DSM 7.3 Volumeverschlüsselung in DSM 7.3.2-86009

[Mahoessen]

wow, ich bin wohl der Einzige, der die Baupläne der Area 51 und die GPS-Positionsdaten des Bernsteinzimmers nicht auf seiner DS sichert...

 

[laurooon]

Du hast den heiligen Gral und die Elvis Sichtungen vergessen, die Baupläne habe ich tatsächlich auf Mikrofilm die neben auf der DS zu viel Platz weg.

Spaß beiseite, jeder hat sein eigenes Sicherheitsbedürfnis ich fahre lieber mit Gurt und Airbag auch wenn ich nur zum Bäcker fahre.

 

[ch80]

Nein, genau das stimmt nicht. Die Festplatten werden bereits beim Bootvorgang entsperrt noch lange bevor du dein Passwort eingeben musst. Damit die DSM Oberfläche dein Passwort als solches registriert und freischaltet müssen die volumes ja bereits gemountet sein.

Was heißt das dann einfach ausgedrückt?

- Wenn jemand die DS in seinen Besitz bringt und bootet, werden die Volumes entschlüsselt. Ohne PW zur Anmeldung kommt er aber ohne vertretbaren Aufwand nicht dran? Oder gibt es einfache Wege - ohne NASA oder FBI zu involvieren?

- Was passiert durch nen Mode 1 Reset? Der "Dieb" kann sich mit dem Admin User anmelden und hat Zugriff auf das verschlüsselte Volume? Was bewirkt hier das Setzend er Option "Verschlüsselte Speichereinheiten automatisch sperren"? Hat das nur ne Auswirkung auf verschlüsselte Ordner?

Danke!

 

[synfor]

Auswirkungen des Zurücksetzens im Modus 1​

 

[laurooon]

Was heißt das dann einfach ausgedrückt?

- Wenn jemand die DS in seinen Besitz bringt und bootet, werden die Volumes entschlüsselt. Ohne PW zur Anmeldung kommt er aber ohne vertretbaren Aufwand nicht dran? Oder gibt es einfache Wege - ohne NASA oder FBI zu involvieren?

Ja, ohne PW und dein entsperrtes Handy ist hier in der Regel und für normale Diebe Schluss. Selbst wenn sie dein Passwort irgendwo aus dem Darknet hätten würden sie immer noch an der 2FA scheitern und ein Ausbau der Platten wäre sinnlos, weil sie nur Datensalat sehen würden bei einer verschlüsselten Platte.

Was den Mode 1 Reset angeht kann ich nur sagen, deaktiviere das in DSM, du führst die ganzen Sicherheitseinstellungen ad absurdum! Das ist meines Erachtens nur etwas für Leute, die wirklich absolut nichts Privates oder sonst irgendwie Schützenswertes auf dem NAS haben.

 

[synfor]

Wie deaktiviert man denn den Rest Modus 1 und warum soll man den deaktivieren? Der Schlüssel wird doch dabei weggeworfen und man brauch die Wiederherstellungsschlüssel um die Volumen wieder zu entschlüsseln.

 

[laurooon]

Wie ich verstanden habe, gab es hier eine Änderung von DSM 7.2 zu 7.3




Ich glaube den Reset Knopf als solchen kann man nicht mehr deaktivieren, man kann aber 2 Dinge einstellen:

1. Passwort wird NICHT zurückgesetzt
2. Volumes werden NICHT entsprerrt und bleiben verschlüsselt

Das sollte beides aktiviert sein, sonst ist die Türe weit offen.

 

[synfor]

Ah, die Änderung ist mir entgangen.

 

[stevenfreiburg]

Ganz übel in diesem Fall, wenn man das Passwort vergessen hat und die Passwörter in Vaultwarden auf dem NAS liegen....

Ich finde es übrigend sehr hilfreich, dass du diesen Thread aufgemacht hast. Gerade bei den Themen Verschlüsselung, Privacy sowie Zugangs- und Passwortschutz lohnt es sich wirklich, genauer hinzuschauen, um die richtigen Entscheidungen treffen zu können.

Gut vorstellbar ist, dass sich viele NAS-Besitzer trotz aktivierter Volume-Verschlüsselung in falscher Sicherheit wiegen, weil ihnen nicht bewusst ist, dass ohne die beiden aktivierten Checkboxen jeder mit physischem Zugriff per Reset-Taste als admin Zugriff auf alle Daten erlangen kann.


Deine Skriptlösung „Totmannschalter“ sehe ich persönlich auf den zweiten Blick übrigens doch nicht mehr als Sicherheitsgewinn.
Im Grunde soll es doch verhindern, dass jemand irgendwie
1. das Admin-Passwort,
2. die Begrenzung der Login-Versuche und
3. 2FA
überwindet und Zugriff erlangt.
Aber ganz ehrlich: Wer diese drei bereits sehr starken Schutzmechanismen überwinden kann, der bekommt es auch ohne großen Aufwand hin, dieses Skript vom (nicht verschlüsselten DSM-System) zu entfernen.
Das Script bringt also vor allem zusätzliche Komplexität, aber nicht wirklich mehr Sicherheit. Wobei, die "gefühlte" Sicherheit ist natürlich auch wichtig

Die hier im Forum entwickelten Skriptlösungen für das Ein- und Ausschalten der Ordnerverschlüsselung steuern hingegen direkt das Entschlüsseln, was tatsächlich mehr Sicherheit und Komfort bringt.

Mein Fazit:
Mehr Sicherheit bringt bei der Volume-Verschlüsselung tatsächlich nur ein externer KMIP-Server.
Weitere Optionen zu dieser Enterprise Lösung wären wünschenswert, vor allem für Privatanwender (Entschlüsselung per USB-Key oder manuelle Passphrase-Eingabe).

Grundsätzlich auch die Frage, ob ein Netzwerkspeicher überhaupt ein „Hochsicherheitstrakt“ sein kann/muss/soll?
Ich persönlich denke: eher nicht - und speichere sensible Daten//Dateien daher ohnehin zusätzlich verschlüsselt ab, z. B. mit VeraCrypt, Cryptomator, Vaultwarden und auch mit Synologys Ordnerverschlüsselung.

 

[laurooon]

Nein, da hast du das Skript missverstanden. Was das Skript tut ist verhindern, dass jemand an die Inhalte der Volume-verschlüsselten Daten auf der Festplatte kommt indem es absolut sicherstellt dass die Verschlüsselung greift. Allein darum ging es. Ich kann weder den Diebstahl selbst verhindern, noch verhindern, das jemand die Platte ausbaut, meine Skripts löscht oder die Festplatten verkauft. Aber die Daten bekommt er eben auf keinen Fall.

Ich habe ja aber im Nachhinein auch festgestellt dass das, was ich da gebaut habe, unbeabsichtigt eigentlich mehr vor behördlichen Zugriffen/Beschlagnahmung schützen würde, als vor einem Dieb. Ein Dieb hat vermutlich eh in Interesse an der Hardware, den interessieren meine Verschlüsselungen wahrscheinlich nicht. Er zieht die Platten, formatiert und verkauft sie. Aber bei einer Beschlagnahmung würde jemand das NAS im laufenden Betrieb sichern wollen mit einer USV. Beim Versuch das NAS vom Netzwerk zu trennen und das Kabel zu ziehen (was absolut nötig wäre), gehen die Schotten zu und die Datenforensiker dürfen dann mal versuchen die 265er AES zu knacken.

Das ist allerdings ein Szenario für das ich nicht wirklich einen Anwendungsfall habe, auf dem NAS ist viel Privates und auch Sensibles aber nichts Verbotenes, was eine Hausdurchsuchung rechtfertigen würde. Wer sowas fürchtet, für den könnte das auf jeden Fall etwas sein!

 

[stevenfreiburg]

Nein, da hast du das Skript missverstanden. Was das Skript tut ist verhindern, dass jemand an die Inhalte der Volume-verschlüsselten Daten auf der Festplatte kommt

Hört sich super an!

Ich hatte es so verstanden, dass man im (immer unverschlüsselten) DSM Bereich dein Script löschen oder deaktivieren könne, d.h. das System wäre dann genau in derselben Situation, als wenn es das Script gar nicht gäbe (=Festplatte entschlüsselt und Admin 2FA Login)

Wie genau machst du es, damit niemand auf diese Weise dein Script deaktivieren oder löschen kann?

 

[laurooon]

Man kann mein Skript löschen. Wenn jemand in der Tat alle 6 Festplatten ausbauen würde (inkl. der SSD) und auf allen Platten das Skript löscht, sollte es beim Hochfahren so sein, als wäre das Skript nicht da. Das heißt Festplatten sind dann beim Start unverschlüsselt und die einzige Hürden, die dann noch wären nach wie vor DSM Passwort plus Handy. Ich halte die Hürde für einen Dieb für recht hoch, aber möglich ist es.

Das Synology hier eine Volume-Verschlüsselung anbietet, aber nicht die Möglichkeit gibt Festplatten per Passwort zu entschlüsseln halte ich für sehr schlechtes Design.
Das man nicht wenigstens die Möglichkeit gibt, Volumes von Hand zu entsperren, wie es das bei der Ordnerverschlüsselung gibt, sondern einen zwingt den Schlüssel unter die Türmatte zu legen, ist ganz große Sch*****!

Synology priorisiert Verfügbarkeit über Sicherheit. Das Szenario, vor dem Synology Angst hat, ist offenbar nicht der Dieb, sondern der Stromausfall am Wochenende für KMUs.

Szenario: Der Strom fällt nachts aus. Die USV fährt das NAS runter. Strom kommt wieder.
Ohne Auto-Mount: Das NAS fährt hoch, aber alle Dienste (Mailserver, Datenbanken, Webseiten, Backups) sind tot, weil das Volume zu ist. Es muss sich erst ein Admin einloggen, der die Laufwerke entsperrt, vorher kann keiner damit arbeiten.
Mit Auto-Mount: Alles läuft wieder von selbst.

Das ist typisch für den klassischen Konfikt Convinience kills Security! Die einzige (sichere) Möglichkeit, die man hat um das aktuell zu lösen ist der KMIP Server. Entweder man mietet sich einen und richtet ihn mühsam ein, oder man kauft sich eine zweite Diskstation, die dann aber am besten an einem physisch anderen Ort stehen sollte. Oder man nimmt die Ordnerverschlüsselung, die in bestimmten Szenarien schneckenlangsam ist.