Nur mit PGP Schlüssel Anmeldung erlauben

[Joschie]

Guten abend,

ich nutze NAS erst seit kurzem und meine IT Kenntnisse sind auch eingestaubt. Ich habe den NAS so eingerichtet, dass ich nur SFTP nutzen will. Beim Anmeldeprozess werden Schlüssel hin und herkopiert. Diesen Prozess würde ich gerne kontrollieren, d.h. ich mache die Clients(Laptop und Handy) im lokalen Netzwerk einmal bekannt mit dem SFTP Dienst vom NAS(Austausch der PGP Schlüssel) und dann würde ich dies gerne einfrieren, sodass die Schlüssel nicht weiter ausgetauscht werden.

Wenn sich dann ein fremder Rechner mit dem gültigen Benutzernamen und Passwort anmeldet, würde die Kommunikation trotzdem nicht klappen, wegen fehlendem Schlüssel. Außer dieser Rechner hat von wo auch immer die angeforderten Schlüssel her.

Wie kann ich das auf dem NAS umsetzen?

Grüße Joschie

 

[ottosykora]

also PGP ist es kaum

ansonsten klar, man kann den public key auf dem Server haben.

Aber was verstehst unter hin und her kopieren? Das macht halt Verbindungsaufbau

 

[Joschie]

Wenn sich ein Client das erste mal bei einem SFTP Server anmeldet, dann werden zuerst die öffentlichen Schlüssel ausgetauscht, damit die weitere Kommunikation verschlüsselt abläuft. Dann erst werden Benutzername/Passowort übertragen und geprüft.

Ich würde den Austausch des öffentlichen Schlüssels gerne unterbinden bzw. nur unter kontrollierter Umgebung ablaufen lassen. Ist das möglich?

 

[ottosykora]

vielleicht, fragt sich nur warum?
Der Austausch der öffentlichen Schlüssel ist doch Teil der Verbindungsaufnahme.

Und warum will man den Austausch der public key unterbinden? Das sind doch eben die public key damit sie eben öffentlich sind. Das ist doch deren Zweck. Soll das eine Sicherheits Funktion sein?

Privat key werden sicher nicht ausgetauscht.
Und für eine Kommunikation werden ja beide benötigt.

 

[Joschie]

Die Frage lässt sich einfach beantworten ist aber nicht die Frage in diesem Thread.

 

[Synchrotron]

Die Frage läßt sich einfach beantworten, die Antwort tut auch nichts zur Sache.

Öffentliche Schlüssel können bekannt sein, wem auch immer - man kann mit ihnen nichts* anfangen, außer die Kommunikation so zu verschlüsseln, dass man sie nur noch mit dem privaten Schlüssel entschlüsseln kann (* und noch etwas mehr, was hier aber nicht relevant ist).

Da der Austausch öffentlicher Schlüssel notwendig ist, gibt es kein Feature, ihn zu unterdrücken.

Wenn du public-private-key Verschlüsselung einsetzen willst, dann musst du akzeptieren, wie sie funktioniert.

Sonst nimm etwas anderes.

 

[ottosykora]

es gibt sicher noch mehr zu SSH und Schlüsseln in KB, hier wäre mal was
https://kb.synology.com/de-de/DSM/t...admin_or_root_permission_via_SSH_on_computers


bei SFTP ist aber der Schlüssetausch beinhaltet, aber wennman was manuell machen will geht es, aber das muss dann für jedes Gerät wieder extra alles erstellt werden, nach wie vor keine Ahnung wozu

 

[ottosykora]

Die Frage lässt sich einfach beantworten

wäre trotzdem interessant zu wissen wozu das dienen soll

 

[Joschie]

Es ist Stand der heutigen Dinge, dass der öffentliche Schlüssel nicht genutzt werden kann um die verschlüsselte Kommunikation zu entschlüsseln. Ich behaupte, dass mit den Quanten-Computern dies heute schon möglich ist. Und der öffentlich Schlüssel vereinfacht dies noch zusätzlich. Daher werde ich weder meine privaten noch öffentlichen Schlüssel freigeben für Gott und die Welt.

Ich werden mir die SFTP/SSH config auf dem Server nochmal vornehmen. Vielleicht kann man da per Hand noch was einstellen.

 

[alexhell]

meine IT Kenntnisse sind auch eingestaubt.

Und alle Experten haben dann keine Ahnung, wie das mit Security funktioniert? Mal ehrlich wenn du von dir sagst, dass dein Wissen eingestaubt ist, dann sollte man vielleicht den Fachleuten mehr vertrauen. Dann wären ja sämtliche Server betroffen und man könnte sich munter überall anmelden. Alles was im Internet passiert wäre komplett unsicher....

 

[Synchrotron]

Wenn Quantencomputer funktionieren (was sie heute definitiv noch nicht tun, sie scheitern an der Fehlerkorrektur), dann benötigen sie überhaupt keinen Schlüssel für die Decodierung.

Du kannst geheimhalten, was immer du willst - der verschlüsselte Inhalt reicht aus für eine Decodierung.

Der Ansatz, den öffentlichen Schlüssel geheim zu halten, aus Angst vor Quantendecodierung ist außerdem Selbstmord aus Angst vor dem Tod. Ohne veröffentlichten (!) öffentlichen Schlüssel können diese Verschlüsselungen nicht genutzt werden.

Abgesehen davon fliegst du noch woanders aus der Kurve: Auf öffentlichen Schlüsseln beruht auch die gegenseitige Authentifizierung. Ohne öffentlichen Schlüssel weißt du also nicht, ob deine Gegenseite überhaupt die ist, die sie vorgibt zu sein (zum Beispiel deine Bank oder dein Server).

Und Letztens: Selbst wenn Quantencomputing eines Tages mal funktioniert, wird der Aufwand gigantisch sein. Das ist nicht Rechnerleistung für nichts, ganz im Gegenteil. Bevor der Rechner rechnen kann, muss die Verschränkung der Q-Bits hergestellt sein. Jeder Rechenvorgang zerstört sie, und es dauert Zeit, sie wieder herzustellen.

Warum also jemand genau deine paar Daten aus dem großen Teich fischen soll, kannst du kaum erklären.

Dein hoch geheimer Plan für die Weltherrschaft auf deiner Synology ist nicht in Gefahr …

 

[ottosykora]

Und der öffentlich Schlüssel vereinfacht dies noch zusätzlich.

das ist ziemlich nicht wahr

Daher werde ich weder meine privaten noch öffentlichen Schlüssel freigeben für Gott und die Welt.

dann darfst du aber auch das von dir zitierte PGP nicht mehr verwenden, dort geht mittlerweile der pubkey tausch auch automatisch

Ich werden mir die SFTP/SSH config auf dem Server nochmal vornehmen. Vielleicht kann man da per Hand noch was einstellen.

du kannst sicher pubkey von Hand transportieren, aber SFTP ist einfach ein Protokoll und ist weltweit als sicher angesehen. Das extra auszuhebeln um es ev dann noch schlechter zu machen?

 

[Hagen2000]

@Joschie Was Du m.E. eigentlich brauchst, ist eine Firewall mit Whitelist für die vertrauenswürdigen Clients. Damit sperrst Du unerwünschte Clients aus und diese können nicht mal sehen, dass überhaupt ein SSH-Dienst läuft.

Dein ursprünglicher Ansatz kann nicht funktionieren, denn wie soll dein Server einen vertrauenswürdigen Client erkennen? Dazu müsste dieser ja - unverschlüsselt! - vorab irgendein „Geheimnis“ übertragen.

Das eigentliche Problem mit Quantencomputern, sofern sie denn mal irgendwann funktionieren, ist doch, das heute abgehörte, verschlüsselte Daten gespeichert werden und im großen Stil nachträglich entschlüsselt werden können.