Luks + keyfile remote einbinden || rsync? || Seagate Archiv HDD v2 8TB?

[KingBeike]

Hallo,

ich habe zur Zeit einen Ubuntu Server 14.04.3 LTS auf einem Core i3 Haswell, 12GB RAM laufen. Rennt auch wunderbar, allerdings wird mir mit der Zeit meine 3TB WD Red etwas knapp für meine Medien auf die mein Plex Server zugreift.

Zusätzlich nutze ich aber auch eine 1TB Platte für meine Owncloud und eine 320 GB platte für das OS.

Owncloud verschlüsselt die Datenpartition automatisch dank des encryption modules, da muss also nicht viel gemacht werden.

1. Anliegen:

Was ich gerne einrichten würde:

Die 3TB Platte soll durch eine deutlich größere ersetzt werden (WD Red 6TB oder Seagate Archive HDD v2 mit 8TB).

Die Platte soll mit LUKS verschlüsselt werden, da bei Diebstahl etc. nicht jedem die Fotos, Videos, Filme in die Hände fallen sollen.

Der Server wird hauptsächlich remote genutzt, sprich Owncloud und Plex von unterwegs, was heißt das bei einem Stromausfall ich jedes mal ein Password am Server oder per SSH eingeben müsste. Will ich aber nicht.

Plan ist das interne NAS (mehrere hunderte KB hat das, was mehr als ausreichend sein sollte) meiner Fritzbox per skript kurzzeitig einzubinden, den keyfile zum entsperren benutzen bevor die Owncloud und Plex Server starten.

Hatte da sowas in der Richtung gefunden:
Linuxrechner$ # sudo mount -t cifs -o guest //192.168.178.1/fritzbox-nas /media/fritzbox-nas/
(Hiermit wird die NAS-Samba-Freigabe von der FritzBox mit der IP 192.168.178.1 nach /media/fritzbox-nas gemountet.)

Da dann den keyfile einlesen und danach umount und das wars.

Was haltet ihr davon? An der Fritzbox wird sicher niemand einen keyfile vermuten oder die Box mitnehmen, geschweige denn versuchen die Platte damit zu entschlüsseln. Zu unsicher?

Würde das auch mit der Systempartition gehen, oder muss ich da manuell entsperren?

Würde rsync für ein Backup auf eine externe noch reibungslos klappen wenn beide verschlüsselt sind? Solange beide eingebunden sind sollte das ja kein Thema sein?



2. Anliegen:

Ich stehe zwischen der Wahl einer WD Red 6TB und einer Seagate Archive HDD v2 8TB.

Die Medienplatte wird vielleicht 5 oder 6 mal mit einem größeren Video/Film beschrieben, danach nur noch gelesen. Also keine aktive Festplatte die dauernd beschiebene wird. Also ein Medienarchiv. Sinnvolles Einsatzgebiet für die Archiv HDD?

Es wird KEIN Raid betrieben, aber ein Backup auf eine externe Festplatte die über USB angeschlossen wird und dann per rsync Nachts veränderte Daten rüber schiebt.

Sollte ich dafür die Archiv HDD nehmen oder lieber doch die WD Red, auf 2 TB verzichten und 60€ mehr zahlen?

Gibt es aktuell noch Probleme mit dem Linux kernel? Vor allem bei der LTS Version vom Ubuntu server?


Danke :-)

 

[HominiLupus]

Ein Dieb der einen billigen i3 PC mitnimmt, wird auch eine kleine, gut verkaufbare Fritzbox mitnehmen.

 

[Shririnovski]

Lass die Finger von der Seagate, es gibt mit der ein oder anderen aktuellen Kernelversion Probleme. Ich hatte genau dieses Problem mit meinem Ubuntu 14.04 Server und habe es nicht beheben können.

https://bugzilla.kernel.org/show_bug.cgi?id=93581

 

[KingBeike]

Ein Dieb der einen billigen i3 PC mitnimmt, wird auch eine kleine, gut verkaufbare Fritzbox mitnehmen.

Schon klar, nur steht nicht drauf was drin ist ;-). Selbst wenn beides geklaut wird gehe ich stark davon aus, dass niemand in der Fritzbox nach einem Keyfile schauen wird? Oder bist du da anderer Meinung?

Lass die Finger von der Seagate, es gibt mit der ein oder anderen aktuellen Kernelversion Probleme. Ich hatte genau dieses Problem mit meinem Ubuntu 14.04 Server und habe es nicht beheben können.

https://bugzilla.kernel.org/show_bug.cgi?id=93581

Okay...ich werde das die nächsten Tage nochmal beobachten was sich da preislich tut.

6TB sollten da wohl erstmal auch reichen denke ich.

 

[Bagbag]

Ich würde auf dem System ein Hypervisor installieren (Proxmox, vSphere oder Ähnliches). Das ganze ist unverschlüsselt.
Darauf installierst du dann dein Ubuntu (schon mal OpenMediaVault angeschaut?).
Da das unverschlüsselt ist, kann es ohne dein zutun starten und somit danach Keys aus entfernten Quellen beziehen.

Dann gibt es für die VM mehrere Keyfiles. Eines auf deinem Router, eines im Internet und eines auf deinem Rechner selbst.

Wird der Rechner geklaut, hat dieser kein Zugriff mehr auf den Router.
Wird beides geklaut, so kannst du den Key aus dem Internet löschen.

Diese Keys werden dann vor dem starten der VM aus vom Router und aus dem Internet geladen und der Host mountet damit dann die verschlüsselte virtuelle HDD, womit die VM booten kann.

Logischerweise muss das ganze dann so eingerichtet sein, dass alle Key zum entschlüsseln nötig sind..

 

[KingBeike]

Danke für die Antwort!

Openmediavault sieht in der Tat sehr Interessant aus, aber ich habe ehrlich gesagt nicht so die Lust alles nochmal aufzusetzen und komplett neu einzurichten und eventuelle Probleme zu beseitigen.

Was hälst du von meiner Idee? Ich könnte ja deinen Ansatz auch für LUKS nutzen oder akzeptiert der nur einen Keyfile?

 

[Bagbag]

Bei meinem Ansatz wäre das ganze auch mit LUKS realisierbar.
Und selbst wenn LUKS das nicht kann (bin mir da nicht sicher, ob man das so einrichten kann, dass mehrere nötig sind), könnte man die Keys miteinander mit XOR verknüpfen und somit ein Keyfile zu bekommen.
Edit: Oder auch einfach aneinander reihen...

Aber das Problem ist, dass du dazu die Keyfiles von entfernten Speicherplätzen nutzen musst. Mir ist kein Weg bekannt, da noch während dem Bootvorgang (Syslinux / GRUB) dran zu kommen.

Du könntest jedoch auch dein jetziges System "vervirtualisieren" (ein Abbild machen) und das dann als VM nutzen.

Aber OpenMediaVault einzurichten ist ja nicht gerade viel Aufwand, grade weil du dort eben die Shares bequem per Webinterface erstellen kannst.