Neuling bittet um Kaufberatung

Mitglied seit
07. Jan 2024
Beiträge
10
Punkte für Reaktionen
0
Punkte
1
Hallo Synology-Community,

als Komplettneuling bitte ich freundlich um eine grundständige Kauf- bzw. Systemberatung, da ich offen gesprochen mit dem vielfältigen Angebot von Synology etwas überfordert bin und zwar bereit bin das notwenige Geld für eine vernünftige Lösung auszugeben, aber auch nicht mehr ausgeben möchte als unbedingt notwendig.
Und bevor ich das System nun eventuell aus Unwissenheit maßlos überdimensioniere, bitte ich um eure Unterstützung das Passende für mich zu finden :)

Wie bin ich überhaupt hier her gekommen?
Nun, bisher war ich in der Windows-Welt zuhause und nutzte als Cloud-Speicher und zugleich auch BackUp eine klassische Cloud-Lösung mit End-2-End-Verschlüsselung.
Dabei lagen meine Produktivdaten auf einer externen Festplatte und wurden bei Veränderung automatisch mit der Cloud verschlüsselt synchronisiert.
Durch den Cloud-Anbieter hatte ich ebenfalls die Möglichkeit mit meinem Smartphone oder über den Browser auf die Daten zuzugreifen. Also alles ganz simpel und funktional.

Mein Problem ist nun, dass ich mit meinem Hauptsystem zu Apple gewechselt habe (MacMini M2 Pro) und wie ich leider feststellen musste, Apple es nicht mehr zulässt, dass Cloud-Dienste mit einem externen Laufwerk synchronisiert werden.
Das heißt man ist gezwungen alle Daten auf dem internen Gerätespeicher abzulegen um diese mit der Cloud synchron halten zu können.
Da mir der interne 1TB-Speicher aber nicht ausreicht, bin ich auf der Suche nach einer funktionalen Alternative und denke, dass eine Synology NAS die passende Lösung sein könnte.

Was ich konkret möchte:

- Ein verschlüsseltes TimeMachine-Backup des MacMini auf dem NAS ablegen
- Ein voll verschlüsseltes Produktivlaufwerk auf dem NAS haben (auch zur Videobearbeitung)
- Von unterwegs jederzeit auf alle Daten zugreifen können
- Eine automatisierte End-2-End verschlüsselte Komplettsicherung des gesamten NAS

Mein Speicherbedarf für das TimeMachine-Backup liegt bei 2TB und für das Produktivlaufwerk ebenfalls bei 2TB, also 4TB insgesamt.


Punkte bei denen ich noch keine klare Orientierung habe:

- Soweit ich gelesen habe, wird von Synology empfohlen, das TimeMachine-Backup direkt auf dem Mac als verschlüsseltes Backup zu erstellen, nicht aber das Laufwerk bzw. den Ordner auf dem NAS. Hier wäre meine Frage also ob es möglich ist bei einer einzelnen NAS-Festplatte sowohl das für das TimeMaschine-Backup notwendige unverschlüsselte Verzeichnis anzulegen als auch das für den Produktivbetrieb gewünschte vollverschlüsselte Laufwerk, oder ob sich dies nur mit zwei separaten Festplatten im NAS realisieren lässt?

- Ich möchte das NAS als Produktivlaufwerk betreiben und dort sowohl Dateien für den Videoschnitt ablegen und diese bearbeiten ohne sie zuvor auf den Mac kopieren zu müssen als auch Fotos und allgemeine Dokumente verwalten. Was für technische Mindestanforderungen muss die Diskstation dafür erfüllen?

- Um den NAS komplett automatisiert zu sichern, finde ich die C2-Cloud sehr sympathisch. Soweit ich gelesen habe, verfügt diese über eine echte End-2-End-Verschlüsselung. Was ich jedoch nicht in Erfahrung bringen konnte ist ob Synology zwar auf die Dateien selbst nicht zugreifen kann aber dennoch Zugriff auf die Dateinamen und sonstigen Metadaten der Files hat oder ob wir hier wirklich von einer vollständigen End-2-End-Verschlüsselung sprechen bei der Synology absolut gar keine Infos zu den Dateien einsehen kann?

- Dann ist mir nicht klar ob sich der Speicherbedarf in der C2-Cloud ausschließlich nach dem tatsächlich belegten Speicher auf dem NAS richtet oder nach der Kapazität. Also wenn ich bspw. ein NAS mit 4TB Kapazität habe, aber davon nur 1,8 TB belegt sind, benötige ich dann einen C2-Cloud-Speicher von 2TB oder 4TB?


Ich wäre sehr dankbar, wenn mir die erfahrenen User die vorstehenden Fragen beantworten könnten und mir bestenfalls auch gerne einen Vorschlag für ein "Gesamtpaket" machen könnten, das meinen Ansprüchen gerecht wird.
Also gerne ein konkretes DiskStation-Model inkl. passender Festplatte (SSD) bzw. FestplatteN (SSD´S) womit ich das beschriebene Vorhaben umsetzen kann.
Dabei sollte gelten: So viel Leistung wie nötig, aber auch nicht mehr.

Ich danke für eure Unterstützung ganz herzlich im Voraus.

Viele Grüße
DiskStationer2023 (falschen Nutzernamen gewählt - wir haben ja schon 2024 :))
 

*kw*

Benutzer
Contributor
Sehr erfahren
Maintainer
Mitglied seit
10. Aug 2013
Beiträge
1.626
Punkte für Reaktionen
661
Punkte
134
- Soweit ich gelesen habe, wird von Synology empfohlen, das TimeMachine-Backup direkt auf dem Mac als verschlüsseltes Backup zu erstellen, nicht aber das Laufwerk bzw. den Ordner auf dem NAS.
Ich schreibe seit 9 Jahren täglich direkt auf's NAS (hierfür eigener Nutzer, Details bei Bedarf später mehr) und da ging noch nie was in die Hose, auch nicht beim Rücksichern.

Ein voll verschlüsseltes Produktivlaufwerk auf dem NAS haben (auch zur Videobearbeitung)
Du kannst bei neueren Modellen das gesamte Laufwerk per se verschlüsseln oder passwortgeschütze Ordner erstellen

PS: SSD als Langzeitspeicher sind nicht vorteilhaft.
 
Zuletzt bearbeitet:
  • Like
Reaktionen: DiskStationer2023

plang.pl

Benutzer
Contributor
Sehr erfahren
Maintainer
Mitglied seit
28. Okt 2020
Beiträge
14.180
Punkte für Reaktionen
4.915
Punkte
519
Willkommen hier im Forum!
Ich würde dir die 423+ empfehlen - die bietet aktuell das beste Gesamtpaket. 4 Steckplätze für HDDs und 2 für nvme SSDs. Bei allen kleineren Modellen müsstest du in gewissen Bereichen immer Abstriche machen. Mit deinen jetzigen Anforderungen ist die 423+ schon overpowered. Aber du hast halt Reserven für die Zukunft. Sowohl in Sachen Platten nachrüsten, als auch in RAM nachrüsten und CPU-Power.
sowohl Dateien für den Videoschnitt ablegen und diese bearbeiten
Autsch! Das wird nix. Da müsstest du auf die 923+ gehen und dein Netzwerk auf 10 Gigabit aufrüsten, sonst ist das einfach zu langsam. Klar kannst du machen. Aber du wirst immer noch vom Durchsatz her langsamer sein, als wenn du es lokal auf der SSD machst.
Um den NAS komplett automatisiert zu sichern, finde ich die C2-Cloud sehr sympathisch
Wenn du ein Voll (Bare-Metal) Backup fahren willst, geht das auch nur so. Bare-Metal Sicherungen gehen nur nach C2 oder auf ein anderes NAS. Woanders hin kannst du auch sichern, aber halt keine Komplettsicherung.
benötige ich dann einen C2-Cloud-Speicher von 2TB oder 4TB?
In der Cloud wird der Speicherplatz gebucht, der auch tatsächlich gebraucht wird. Die größe der lokalen Festplatten hat da keinen Einfluss.

Thema HDDs: Für alles bis 6TB würde ich die WD Red Plus empfehlen. Darüber entweder Seagate Exos oder Toshiba Enterprise Scale Capacity.
 
  • Like
Reaktionen: DiskStationer2023

ctrlaltdelete

Benutzer
Sehr erfahren
Maintainer
Mitglied seit
30. Dez 2012
Beiträge
10.111
Punkte für Reaktionen
3.647
Punkte
414
verschlüsseltes Produktivlaufwerk auf dem NAS haben (auch zur Videobearbeitung)
Das würde ich nicht empfehlen, da geht die Schreibleistung durch die Verschlüsselung in den Keller.
Videobearbeitung mit 1 Gbit LAN?
Hierfür würde ich ein 10 GBit LAN empfehlen auf einem schnellen NVME-SSD Volume und die fertigen Files sowie dein Time Maschine Backup auf HDDs speichern. DS923+:
https://geizhals.de/wishlists/3660106
 
Zuletzt bearbeitet:

Synchrotron

Benutzer
Sehr erfahren
Mitglied seit
13. Jul 2019
Beiträge
4.733
Punkte für Reaktionen
1.694
Punkte
214
Wenn du vorhast was du vorhast, hast du hoffentlich den Mac Mini gleich mit 10 GbE Ethernet bestellt. Sonst sieht es nämlich schlecht aus - du müsstest einen Thunderbolt-Port dafür opfern, das per Adapter nachzurüsten.
 
  • Like
Reaktionen: DiskStationer2023
Mitglied seit
07. Jan 2024
Beiträge
10
Punkte für Reaktionen
0
Punkte
1
Hallo alle zusammen,

ich bedanke mich ganz herzlich für eure Antworten und euren hilfreichen Input.

Leider musste ich in der Zwischenzeit herausfinden, dass die Volumenverschlüsselung die Synology anbietet, absolut nutzlos ist, da der Zugangsschlüssel im KeyVault gespeichert wird und man dies nicht unterbinden kann.
Dies bedeutet, dass die Verschlüsselung nur greift, sofern ein Angreifer die Festplatte selbst entwendet. Entwendet ein Angreifer jedoch die gesamte DiskStation, kann er den Zugangsschlüssel für das verschlüsselte Volumen auslesen oder auch einfach einen Reset durchführen um Admin-Zugriff zu erhalten.
Das ist für mich leider ein kompletter Deal-Breaker und mit ist unbegreiflich, was sich Synology dabei gedacht hat.
Das ist wie als wenn man seine Haustür abschließt, aber den Schlüssel unter der Fußmatte ablegt.

Die Konkurrenz macht das anders. QNAP bietet bei der Einrichtung eines verschlüsselten Volumens die Möglichkeit auszuwählen, dass der Schlüssel nicht gespeichert wird. Somit kann der Schlüssel nicht ausgelesen werden und es ist nach einer Kappung der Stromversorgung kein Datenzugriff möglich.

Da ich keine Information finden konnte ob Synology beabsichtigt diese gravierende Sicherheitslücke durch ein Update zu schließen, bleibt mir leider keine andere Wahl als mich für die Konkurrenz zu entscheiden.

Viele Grüße
DiskStationer2023
 

ctrlaltdelete

Benutzer
Sehr erfahren
Maintainer
Mitglied seit
30. Dez 2012
Beiträge
10.111
Punkte für Reaktionen
3.647
Punkte
414
  • Like
Reaktionen: Benie
Mitglied seit
07. Jan 2024
Beiträge
10
Punkte für Reaktionen
0
Punkte
1
Wo kann man das nachlesen?

Es wird in diesem Video thematisiert:

https://www.youtube.com/watch?v=lyKXldHPAOU

Zuvor hat der Sicherheitsspezialist der auch dieses Video erstellt hat, ein Bounty ausgelobt wenn es jemandem gelingt die Verschlüsselung zu umgehen. Die Lösung zur Umgehung der Verschlüsselung kam innerhalb kürzester Zeit:

https://forums.spacerex.co/t/bounty...ncryption-keys-stored-on-box-gets-a-ds923/641

Auf Reddit finden sich unzählige weitere Threads zu dem Thema.
 

Synchrotron

Benutzer
Sehr erfahren
Mitglied seit
13. Jul 2019
Beiträge
4.733
Punkte für Reaktionen
1.694
Punkte
214
@DiskStationer2023 Das ist eine Falschinformation, die sich ausgehend von irgendwelchen schlecht informierten Influencern / YouTubern inzwischen überall verbreitet. Sie wird ungeprüft wiederholt und gerne intensiviert.

Fakt ist: Der Schlüssel liegt VERSCHLÜSSELT im Schlüssel-Tresor (Vault). Um ihn entschlüsseln zu können, muss sich ein berechtigter Benutzer anmelden. Dann wird der Schlüssel freigegeben und zum Lesen des Volume benutzt.

Heißt also: Ob der Schlüssel verwendet werden kann, liegt daran, ob der Schutz der Benutzerkonten funktioniert.

Wer dort schludert, unterläuft seine eigene Sicherheitsmaßnahme. Also bitte ordentliche Passwörter und am besten 2FA erzwingen.

Entschlüsselt werden kann NICHT durch Reset, und ebensowenig durch Auslesen des Vault. Es kann hingegen entschlüsselt werden, wenn man sich den Schlüssel beim Erstellen des Volumes herunter geladen und sicher verwahrt hat. Dazu rät Synology beim Anlegen, eben weil der Reset nicht mehr ausreicht, um an die Daten zu kommen.

Von großem Nutzen ist die Volume-Verschlüsselung, wenn eine Platte defekt sein sollte. Es ist dann egal, ob man sie noch Bereinigen kann - die Verschlüsselung schützt den normalen Anwender ebenso gut.

Für jeden gewerblichen Nutzer halte ich die Einrichtung der Volume-Verschlüsselung nach DSGVO für zwingend erforderlich. Man kann sie bekanntlich mit der Ordner-Verschlüsselung kombinieren. Die Ordner-Verschlüsselung dient dem gezielten Schutz bestimmter Dateien vor anderen angemeldeten, aber dafür nicht berechtigten Benutzern. Das ist ein ganz anderer, sich ergänzender Verschlüsselungs-Sachverhalt.
 
  • Like
Reaktionen: dil88 und *kw*
Mitglied seit
07. Jan 2024
Beiträge
10
Punkte für Reaktionen
0
Punkte
1
Das ist eine Falschinformation, die sich ausgehend von irgendwelchen schlecht informierten Influencern / YouTubern inzwischen überall verbreitet. Sie wird ungeprüft wiederholt und gerne intensiviert.

Nun, ich habe eben eine Antwort mit einem Link gepostet wo ein getesteter und reproduzierbarer Weg für das Auslesens des Keys aufgezeigt wird.
Der Beitrag wartet leider auf Freischaltung durch einen Moderator.

Du findest den Thread mit den Suchbegriffen "synolgy kayvault break rex" - erstes Suchergebnis Google.
 

*kw*

Benutzer
Contributor
Sehr erfahren
Maintainer
Mitglied seit
10. Aug 2013
Beiträge
1.626
Punkte für Reaktionen
661
Punkte
134
Das ist eine Falschinformation, die sich ausgehend von irgendwelchen schlecht informierten Influencern / YouTubern inzwischen überall verbreitet. Sie wird ungeprüft wiederholt und gerne intensiviert.
@Synchrotron: vielen Dank für die Richtigstellung! Diese "Klicks vs Wahrheitsgehalt"-Mentalität geht mir zunehmend...🤬
 
  • Like
Reaktionen: Synchrotron
Mitglied seit
07. Jan 2024
Beiträge
10
Punkte für Reaktionen
0
Punkte
1
Die Ordner-Verschlüsselung dient dem gezielten Schutz bestimmter Dateien vor anderen angemeldeten, aber dafür nicht berechtigten Benutzern. Das ist ein ganz anderer, sich ergänzender Verschlüsselungs-Sachverhalt.

Nein. Das ist genau das Sicherheitslevel das ich auch von einer vollständigen Volumenverschlüsselung erwarte.
 
Mitglied seit
07. Jan 2024
Beiträge
10
Punkte für Reaktionen
0
Punkte
1
Das ist eine Falschinformation, die sich ausgehend von irgendwelchen schlecht informierten Influencern / YouTubern inzwischen überall verbreitet. Sie wird ungeprüft wiederholt und gerne intensiviert.

Ich habe vorhin auch eine E-Mail an den Synology-Support geschrieben und gefragt wann das Problem beseitigt wird.

Soeben habe ich diese Antwort erhalten:

Sehr geehrter Herr ******,

vielen Dank für Ihr Feedback bzw. Ihren Funktionswunsch bezüglich der Volumen Verschlüsselung.

Wir sind stets bemüht, unsere Produkte zu verbessern, weshalb uns Ihr unmittelbares Feedback sehr wichtig ist. So können wir unsere Produkte gemäß unseren Kundenanforderungen optimieren und weiterentwickeln. Ich werde daher Ihren Wunsch aufnehmen und an unsere Entwicklung in unserer Zentrale weiterleiten. Ob und wann eine Implementierung erfolgt, erfahren wir leider auch erst kurz vor dem Release, da wir keine Einsicht in den aktuellen Stand der Entwicklung haben.

Gruss
Mario Leukel
--
Synology GmbH

----------------


Diese Antwort hätte ich wohl sicher nicht erhalten wenn das Problem nicht bestehen würde und es sich um eine Falschmeldung handelt.
 

Synchrotron

Benutzer
Sehr erfahren
Mitglied seit
13. Jul 2019
Beiträge
4.733
Punkte für Reaktionen
1.694
Punkte
214
Nein. Das ist genau das Sicherheitslevel das ich auch von einer vollständigen Volumenverschlüsselung erwarte.
Dann hast du es nicht verstanden.

Das sind 2 Ebenen, die jeweils ein eigenes Szenario absichern.

Volume = das gesamte Volume, mit allen Laufwerken wird verschlüsselt. Alle berechtigten User bekommen Zugang, wenn sie sich anmelden.

Ordner = ein (freigegebener) Ordner wird verschlüsselt. Zugriff bekommen nur die Benutzer, die für diesen Ordner berechtigt sind.
 
Mitglied seit
07. Jan 2024
Beiträge
10
Punkte für Reaktionen
0
Punkte
1
Dann hast du es nicht verstanden.

Das Prinzip ist mir durchaus klar.
Dennoch erwarte ich von einer Volumenverschlüsselung, dass diese genauso sicher ist wie die Ordnerverschlüsselung und es da nicht aufgrund der unterschiedlichen Berechtigungen irgendwelche Sicherheitslücken gibt.

Wie weiter oben schon gepostet, wurde vom Synology-Support bestätigt, dass das Problem besteht. Also bitte hier nicht einfach "Falschmeldung" herausbrüllen. Für Nutzer die deinen Beitrag lesen und sich dann darauf verlassen, kann das ggf. ernste Konsequenzen haben.
Egal wie toll man ein Produkt findet, Schwachstellen müssen benannt werden und hier liegt ganz offensichtlich eine eklatante Schwachstelle vor.

Neben der Bestätigung durch den Synology-Support selbst würde auch QNAP sicher nicht die Option anbieten den Schlüssel nicht im Vault zu speichern, wenn es dadurch keinerlei Mehrwert geben würde.
In der QNAP-Dokumentation kann man sogar auch ganz klar nachlesen, dass eine Entschlüssung möglich ist wenn der Schlüssel im Vault gespeichert wird und die Schlüsselverwaltung wird bei QNAP 1:1 genauso umgesetzt wie bei Synology.

Also hast Du jetzt drei Belege:

1. Die geposteten Links wo der Weg exakt aufgezeigt wird.
2. Die von mir zitierte Antwort des Synology-Supports welche das Vorhandensein des Problems bestätigt.
3. Die QNAP Dokumentation, die bei identischer Schlüsselverwaltung ganz klar sagt, dass eine Entschlüsslung durch unberechtigte Dritte möglich ist wenn man den Key im Vault speichert.

Der einzige Nutzen dieser Volumenverschlüssung wie Synology sie anbietet ist, wenn man einzelne Festplatten versendet. Für das Szenario, dass eine komplette DiskStation entwendet wird, ist sie aber komplett unbrauchbar.
Und der Sinn einer Volumenverschlüsselung ist nicht, dass ich zusätzlich noch verschlüsselte Ordner anlegen muss damit meine Daten wirklich sicher sind.
 

McFlyHH

Benutzer
Mitglied seit
02. Jan 2014
Beiträge
390
Punkte für Reaktionen
61
Punkte
28
...
Da ich keine Information finden konnte ob Synology beabsichtigt diese gravierende Sicherheitslücke durch ein Update zu schließen, bleibt mir leider keine andere Wahl als mich für die Konkurrenz zu entscheiden.
...
Da du ja deine Wahl für eine anderes Produkt quasi schon getroffen hast - was ja auch dein gutes Recht ist, wenn dies deine(!) Anforderungen besser erfüllt - solltest du aber auch das passende Forum dafür suchen.
 
Mitglied seit
07. Jan 2024
Beiträge
10
Punkte für Reaktionen
0
Punkte
1
Vielen Dank für den Hinweis.
Diesem werde ich sicher folgen. Dennoch finde ich es wichtig, andere Nutzer über eine solch eklatante Schwachstelle aufzuklären.
Insbesondere wenn andere offensichtlich sehr etablierte User einfach "Falschmeldung" herausbrüllen.
Mir geht es ganz klar nicht darum Synology in irgendeiner Form schlecht zu reden. Ganz im Gegenteil. Ich bedauere dass diese Lücke vorhanden ist und ich deswegen zur Konkurrenz gezwungen werde, da ich Synology insgesamt sehr viel ansprechender finde als die Konkurrenz.
Aber eine solch gravierende Sicherheitslücke muss einfach publik gemacht werden, denn im Zweifel können davon Existenzen abhängen.
Und dafür ist dieses Form mMn genau richtig.
 
Zuletzt bearbeitet von einem Moderator:


 

Kaffeautomat

Wenn du das Forum hilfreich findest oder uns unterstützen möchtest, dann gib uns doch einfach einen Kaffee aus.

Als Dankeschön schalten wir deinen Account werbefrei.

:coffee:

Hier gehts zum Kaffeeautomat