Privates Backup über VPN vor Zugriff schützen

[schoenfelder]

Hey,

ich hoffe ihr könnt mit dem Thread-Titel was anfangen... was besseres ist mir auf die schnelle nicht eingefallen.

Ein Kumpel und ich haben eine etwas "verwegene" Idee. Da wir beide etwas paranoid sind was unsere Datenausfallsicherheit betrifft, wollen wir von unseren wichtigsten Daten zusätzlich noch ein räumlich getrenntes Backup anlegen.
Will heißen, mein Heim-Server verbindet sich zu festgelegten Uhrzeiten via VPN mit dem Seinigen, ausgewählte Daten werden gegenseitig gebackuped, alles paletti.
Soweit so gut und bis jetzt auch noch unproblematisch. Jetzt kommt das ABER.

ABER wir wollen, das nur der Eigentümer Zugriff auf diese speziellen Daten hat, also nur ich auf meine Daten (auf seinem System) und nur er auf seine Daten (auf meinem System). Nach meinem Kenntnisstand lässt sich das so ganz ohne weiteres nicht realisieren, da wir beide auf unseren Heim-Servern natürlich Root sind und dementsprechende Rechte genießen bzw. uns aneignen könnten.

Die einzige Lösung die mir einfällt ist, dass ich mir einen Truecrypt-Container (o.ä.) bei ihm erstelle und diesen natürlich entsprechend verschlüssele. Dieser wird dann mit eingebunden und das Backup wird dorthin stattfinden.
Problem dabei: ich bin mir nicht sicher ob das via Internet gescheit funktioniert (Performance) oder ob es da noch weitere Probleme geben könnte. Zudem finde ich diese Lösung etwas... unelegant.

Bitte keine Grundsatzdiskussionen über die Sinnhaftigkeit eines solchen Unterfangens... wir haben beide recht flotte Leitungen und sind zwar gut befreundet, da es sich allerdings um teils sehr private Daten handelt, wollen wir auf "Nr. Sicher" gehen. Neugier kann manchmal sehr stark sein.

Natürlich gibt es für solche Wünsche auch Anbieter die einem dies abnehmen. Aber die verlangen einen Haufen Geld den man sich auf die Weise gut sparen kann, die nötige Infrastruktur ist ja vorhanden.

Hat einer noch bessere Vorschläge?

Ergänzende Hinweise:
- Beide Homeserver laufen unter Ubuntu 11
- Geschätztes Backupvolumen insgesamt ca. 50-100GB (will heißen, zunächst ein Vollbackup auf direktem Wege (bspw. via externer Festplatte), darauffolgend inkrementelle bzw. differenzielle Backups via Internet).

 

[andy_0]

Du könntest die daten gleich bei dir aufm PC verschlüsseln (bzw. sämtliche daten die per VPN versendet werden sollen woanders verschlüsselt lagern und dann erst versenden), aber das wäre eher unnötig aufwändig.

Ich denke am besten, sichersten und relativ einfach kommt ihr mit truecrypt. Leg nen container mithilfe eines Token an (keyfile). Erstell VPN verbinung, öffne via skript den truecrypt container und synchronisiere die daten. Problem/Limitierung ist die feste limitierung der containergröße.

Ich würde euch außerdem empfehlen via rsync oder Unison die daten zu backupen. Damit sollte der datenabgleich sehr sicher und vorallem schneller vonstatten gehen. Aber wenn ihr die daten eh bei euch lokal via netzwerk einbindet, macht das dann auch kein sooo großen unterschied mehr.

 

[deveth0]

ich würde auf beiden rechnern für jeden eine verschlüsselte partition anlegen (Stichwort dm_crypt). dann kannst du per ssh eine verbindung zum anderen rechner machen, die partition mounten und dann über rsync mit ssh (rsync -ave ssh) das backup dar ein machen.
wichtig: während dieser Zeit kann dein Kumpel lokal auf das gemountete Filesystem.

wenn du es noch etwas krasser haben willst setze ein virtuelles system auf, für das nur du das passwort hast und sichere dar ein.

 

[schoenfelder]

wichtig: während dieser Zeit kann dein Kumpel lokal auf das gemountete Filesystem.

Das ist ein absolutes No-Go.

 

[deveth0]

dann bleibt nur eine vom. je nach datenmenge könntest du ggf auch noch probieren, die daten bei dir zu verschlüsseln und dann zu übertragen (ggf ein paar verzeichnisse immer zusammenfassen). dann verlierst du aber viele vorteile von rsync.

 

[schoenfelder]

Mit ner VM steigt der Aufwand aber langsam wirklich erheblich, wobei das rein von der leistungsfähigkeit der Systeme kein großes Problem darstellen sollte.

Was mir aber noch nicht ganz einleuchtet... wenn ich nen verschlüsselten Container oder Partition auf meinem Rechner einbinde, wieso kann er dann lokal darauf zugreifen? Der Container bzw. die Partition wird doch auf meinem System (lokal) gemountet, auch wenn sie physikalisch etliche Kilometer entfernt liegt. Oder mache ich da gerade nen kardinalen Denkfehler?

 

[deveth0]

Du mountest den nicht bei dir sondern auf seinem Rechner. Mounten übers Internet mit ADSL macht keinen Spass.

Du solltest dir eh im klaren darüber sein, dass du mit ADSL eh keinen großen Spass damit haben wirst, größere Datenmengen zu transferieren.

 

[schoenfelder]

Was heißt "mounten übers Internet macht keinen Spass"? Es geht mir nicht um Spaß sondern lediglich darum, dass es funktioniert. Das Ding springt des Nachts an, synct und Feierabend. Das tatsächliche Datenaufkommen dürfte auch eher gering ausfallen, da das eigentliche Vollbackup ja auf direktem Wege erfolgt und nicht übers I-Net. Ebenso denke ich nicht, dass bei den täglichen Backups allzu oft Datenmengen anfallen die mal größer sind als vielleicht 200-300 MB (selbst das dürfte die absolute Ausnahme sein, idR. dürfte sich das im einstelligen Megabyte Bereich bewegen)... und mit nem 10er Upload ist das zwar nicht schön, aber auch nicht dramatisch.

Wie gesagt, es geht hier im Wesentlichen um private Daten, sprich, alles das was nach einem Totalausfall unersetzlich ist (Bilder, Dokumente usw., nicht jedoch etwa Musik, Filme etc.). Und dieses Backup wird ja auch nur für das absolute Worst-Case Szenario gemacht (also bspw. Brand, Diebstahl). Die regulären Backups erfolgen doppelt auf zwei USB-Platten, zudem wird regelmäßig auf optische Datenträger gesichert (in letzter Zeit zugegebenermaßen eher selten, da das doch recht zeitfressend ist) und das System als solches läuft auf einem Raid5, das zur Sicherheit auch noch an ner USV hängt.

 

[Andreas75]

natürlich kann man mit sowas hervorragend seinen basteltrieb befriedigen. rsync und vpn sollte hinzukriegen sein, nur das verschlüsseln auf der jeweils andern seite wird so nicht richtig laufen. und wenns einfach nur funktionieren soll, schliesst man täglich ne usb platte an und sichert;-)

 

[deveth0]

Mit keinem Spass meinte ich, dass es wahrscheinlich nicht besonders schnell und stabil laufen wird. Zumal dir nachts dann ja vll noch irgendwann die zwangstrennung mit reinspielt. Und wenn dir ein gemountetes System dann mal abschmiert, kann es sein, dass du die ganzen Daten verlierst....