Was taugt NAS-Verschlüsselung?

[tori]

Was taugt NAS-Verschlüsselung?

Insbesondere würde mich mal interessieren, bei welchen Herstellern mal ein unabhängiger Dritter draufgeguckt hat, wie gut das so implementiert ist. Bei Verschlüsselung kann man schließlich viel falsch machen.

Außerdem finde ich kaum belastbare Informationen dazu, wie das eigentlich funktioniert, u. a. wo die Schlüssel liegen. Gibt die ein Benutzer beim Mounten ein? Oder beim Hochfahren? Oder gar nicht? Sind die vielleicht auf dem NAS gespeichert?

Derzeit würde ich mir lieber einen Server hinstellen, der mit Truecrypt oder ähnlichem verschlüsselt ist. Das hat leider den Nachteil, dass ich den Schlüssel bei jedem Hochfahren eingeben müsste...

Kennt ihr gute Links zu dem Thema? Bei c't/... in den Tests ist in der Tabelle selten mehr als ein Häkchen...

 

[Soulii]

gegenfrage: wozu brauchst du beim nem nas ne verschlüsselung ???

soll der einbrecher, der dein rechner klaut, dein nas mitnimmt und deinen tresor ausräumt von deinen ach so wichtigen daten abgehalten werden ?

 

[JamesFunk]

Bei Synology kann man die Keys entweder jedes Mal eingeben oder auf dem NAS speichern. Speichern macht (mMn) aber keinen Sinn.

@ Soulii: bei uns in der Firma ist das so. Der Datenklau wäre der größte Schaden.
Wenn einer das NAS klaut, hat er die Hardware. An die Daten kommt er nicht ran.

 

[Soulii]

ne firma hat nen serverraum , ne alarmanlage und ne elektronikversicherung.
und wenn dort auch noch ach so hoch-sensible daten liegen, gibts auch nen anständiges sicherheitskonzept

aber privat ? totaler unfug...

 

[RippingBull]

Da muss ich Soulii recht geben.
Für den privaten Gebrauch gibts sinnvollere Investitionen.
Die Übertragungsraten kann man bei den meisten verschlüsselten NAS für den Heimgebrauch vergessen.

 

[LinuxMcBook]

Für den hypothetischen Fall, dass die Polizei (wieso auch immer) den Server mit nimmt, dürfte eine Verschlüsselung gut zu einer Einstellung des Verfahren beitragen...

 

[Cool Master]

Zurück bekommen würde er es aber in dem Fall nicht... Und selbst wenn die es mit nehmen würden solange keine KiPo drauf ist kann da alles drauf sein. Sei es Filme, Musik oder die Porno Sammlung ist alles nicht illegal.

 

[JamesFunk]

ne firma hat nen serverraum , ne alarmanlage und ne elektronikversicherung.
und wenn dort auch noch ach so hoch-sensible daten liegen, gibts auch nen anständiges sicherheitskonzept

aber privat ? totaler unfug...

Wir haben weder Serverraum noch eine Alarmanlage.

Und abgesehen davon nützt und das auch nichts, wenn jemand anders an die Datne kommt.

 

[RippingBull]

@tori:
Was sollte eine Verschlüsselung denn eigentlich bringen wenn man nicht einen Schlüssel eingeben muss?
Bei den ganzen Lösungen von komerziellen Anbietern wird man keinen Einblick in die Implementierung erhalten, außer Sie verwenden OpenSource Software.
Und natürlich muss irgendwo auf dem NAS auch der Schlüssel (in irgend einer Form) gespeichert sein, wie sollte man sonst wissen was das richtige Passwort zum entschlüsseln ist?

In einem Privathaushalt, mit legalen Absichten, macht es keinen Sinn ein NAS zu verschlüsseln.

 

[t-6]

In einem Privathaushalt, mit legalen Absichten, macht es keinen Sinn ein NAS zu verschlüsseln.

Tehe, nee ganz sicher nicht. Selbst im privaten Raum gibt es genügend Daten die kein anderer zu sehen braucht, sei es ein "privater" Dieb oder erst recht die Polizei. Aktfotos der Freundin, eingescannte Dokumente etc.

 

[Green Mamba]

@RippingBull
Natürlich muss der Schlüssel nicht auf dem NAS gespeichert werden. Du solltest dich mal mit den Grundlagen befassen.

 

[U-L-T-R-A]

Zurück bekommen würde er es aber in dem Fall nicht...

Klar bekommste die Büchse zurück wenn Dir da nix illegales nachgewiesen werden kann!

Die Frage is ja vor was will ich mich mit der Verschlüsselung schützen?

Vor Polizei etc. sollte man vll mit Truecrypt einfach dei entsprechenden Daten verschlüsseln.

Vor dem Einbrecher - der wird nur Interesse an der hardware haben und wohl kaum Deine Urlaubsfotos ins Netz stellen oder Dich wegen illegaler downloads bei der Polizei anschwärzen.
Ansonsten hat er sämtliche Daten auch aus Deiner Bude in "Papierform"
Der wird wohl auch eher alle Daten löschen, damit ihm der Diebstahl nicht so einfach nachgewiesen werden kann wenn er die Büchse verhökert.

Vor dem "gemeinen Hacker" - wenn das NAS nur n Datengrab ist, einfach keine INet Freigaben einrichten.

 

[IndianaX]

Bei Synology wird eCryptFS verwendet .. das IST OpenSource.
Aber die Übertragungsgeschwindigkeit bricht auf 10 - 15MiB/s (DS213+) ein.
Und wenn du nur ein simples Password ohne Key-File verwendest ist es so unsicher.
Ich nutz die Verschlüsselung nur für das Backup meiner Daten in der Cloud,
lokal würde ich mir nach einem Einbruch mehr Sorgen um meine persönliche Sicherheit machen als um die Daten.

 

[Nasgul71]

Meine sensiblen Daten liegen in einem Truecrypt-Container auf dem NAS und mit 30 - 45 MiB/s auch nicht so langsam. Ich finde das sehr beruhigend, dass die Daten weitgehend sicher sind. Feine Sache

 

[Kanibal]

Coole Server-Hardware nutzt dafür einen TPM-Chip auf dem Mainboard - dieser beschleunigt die Kryptographie und speichert den Schlüssel.
Dadurch kann sichergestellt werden, dass die Festplatten tatsächlich nur in genau diesem einem Gerät lesbar sind - man braucht also Zugriff auf das System, um dran zu kommen.

 

[Nasgul71]

aber bete, dass diese chip niemals kaputt geht, dann ist nämlich schluß mit lustig. so viel vertrauen hätte ich in diese Coole Server-Hardware nicht.

 

[U-L-T-R-A]

Wenn ich mich recht entsinne stand die TPM Geschichte ua auch wegen DRM in der Kritik.

Ansonsten stimme ich Nasgul71 zu.
Da lieber n "Hardware-Key" auf nem USB Stick von dem man gleich noch 2 Ersatzsticks bereithalten kann.

 

[tori]

Das Szenario ist ein kleines IT-Unternehmen in angemieteten Büroräumen was gerne ein Backup über Nacht machen würde. D.h. das wo das Backup drauf kommt (und das wo es herkommt) müssen über Nacht an sein und Putzkolonne+Hausmeister haben den Schlüssel. Wenn da Kundendaten dabei sein können und diese Kunden fragen was man zum Schutz ihrer Daten tut macht sich ein unverschlüsseltes NAS ganz schlecht.

@RippingBull: Dass die Schlüssel da nicht aufs NAS gehören ist mir auch klar, wenn man allerdings die Fachpresse in den letzten Jahren verfolgt bekommt man schnell den Eindruck dass daran manchmal gespart wird. Genau aus diesem Grund habe ich nach unabhängigen Tests gefragt.

@IndianaX: eCryptFS klingt prinzipiell mal nicht schlecht. An welcher Stelle gebe ich bei Synology dann das Passwort ein? Per Webinterface? Ist das SSL von dem brauchbar?

Mein derzeitiger Favourit ist auf dem NAS zwei Partitionen zu machen, eine mit Linux+OpenVPN+iSCSI, die andere verschlüsselt. Die verschlüsselte Partition wird dann per iSCSI über OpenVPN an den Client durchgereicht und dort entschlüsselt und gemountet. Hat hier jemand eine ähnliche Installation?

 

[Kanibal]

Wenn ich mich recht entsinne stand die TPM Geschichte ua auch wegen DRM in der Kritik.

Das Problem dabei ist, dass TPM 2.0 eine neue Funktion mitbringt, dass der TPM-Chip die Ausführung von Code(/Daten) vorher gegen Zertifikate prüfen kann. Nun KÖNNTE Microsoft dies beispielsweise missbrauchen, um damit ein Monopol auf Software-Distribution zu schaffen - quasi dass nurnoch Software aus dem Windows Market akzeptiert wird.

An der Möglichkeit des Missbrauchs sind jedoch die Hersteller (durch fehlendes Opt-In) oder Microsoft Schuld - nicht das Design des TPM-Chips ;-)

aber bete, dass diese chip niemals kaputt geht, dann ist nämlich schluß mit lustig. so viel vertrauen hätte ich in diese Coole Server-Hardware nicht.

Ein Backup ist natürlich auch bei einem verschlüsselten System Pflicht.

 

[e-Funktion]

Wenn du die Datenträger verschlüsseln willst, dann mach es. Notfalls tut es ein Eigenbau-NAS mit integrierter AES-Einheit. Dann bekommst du auch garantiert keine Geschwindigkeitsprobleme im Netzwerk.