Hyper Backup HyperBackup Verschlüsselung (Client-side encryption) - Details

[sknecht]

Vielleicht kann mir hier jemand meine Fragen beantworten (ich verwende DSM 6.1 / 216+ als Quelle / 211+ als Ziel):
1. Ich habe auf der Quell-Synology verschlüsselte gemeinsame Ordner. Speichert Hyperbackup diese unverschlüsselt auf der Ziel-Synology, wenn ich die Hyperbackup-Verschlüsselung nicht aktiviert habe?
2. Bei der Verschlüsselung auf der Ziel-Synology kann ich entweder die Verschlüsselung von Hyperbackup verwenden, oder aber gleich den gemeinsamen Ordner, in welchem sich das Hyperbackup-Archiv befindet regulär verschlüsseln. Gibt es Vor-/Nachteile bei den beiden Methoden? Welche Methode ist grundsätzlich zu empfehlen? Einen Vorteil, welchen ich sehe bei Verwendung der Hyperbackup-Verschlüsselung, ist dass die Ziel-Synology (welche sich an einem anderen Ort befindet) nach einen Stromausfall wieder vollumfänglich hochfahren kann. Weiss jemand, wie es mit der Performance und der Verschlüsselungsstärke aussieht?

 

[sknecht]

...und noch eine kleine Frage:
Sehe ich dies richtig, dass bei der Variante "Hyperbackup-Verschlüsselung" der Schlüssel bei jeder Sicherung über das Internet geschickt wird (vermutlich verschlüsselt), sofern sich die Ziel-Synology an einem anderen Ort befindet? Falls ja, wäre dies ja eher nachteilig.

 

[mrsandman]

1. Es sieht so aus, dass dies tatsächlich der Fall ist, wenn man die Versionierung von HyperBackup verwendet (also nicht das dateibasierte Backup). Siehe dazu die Diskussion um den folgenden Kommentar: http://www.synology-forum.de/showth...sselt-werden-!&p=698552&viewfull=1#post698552
2. Bezüglich Performance und Verschlüsselungsstärke kann ich nicht viel sagen, da ich mich bis jetzt nicht mit encryptfs auseinandergesetzt habe. Ich denke ein weiterer Vorteil der HyperBackup Verschlüsselung ist, dass du ein Backup ohne weitere Hürde (einhängen von verschlüsselten Ordnern) irgendwo hin kopieren kannst und dort nur mittels des HyperBackup Explorers direkt an alle Daten heran kommst.
3. Bei dem Verschlüsselungsverfahren von HyperBackup gibt es nicht der Schlüssel. Es sind jeweils mehrere Schlüssel im ganzen Prozess involviert. Einige Schlüssel werden tatsächlich bei jeder Sicherung über das Internet geschickt. Allerdings sind diese Schlüssel mit einem weiteren sehr starken Verschlüsselungsverfahren verschlüsselt, von welchem nur der Ersteller des Backuptasks den Schlüssel zur Entschlüsselung besitzt (es ist das Passwort, bzw. die Datei, welche einem zum Download angeboten wird, nachdem ein Backuptask mit Verschlüsselung eingerichtet wurde). Dieser Schlüssel wird nicht einmal auf der DS gespeichert. Der Ersteller des Backuptasks entscheidet selber, wo und wie er diesen Schlüssel speichern möchte und ist auch absolut selber dafür verantwortlich, diesen Schlüssel nicht zu verlieren! Des Weiteren werden die übertragenen Schlüssel auf der Ziel-Synology nicht entschlüsselt, sondern direkt verschlüsselt, wie sie gesendet wurden, gespeichert. Insofern: ja, gewisse Schlüssel werden verschlüsselt über das Internet geschickt, allerdings ergibt sich dank der starken Verschlüsselung kaum einen Nachteil.

 

[sknecht]

Hallo MrSandman,

Danke für Deine Antwort!
Ich habe inzwischen Folgendes in Erfahrung gebracht (u a im Kontakt mit Synology-Support):
1. Sofern nicht die Verschlüsselung in HyperBackup aktiviert ist, wird das Backup in jedem Fall unverschlüsselt gespeichert (also auch ohne Versionierung wird es unverschlüsselt gespeichert).
2. Die Antwort von Synology-Support (und ist auch in einer FAQ so beschrieben) ist, dass das Speichern auf verschlüsselte Ordner (dh encryptfs) aus Hyperbackup nicht unterstützt wird.
Will man also seine verschlüsselten Dateien verschlüsselt backuppen, MUSS die Verschlüsselung in Hyperbackup aktiviert sein.

1. Es sieht so aus, dass dies tatsächlich der Fall ist, wenn man die Versionierung von HyperBackup verwendet (also nicht das dateibasierte Backup). Siehe dazu die Diskussion um den folgenden Kommentar: http://www.synology-forum.de/showth...sselt-werden-!&p=698552&viewfull=1#post698552
2. Bezüglich Performance und Verschlüsselungsstärke kann ich nicht viel sagen, da ich mich bis jetzt nicht mit encryptfs auseinandergesetzt habe. Ich denke ein weiterer Vorteil der HyperBackup Verschlüsselung ist, dass du ein Backup ohne weitere Hürde (einhängen von verschlüsselten Ordnern) irgendwo hin kopieren kannst und dort nur mittels des HyperBackup Explorers direkt an alle Daten heran kommst.
3. Bei dem Verschlüsselungsverfahren von HyperBackup gibt es nicht der Schlüssel. Es sind jeweils mehrere Schlüssel im ganzen Prozess involviert. Einige Schlüssel werden tatsächlich bei jeder Sicherung über das Internet geschickt. Allerdings sind diese Schlüssel mit einem weiteren sehr starken Verschlüsselungsverfahren verschlüsselt, von welchem nur der Ersteller des Backuptasks den Schlüssel zur Entschlüsselung besitzt (es ist das Passwort, bzw. die Datei, welche einem zum Download angeboten wird, nachdem ein Backuptask mit Verschlüsselung eingerichtet wurde). Dieser Schlüssel wird nicht einmal auf der DS gespeichert. Der Ersteller des Backuptasks entscheidet selber, wo und wie er diesen Schlüssel speichern möchte und ist auch absolut selber dafür verantwortlich, diesen Schlüssel nicht zu verlieren! Des Weiteren werden die übertragenen Schlüssel auf der Ziel-Synology nicht entschlüsselt, sondern direkt verschlüsselt, wie sie gesendet wurden, gespeichert. Insofern: ja, gewisse Schlüssel werden verschlüsselt über das Internet geschickt, allerdings ergibt sich dank der starken Verschlüsselung kaum einen Nachteil.

 

[goetz]

Hallo,
@sknecht
bitte keine Vollzitate und besonders nicht wenn Du direkt antwortest.
Danke.

Gruß Götz

 

[mrsandman]

@sknecht

Vielen Dank für deine Ergänzungen!

 

[Arnie99]

2. Die Antwort von Synology-Support (und ist auch in einer FAQ so beschrieben) ist, dass das Speichern auf verschlüsselte Ordner (dh encryptfs) aus Hyperbackup nicht unterstützt wird.

Komische Aussage vom Support, denn genau so ein Job läuft bei mir:

Quelle: verschlüsselter Ordner auf DS1
Ziel: verschlüsselter Ordner auf DS2
clientseitige Verschlüsselung off

Die beteiligten Ordner müssen natürlich eingehängt sein.

 

[paolee]

Hallo. Ich habe ein Hyperbackup, leider ohne client-side Verschlüsselung, auf Amazon Drive getätigt. Nun meine Frage: kann man die Client-Side Verschlüsselung auch noch nachträglich aktivieren? Falls nein, ist das Backup ohne client-side Verschlüsselung sehr fahrlässig (kenn mich leider damit wenig aus...)
Danke für Eure Hilfe

 

[vagzubi]

wenn du all deine Daten gegenüber Amazon offen legen möchtest (+falls mal jemand zugang erlang ebenfalls), dann nicht. Ich würde dir aber die Verschlüsselung wärmstens empfehlen. Nach meinem Wissen, musst du ein neues Backup anlegen. Sollte allerdings kein Problem sein.

Gruss

 

[paolee]

kann es sein, dass hyperBackup die Dateien irgendwie verschlüsselt, ohne der client-side Verschlüsselung? Ich kenn mich leider nicht aus, aber wenn ich in mein Amazon Drive gehe, sehe ich meine Datein nicht sondern, nur Ordner und Dateien, mit welchen ich nichts anfangen kann.... wie sind diese gespeichert?

 

[mrsandman]

Nein, die Daten werden überhaupt nicht verschlüsselt ohne der Client-Side Verschlüsselung. Allerdings werden die Daten in ein HyperBackup-eigenes Datenbankformat gepackt und allenfalls komprimiert. Du siehst also nur die Containerdateien, in welche HyperBackup deine Daten zerstückelt verpackt hat. Das Backup lässt sich ohne Passwort oder Schlüssel auf einer Diskstation mittels HyperBackup, oder auf einem beliebigen Computer mittels dem HyperBackup Explorer wiederherstellen.

 

[Mat3854]

Hallo Community
Das Script findet ihr unter: https://github.com/mistersandman/hyperbackup_decrypt
Gruss mrsandman

Hallo. Jetzt muss ich als Neuling hier doch auch einmal nachfragen, da die vielen Beiträge in dem Therad mich doch leicht verwirrt haben.

Ich nutze ein DS916+ und möchte die Funktion von Hyper-Backup mit Ziel Amazon Cloud Drive nutzen. Natürlich habe ich ein starkes Interesse daran, dass niemand bei Amazon (und auch niemand von Synology) meine verschlüsselten Backups dort „einfach“ entschlüsseln und einsehen kann.

Ich habe es bisher so verstanden, dass ich mein DS916+ mit dem Hyper-Backup so einrichten kann, dann dieses meine Daten automatisch und verschlüsselt auf den Amazon Cloud Space hochladen kann. Wenn ich diese Daten mal wieder brauche, dann kann ich diese herunterladen und nur ich kann diese dann mit einem Passwort bzw. Passwortdatei die auf einem USB-Stick abgelegt sein kann entschlüsseln.

Jetzt bin ich aber verunsichert wegen der Datei in dem Link die Du anbietest. Für mich liest sich das so, als wenn mein Passwort damit aus einer verchlüsselten Datei die hochgeladen wurden einfach ausgelesen werden kann. Ist das jetzt wirklich so oder habe ich da komplett was falsch verstanden?

Gruß Matze

 

[Fusion]

@Mast3843 - man braucht entweder dein Passwort oder die Schlüsseldatei (name.pem) die beim Anlegen des Backup zum Download angeboten wird. Ohne eines von beiden ist auch die Entschlüsselung nicht möglich.

 

[Mat3854]

@Mast3843 - man braucht entweder dein Passwort oder die Schlüsseldatei (name.pem)

Vielen Dank für die Antwort. Aber im ersten Beitrag bzw. auch in weiteren wird es so beschrieben, dass man mit der Datei unter https://github.com/mistersandman/hyperbackup_decrypt das Passwort aus einer verschlüsselten Datei auslesen kann. Oder habe ich da was falsch verstanden?

 

[Fusion]

@Mast3843 - bitte keine Vollzitate, besonders nicht bei direkten Antworten. Danke.

Nein, hast du nicht. Deshalb schrieb ich ja entweder Passwort ODER Schlüsseldatei (name.pem).
Wenn ich das richtig im Kopf habe wird dein Passwort wird mit einer Cipher/String von Synology verschlüsselt und ergibt die Schlüsseldatei.
Deshalb kann man aus der Schlüsseldatei zusammen mit der Synology-Cipher/String auch wieder auf dein Passwort zurückrechnen.

 

[mrsandman]

Hallo Matze, wie Fusion bereits erklärt hat braucht man entweder das Passwort oder die Schlüsseldatei um ein Backup zu entschlüsseln. Weder das Passwort noch die Schlüsseldatei kann direkt aus dem Backup herausgelesen werden. Die Verschlüsselung funktioniert so:
Das Passwort verschlüsselt die Schlüsseldatei, die Schlüsseldatei verschlüsselt das Backup. Die mit dem Passwort verschlüsselte Schlüsseldatei wird dem Backup beigelegt. Deshalb kann man mit Hilfe des Passworts die Schlüsseldatei aus dem Backup auslesen. Das Passwort wird in keiner Form im Backup gespeichert.

 

[PotatoHead]

Hallo,
Eine Verständisfrage, die mir bisher nicht ganz klar ist. Ich habe mein Zertifikat noch, aber leider dass Passwort vergessen. Kann ich das extrahieren? Oder sollte ich lieber ein neues Backup machen?
Danke!

 

[mrsandman]

Das Passwort ist in keiner Form im Backup gespeichert. D.h. selbst mit dem Zertifikat lässt sich dein Passwort nicht extrahieren. Allerdings genügt das Zertifikat um alle Operationen mit dem Backup auszuführen. Es ist daher nicht zwingend notwendig ein neues Backup zu erstellen. Solltest du aber auch noch dein Zertifikat verlieren, ist dein Backup dann wertlos.

 

[Fusion]

Mit dem pem-key den man z.B bei der Erstellung eines verschlüsselten Gemeinsamen Ordners (ecryptFS) bekommt kann man das Passwort (auf der Konsole) extrahieren.
Bei Hyper Backup kann man in der GUI (ähnlich wie bei den verschlüsselten Ordnern) den key durch Eingabe des Passwortes erneut herunterladen.
Heißt für mich, dass es theoretisch auch möglich sein sollte das Passwort bei Besitz des keys zu bekommen. Ob die passenden Werkzeuge verfügbar sind ist eine andere Frage.

 

[mrsandman]

Mag sein, dass das für ecryptFS funktioniert, welchen Befehl muss man dazu verwenden?

HyperBackup verwendet aber nicht das gleiche Verschlüsselungsschema wie ecryptFS. Das Passwort wird in keiner Form im Backup gespeichert. Es ist daher nicht möglich, das Passwort aus dem Backup zu extrahieren, auch nicht mittels des privaten Schlüssels (pem-key).