danke!

Frage: als "normaler" Benutzer habe ich keine Möglichkeit einem Admin den Zugriff auf meine Daten zu verwehren - richtig?

@Thonav: Bezüglich Ausbau der HDD aus der DS und an einen PC hängen:
Verstehe ich Dich richtig, dass ein 0815 Anwender nicht ohne spezielle Kenntnisse auf die Daten zugreifen kann?

 

[Thonav]

Was für eine DS hast Du denn und wie ist sie eingerichtet??

Wenn Du in einem Unternehmen als Angestellter arbeitest und Ihr da einen Administrator habt - meinst Du, dass Du ihm den Zugriff verwehren kannst? Nein, ansonsten würdest Du das ganze System verwurschteln.

 

[Benares]

Das Grundproblem ist doch immer der physische Zugriff auf einen Server/NAS, und wenn der gegeben ist, hat man schon vieles falsch gemacht.
Klar kann man das gedanklich durchspielen, aber es wird immer einen Weg geben, irgendwie an die Daten (oder einen Teil davon) zu gelangen.

 

[Tobias68]

Ich habe eine 920+ und extern als BackUp eine 214+, und nutze beide nur privat.
IT Spezi bin ich auch keiner, habe nur ein paar Gedankenspiele gemacht, primär wegen der externen DS, und so bin ich auf den Admin-Zugriff per Soft-Reset gestoßen..... und dem hat Kurt klasse die Zähne gezogen.
Dass es wohl fast immer Wege gibt um an Daten zu kommen glaube ich, aber wenn man die Kirche im Dorf lässt - wer hat gesteigertes Interesse an meinen Bildern ....und auch mit den meisten anderen persönlichen Daten kann niemand wirklich was anfangen das mir nachhaltig schaden würde. Bank-Daten habe ich natürlich keine abgespeichert.

Ich halte jetzt einfach mal für mich fest, dass ich Kurt´s #5 aktiviere und ein 0815 Ganove nicht so einfach an meine Daten kommt wenn er die HDD aus der DS an seinen Rechner hängt - selbst wenn sie nicht zusätzlich verschlüsselt sind.

 

[Thonav]

Zudem kannst Du doch für sensible Daten deren Ordner verschlüsseln, diese können auch automatisch nach Neustart wieder eingehängt werden.

 

[Tobias68]

@Thonav Genau das war der Punkt - allerdings nicht auf meiner lokalen DS (aber das mache ich jetzt) sondern auf der externen DS wo ich neben meinem verschlüsselten HyperBackUp auch vergeblich versucht habe einen verschlüsselten Ordner per FileStation über Remote-Ordner an meine DS zu mounten (https://www.synology-forum.de/threads/verschluesselten-remote-ordner-bereitstellen-mounten.130066/). Mit Kurt´s #5 fühle ich mich nun auch sicherer den auf der externen DS automatisch entschlüsseln zu lassen.

 

[maxblank]

Oder zusätzlich das Volume komplett verschlüsseln und jeden Ordner nochmals separat, dann evtl. ohne den Key zu hinterlegen.

Bei dem großen Reset werden alle Daten gelöscht, wenn ich mich Recht erinnere.

 

[66er]

Nur wenn ihr die Option "Admin-Kennwort beibehalten" NICHT aktiviert, kann sich jeder nach Drücken vom Resetknopf als admin Anmelden und ein eigenes PW vergeben, mit aktivierter Funktion (Punkt 5) bleibt das von mir gewählte extrem lange und sichere Kennwort erhalten.

Danke für diesen Tip.
Gleich mal umgesetzt.

 

[Tobias68]

@Thonav @Kurt-oe1kyw
Ich habe jetzt mal ein bisschen getestet - leider nicht mit dem gewünschten Ergebnis.

Soft Reset:

• Man kann über jedes Admin Konto einloggen
• Das vorher deaktivierte Standard "admin" Konto wird reaktiviert, das Password bleibt jedoch erhalten - wenn aktiviert wie unter #5
• Alle Nutzerkonten bleiben erhalten
• Schlüsselmanager: alle gespeicherten Schlüssel sind gelöscht

Hard Reset:

• DSM wird neu installiert
• Manuell muss ein neues Admin Konto angelegt werden
• Alle bisherigen Nutzerkonten sind gelöscht
• Schlüsselmanager: alle gespeicherten Schlüssel sind gelöscht
• Zugriff auf alle unverschlüsselten Ordner, d.h. bei einer DSM Neuinstallation werden keine vorhandenen Speicherpools oder Volumes geändert

Ich bin als Laie fälschlicher Weise davon ausgegangen, dass bei einem Hard-Reset das System "platt" gemacht wird.

Ergebnis:
Da zwischen Soft-Reset und Hard-Reset gerade einmal 15min bei meinem alten DS214+ Test-System mit DSM 7.1.1-xxx liegen ist ist die unter #5 genannte Option "Admin Kennwort beibehalten" wohl eine sehr trügerische "Sicherheit" und ich frage mich was diese Option überhaupt für einen Sinn hat.

P.S. Kann ich gerade nicht testen.....
Ich habe in meiner alten DS214 noch beide Laufwerke als "Basic" Volumes.
Kann es sein, dass wenn ich ein Laufwerk entferne und es in eine zweite DS mit freiem Slot einsetze ich auf das Laufwerk in der 2ten DS ohne Probleme so zugreifen kann als wäre es in der ursprünglichen?

P.P.S. Ich habe gerade eine uralt HDD aus einer 110J ausgebaut und bei der DS214+ gegen das vorhandene 2te LW ausgetauscht - das geht nicht! DS214+ erkennt zwar das LW, sagt aber dass Speicherpool 2 fehlt und somit müsste ich beim erstellen des Speicherpools das LW formatieren. Nur zur Info falls es jemanden interessiert.

Cheers