Verschlüsselung/Datensicherheit:Wie ist der beste Weg?

[hakiri]

@Tommes: Nein ausprobiert habe ich das nicht.

Hallo,

nützt aber genau gar nichts. Das Passwort für root ist bei allen DS gleich, synopass. Das kann man ändern wie man will aber man kommt damit nicht rein.
Ändern muß man das Passwort von admin. Alle Programme auf einer DS die die passwd/shadow nutzen wurden von Synology so geändert, daß bei einer Anfrage von root auf das Passwort von admin gezeigt wird.

Gruß Götz

Laut Doku ist der Admin User dem Root User entsprechend. Ich melde mich via SSH immer mit root an.

https://www.synology.com/en-us/knowledgebase/faq/393

Sobald ich von extern via mdmadm auf die Platten komme und ich zugriff auf die /etc/passwd bekomme, kann ich machen was ich will.
Notfalls kann ich sogar nen neuen User anlegen und via chown/chmod alles anpassen.
Ich kann auch die ecrypt metadaten suchen. Irgendwo ist das ja hinterlegt. (kleine config datei mit aes32 mount infos.)
via SSH komme ich dann in die gebootete Syno rein und die mounts sind ja dann da.

--> Ich halte die Automount-Verschlüsselung für genauso "schwer" wie die Festplatten auf einem anderen Computer via mdmadm einzubinden. Wer das hinbekommt, knackt auch die Automount-Verschlüsselung.

 

[spencerbudd]

Also ist Automount ungefähr genauso sicher wie ohne Automount oder was meinst Du?

 

[Merthos]

Bei Automount liegt der Key auf der Platte, wenn man also physischen Zugriff hat, kommt man auch da ran.

Ohne Automount sind die Schlüssel nur im Hauptspeicher, und nach Strom aus auch weg.

 

[spencerbudd]

Also so langsam bekomme ich die Meinung, dass so eine DS nicht wirklich so das wahre ist, was ich mir erhofft habe - finde die Dinger ja schon sehr unsicher:

So eine DS steht nunmal in de selben Wohnung wie mein Rechner. Auf dem kann ich übrigens komplette Festplattenverschlüsselung aktivieren und muss nur beim Hochfahren ein Passwort eingeben. Wieso kann das so ein System wie die DS nicht? Es ist nunmal ein Serversystem (was in meinen Augen viel Sicherheit bieten soll - mehr noch als ein Rechner).

Photostation usw. ohne Verschlüsselung auf einem Laufwerk lassen ist ja heute nicht mehr so Stand der Dinge....

Wieso kann man mit der Syno nicht alle Platten verschlüsseln und wenn die Box vom Strom gezogen wird bzw. die Festplatten entnommen werden sind die Daten auch geschützt.

Die DS hat ohne Ende Funktionen, aber solche Sicherheitsfunktionen hat sie dann doch weniger Wirklich schade.

 

[Frogman]

...Wieso kann das so ein System wie die DS nicht? Es ist nunmal ein Serversystem (was in meinen Augen viel Sicherheit bieten soll - mehr noch als ein Rechner).

Eben 'drum, es ist ein Server - und Server stehen üblichweise zur Absicherung in besonders gesicherten Bereichen, um den physischen Zugriff zu unterbinden. Hast Du eine Vollverschlüsselung, was einige Distributionen durchaus optional anbieten, schließt Du damit aber bspw. weitgehend aus, dass der Server neustarten kann, zB. nach einem Stromausfall. Außerdem ist das aus Performancegründen nur bei wenigen Servern sinnvoll, auch bei DS-Modellen - nämlich nur dann, wenn AES-Befehlssatzerweiterungen oder Vergleichbares vorhanden ist.
Und wie bereits an anderer Stelle erwähnt - wirklich kundige Angreifer nehmen Deinen Server auch mal mit, ohne ihn abzuschalten. Schutz ist also nur relativ...

 

[spencerbudd]

Die DS ist für mich kein "richtiger" Server!

Server stehen in Server-Räumen und Diskstations (ich rede nicht von den Rack Varianten - die gehen schon eher in Richtung Server) sind Home NAS und keine Server!

 

[Frogman]

Die DS ist für mich kein "richtiger" Server!
Server stehen in Server-Räumen und Diskstations (ich rede nicht von den Rack Varianten - die gehen schon eher in Richtung Server) sind Home NAS und keine Server!

Ist ja drollig, Deine Auffassung... - erst recht deshalb, weil auf den Rack Stations ebenfalls das DSM läuft
Anyway, jedem seine Meinung. Aber vielleicht solltest Du einfach einen Kellerraum etwas herrichten, dann kannst Du Deine DS dort "vor Zugriff sicher" machen.

 

[theMario]

Vllt. wieder offtopic - aber wie sicher sind die Daten in einem verschlüsselten Ordner ohne "automount" nun wirklich?

Ich meine da nicht den Verlust durch Diebstahl allein, sondern vllt. gegenüber den Behörden? Ein "Onlineangriff" mag ja damit noch abwendbar sein, während der Ordner nicht eingehangen ist, aber bei der Spyware eines normalen Heim-PC mit Win8 ist doch das gesamte private Netzwerk ein offenes Scheunentor. Wenn das WIN8 den eigenen Rechner ausweidet und die gesammelten Daten "nach Hause" meldet, dann doch auch alles, was sich im selben Netzwerk so tummelt, oder?

Am Ende stehen da wegen ein paar Rechtschreibfehlern in der selbst benannten Ordnerstruktur die ehemals Grünen - heute Blauen - und "der mit dem schwarzen BMW" vor der Tür und sacken erst einmal alles ein. Was man dann wieder bekommt, ist meist wohl nur ein leeres NAS, wenn man seine Strukturen nicht offen legt, oder irre ich da?


mfg

theMario

 

[Frogman]

Mit dem Zugriff durch einen kompromittierten LAN-Rechner hast Du sicherlich Recht - das ist zunehmend auch eine nicht zu unterschätzende Gefahr, wo wir doch in das Zeitalter des Internets der Dinge schlittern. Da ist dann die Gefahr einer lokalen Ausspähung ebenso ernst zu nehmen wie der Angriff aus dem Internet.

Bei Beschlagnahme eines verschlüsselten Datensystems bist Du in Deutschland recht gut geschützt. Im Gegensatz bspw. zu England, wo man zur Herausgabe von Passwörtern verpflichtet ist unter Androhung mehrjähriger Haftstrafen, gilt in Deutschland uneingeschränkt das Zeugnisverweigerungsrecht bei der Gefahr, sich oder bestimmte Angehörige seine Familie belasten zu können.
Das BVG hat mehrfach auch klar unterstrichen, dass allein aus der Zeugnisverweigerung heraus keine verwertbaren Verdachtsmomente entstehen - wenn Dir auf anderem Wege niemand Konkretes nachweisen kann (und Ordnernamen zählen dazu sicher nicht), dann sitzt Du an einem sehr langen Hebel. Der beinhaltet auch die Herausgabe Deines Eigentums (unversehrt), wie bereits auch schon per Rechtssprechung geschehen.

 

[theMario]

Hallo Frogman,

erst einmal Danke für die Aufklärung. Allerdings... wie das so ist - nichts ist sicher.
Lass uns deine Sicherheit mal ein wenig weiter "spinnen". Wir erinnern uns dabei an das Verschwinden von TrueCrypt bzw. die Aufgabe der Entwicklung dieses doch sehr ähnlich gehaltenen Programmes.
Es kursieren im Internet darüber einige Überlegungen, wie von einem Tag auf den Anderen der Code nicht mehr sicher sein sollte und der/die Entwickler auch nicht mehr wirklich erreichbar sein sollten. Plausibel war mir da eine Überlegung, welche davon ausging, dass "eine Hintertür für die NSA & Co." per "blauen Brief" gefordert wurde und der/die Entwickler wohl diesen Weg nicht mit gehen wollten.
Ich möchte natürlich hier keinen großen Wind aufwirbeln, aber wer sichert dem allgemeinen Anwender oder auch einem Entwickler, welcher auf seinem System vor Datenklau sichern sein will, dass diese Hinterür nicht schon bei den Behörden für solche Endanwender verteilt wurde? Synology wohl kaum... .

Um auch gleich den Schwarzmalern dieser Welt hier "die Farbe weg zu nehmen"... und dies nicht weiter ausschweifen zu lassen -

Mir geht es dabei nicht um Piraterie oder sonstigen Müll, welcher aus dem Netz zu holen sein soll, sondern um die netten lieben Urlaubsbilder & -videos, welche nicht wirklich Jeder jedem zeigen möchte. Soll ja Jeder machen wie sie wollen.
Solch Sachen gehören für mich in solch verschlüsselte Ordner, wo nur die Beteigten Zugriff haben sollen und auch Diese entscheiden, was da verbleibt und niemand am Ende die Grinsebacken von irgend einem (sorry) "Uniformierten" ertragen muss, wenn er sein Gerät (unversehrt) zurück erhält.

Ich pers. habe einen Nachbarn, welcher auch schon zum Telefon greifen wollte, weil er 4h am Stück eine Serie an Nachbars TV mitverfolgen konnte, jedoch nicht erkannte, dass es aus dem "Instant" eines großen Onlinehändlers kam. Mittlerweile kann man sich ja Tage mit Dingen berieseln, welche legal zu bekommen sind und nicht über Antenne einfliegen. Da kommt manch Nachbar wie im beschriebenen Falle schon mal auf Gedanken aus den 80ern. "Das ist alles nur geklaut"

LG

theMario

 

[spencerbudd]

Warum kann man nicht einfach die ganze Platte verschlüsseln, so wie es bei Win10 bzw. OS X Systemen auch geht? Beim booten Passwort eingeben und gut ist.

So ist das Ding nach einem Shutdown bzw. Entwendung o.ä. geschützt - und ansonsten kann man es normal nutzen.

 

[Puppetmaster]

Weil Synology das so nicht konzipiert hat.
Warum? Das fragst du besser direkt den Hersteller.

Synology propagiert mit den ganzen offenen Schnittstellen Richtung Internet ja auch den Zugriff von ausserhalb des eigenen Netzes (ist ja auch total hip) und alleine daher macht das Verschlüsseln ja schon kaum noch Sinn, bzw. stellt einen totalen Kontrapunkt zum offenen Zugriff dar.

Wenn jemand Daten stiehlt, dann bewegt er sich heute nicht mehr vor die Tür.

 

[Frogman]

Und wie ja auch schon mehrfach an anderer Stelle diskutiert, was immer wieder gerne vergessen wird - das NAS ist in seiner Ausprägung bei Synology mehr ein Server als ein einfacher Datenspeicher. Und Server werden - wenn notwendig - praktisch immer zur Sicherung in zugangsbeschränkte Bereiche gestellt, ohne die Daten auf den Platten zu verschlüsseln. Und Deine Wohnungstür ist für Deine Daten sicher Zugangsbeschränkung genug, sie reicht ja auch für private Unterlagen wie Geburtsurkunde, medizinische Unterlagen, private Fotos usw., die sich in den eigenen vier Wänden befinden.

 

[spencerbudd]

Ich sehe das anders. Bei großen Systemen ok. Aber nicht für private Anwendungen. Da hat man keinen gesicherten Serverraum.

QNAP bietet zB. eine solche Verschlüsselung an.

 

[Puppetmaster]

Mein Keller/Speicher/Arbeitszimmer/Wohnzimmer ist doch in dem Fall mein Serverraum. So sehe ich das zumindest.
Wenn QNAP das bietet und du das gerne hättest, warum hast du dir dann eine DS gekauft?!

 

[Frogman]

Aber nicht für private Anwendungen. Da hat man keinen gesicherten Serverraum.

Also ich habe eine Haustür, die man verschließen kann, auch Fenster sind ebenfalls von außen nicht ohne erheblichen Krafteinsatz und kriminelle Energie zu öffnen. Ist das bei Dir anders?

 

[spencerbudd]

Ich glaube hier sind alle ein wenig zu sehr Synology geprägt...

Klar habe ich eine Haustür, Fenster, Schließsysteme in der Wohnung usw.

Aber es geht ja auch um das wenn - es gibt ne Putzfrau im Haus - und wenn jemand mal (warum auch immer) einbrechen sollte und die Festplatte mitnimmt habe ich mehr als ein ungutes Gefühl.

Hätte ich das vorher mit den DS gewusst, dann hätte ich mir das wirklich überlegt! Das empfohlene 2. Backup (nicht zu Hause) an einem anderen Standort ist dann ebenfalls nicht komplett verschlüsselt möglich (auf einer 2. DS) > und die würde zwangsläufig bei Freunden/Bekannten/Familie stehen.

Alles in Allem... Warum eben keine Vollverschlüsselung? Es spricht nix dagegen, aber Vieles dafür - das muss auch mal gesagt sein.

 

[Frogman]

...Aber es geht ja auch um das wenn - es gibt ne Putzfrau im Haus - und wenn jemand mal (warum auch immer) einbrechen sollte und die Festplatte mitnimmt habe ich mehr als ein ungutes Gefühl.

Kein ungutes Gefühl, wenn die Putzfrau oder der Einbrecher Deine Kontounterlagen mitnimmt? Den Diagnosereport des Hausarztes vom letzten Checkup, der fein säuberlich im Ordner "Ärzte" im Regal steht?

Hätte ich das vorher mit den DS gewusst, dann hätte ich mir das wirklich überlegt! .

Mmh, da hab ich jetzt irgendwie kein Mitleid - sowohl hier im Forum als auch auf der Webseite von Synology gibt's bergeweise Informationen. Dann zu sagen "Hätte ich das vorher gewußt...", kommt dann schon recht seltsam...

 

[spencerbudd]

Kein ungutes Gefühl, wenn die Putzfrau oder der Einbrecher Deine Kontounterlagen mitnimmt? Den Diagnosereport des Hausarztes vom letzten Checkup, der fein säuberlich im Ordner "Ärzte" im Regal steht?

1. der Vergleich hinkt, bzw. hat damit nix zu tun!
2. fast alles digitalisiert (und noch geschützt auf meinem Notebook und verschlüsseltem Backup)
3. der Rest in einer verschlossenen Geld-Kasette (Mini Tresor) bzw. auf der Bank im Schließfach

 

[Puppetmaster]

Vielleicht auch einfach ein bisschen viel Paranoia an der falschen Stelle?
Wenn das Thema Verschlüsselung denn solch einen hohen Stellenwert bei dir hat, hättest du schon auch vor Kauf dazu recherchieren sollen, oder?

Und: natürlich sind wir "ein bisschen Synology-geprägt", schließlich ist das hier das Synology-Forum!
Heißt aber nicht, dass hier nur Fanboys herumlungern. Ich würde auch nicht jedem eine DS ans Herz legen. Manches gefällt mir z.B. bei QNAP auch besser.