Verschlüsselung

[5n00py]

Hey Leute, kann mir mal bitte jemand erklären wie ich wichtige Daten auf der Synology vor Hardwaremäßigem Diebstahl schützen kann?
(Einbrecher nimmt DS mit). Ich habe da was von Verschlüsselung gelesen. Ich würde gerne nur Inhalte von bestimmten Benutzerordnern
verschlüsseln. Im Moment habe ich noch ne DS109j, jedoch jetzt ne DS212j bestellt. Kann die solch eine Verschlüsselung überhaupt?
Ich habe außerdem in den Leistungsdaten einen Punkt (Upload/Download von verschlüsselten Dateien (5GB Datei)) gefunden. Was kann ich
mir darunter genau vorstellen?

greetz 5n00py

 

[jahlives]

Es gibt scheinbar Probleme mit der Verschlüsselung und bestimmten Files in einem ext4 Dateisystem.
Ich verschlüssle wichtige Daten auf der DS vom Client aus mit einem filebasierten Tool (z.B. axcrypt).

 

[5n00py]

Ich synce Daten aber momentan über den Data Rep. das geht ja nicht mehr wenn ich die Daten vorher verschlüsseln muss oder?

 

[jahlives]

Wieso sollte man verschlüsselte Daten ned syncen können? Sind ja auch Dateien, mit Bits und Bytes
Was nicht funzen könnte ist die Möglichkeit diverser Sync/Backuptools nur die geänderten Blöcke zu übertragen. Das könnte bei verschlüsselten Daten zum GAU führen. Aber als ganze Datei, lässt sich ein verschlüsseltes File problemlos syncen

 

[5n00py]

Ich meinte damit eigentlich das die Daten beim syncen nicht automatisch verschlüsselt werden sondern das immer per Hand gemacht werden muss. Oder gibt es auch die Möglichkeit einen Ordner zu erstellen in dem alles automatisch verschlüsselt wird was rein gelegt wird (auf dem Client Rechner)

 

[Merthos]

Ein verschlüsselte Freigabe auf der DS anlegen und diese als Ziel für den DR verwenden, fertig.

Anonsten kann die DS Verschlüsselung auf Freigabeebene (außer Systemordner), entweder mit Speicherung der Keys (nicht so sinnvoll bei Diebstahl) oder mit manueller Eingabe nach jedem Booten über das DSM.

 

[5n00py]

Ist es exentuell sicher Dateien einen Container mit True Crypt anzulegen und diesen über den Data Relplicator syncen?

 

[jahlives]

Solange der Container lokal auf dem PC liegt und zur DS gesichert werden soll, sollte das so klappen. Problematischer scheinen Container zu sein, die man direkt auf der DS hat und via Netzwerk öffnen will (z.B. Samba und iSCSI).
Du kannst einzelne Files auf der DS auch via Kommandozeile und openssl verschlüsseln. Der Vorteil wenn du einzelne Files verschlüsselst ist, dass du nicht immer den gesamten Container übertragen musst

 

[5n00py]

Also das mit dem Container ist eher für persönliche und sensible Daten gedacht. Dieser Container währe dann auch nicht so groß.
Wie sieht es denn aus wenn ich beispielsweise Bilder verschlüsseln möchte, diese aber per DLNA auf einem Gerät anschauen will?

 

[5n00py]

Ein weiteres Problem das ich jetzt habe ist die automatische Syncronisierung des Containers. Da dieser seine Größe nicht ändert
erkennt der DataReplicator keine Änderungen darin und syncronisiert diesen auch nicht neu.

 

[5n00py]

Hi nochmal,

ich habe jetzt entdeckt das man Ordner im DSM verschlüsseln kann. Wie sicher ist das und kann ich da auch zum Beispiel den Foto Ordner schützen
aus dem ich Inhalte streame? Oder geht das mit dem streamen dann nicht mehr?

 

[jahlives]

Ich meine, dass man die Systemfreigaben (photo, music und video) nicht verschlüsseln könne. Weiss es aber nicht sicher, weil ich mich damit noch ned auseinandergesetzt habe. Zum Thema Sicherheit: Das ist eine Standart AES Verschlüsselung, welche als sicher gilt. Es gab zwar in der letzten Zeit einen Proof of Concept wie man die Schlüssellänge von AES durch bestimmte Verfahren verkürzen konnte, es handelt sich dabei aber nur um 2Bit. Also zu vernachlässigen ;-)

 

[5n00py]

Naja, also bisher habe ich jetzt über truecrypt verschlüsselt. Das ist aber relativ unkomfortabel da man bei Sicherungen immer direkt den ganzen Konträrer verschieben muss...

Schade das man die drei Medienordner nicht verschlüsseln kann... Aber die Hauptsache ist für mich erstmal das persönliche Daten bei Diebstahl geschützt sind...

 

[5n00py]

Könnte mir bitte nochmal jemand bei dem Thema Verschlüsselung helfen???
Man kann ja einzelne Ordner verschlüsseln um diese bei Diebstahl zu schützen.
Aber der Angreifer braucht doch theoretisch nur das Admin Passwort knacken
und kann die Verschlüsselung dann einfach ohne Passworteingabe wieder lösen oder?

 

[jahlives]

Die Verschlüsselung der Freigaben schützt nur wenn dir jemand deine DS physisch ratzt. Dazu muss er sie ja vom Strom trennen und danach sind die Freigaben verschlüsselt und ohne korrektes PW nicht mehr lesbar zu machen. Das gilt natürlich nur solange sich das Passwort nicht in irgendeiner Form auf der DS befindet.
Solange die DS läuft und die Freigaben entschlüsselt sind, sind die Daten nicht geschützt. Denn theoretisch kann man sie "einfach" in entschlüsselter Form kopieren. Es ist auch sehr heikel die Freigaben beim boot automatisch einzubinden, denn dazu musst du das PW auf der DS hinterlegen. Damit wäre aber genau der Sinn und Zweck der Verschlüsselung (Schutz vor physischem Diebstahl) ausgehebelt.

Ich würde nicht freigaben verschlüsseln, sondern die Daten darin. Dafür gibt es gute Tools wie Sand am Meer und das PW bleibt in jedem Fall auf dem Client.

 

[5n00py]

Ich würde nicht freigaben verschlüsseln, sondern die Daten darin. Dafür gibt es gute Tools wie Sand am Meer und das PW bleibt in jedem Fall auf dem Client.

Wie meinst du das?

Das mit dem verschlüsseln funktioniert so auch, aber jetzt kommt das Problem. Angenommen ich habe mehrere Nutzer der DS, diese haben alle ihre persönlichen Daten
darauf liegen die ja auch verschlüsselt werden sollen. Hat der User überhaupt eine Chance das Passwort nach Systemstart einzugeben? Wie kann ein normaler Nutzer
auf diese Option im DSM zugreifen?

 

[jahlives]

Nimm doch einfach ein Tool für den PC und verschlüssle damit die Dateien, die verschlüsselt werden sollen. Hat den Vorteil, dass die gesamte Entschlüsselung auf deinem Client stattfindet

 

[5n00py]

Joa, da hast du wohl Recht. Mich schreckt aber dann die Synchronisierung mit dem Data Replicator so ab.
Wenn ich irgendwelche Verschlüsselten Container mache muss dieser ja immer den kompletten Container
syncronisieren und das auch noch von Hand da der Replicator ja nicht sieht wenn sich was im Container
ändert. Wie macht ihr das denn?

 

[Ap0phis]

Da gibt es keinen Königsweg.

Frag 10 Benutzer, und du bekommst da mindestens 5 unterschiedliche Lösungen.
Allerdings denke ich auch, dass von diesen 10 Benutzern ca. 0,1 Benutzer seine Daten auf der DS verschlüsselt. Eine Verschlüsselung ist in der Regel für brisante Daten mehr oder weniger notwendig, nicht aber bei "normalen" privaten Daten. Diese sind ja mit dem Userpasswort vor anderen Usern geschützt.

Eine mögliche Lösung wäre, einen Truecrypt-Container direkt auf der DS zu erstellen und diesen einfach auf dem PC zu mounten. Das geht sogar automatisch beim Anmelden des Users auf dem PC. Man arbeitet so mit den Daten, als ob sie auf dem PC liegen und in der Realität liegen sie nur verschlüsselt auf der DS.
So ist in der Tat jeder User für seine Verschlüsselung selber verantwortlich. Der Container kann/sollte dann einfach mit den üblichen Mitteln der DS gesichert werden.

 

[itari]

Ich würde mir genau anschauen, was alles so mit verschlüsselten Dateien/Verzeichnisse passieren kann, denn wenn irgendwann etwas defektiert, willst ja nicht die Daten 'abschreiben', oder? Mein Tipp: So wenig wie nötig verschlüsseln ...

Itari