DSM 7.2 Speicherpool verschlüsseln

[Annika Hansen]

@Rotbart: Aber sischer dat - der Raspi wird mittels Framp's raspiBackup auf mein Backup-NAS (siehe Signatur) gesichert. Der Wiederherstellungskey für das verschlüsselte Volume ist mehrfach gesichert, u.a. in einem Password-Safe, der im 3-2-1 Verfahren gesichert wird.

 

[Medienspuernase]

Auch ein Raspi kann ausfallen. Ich habe einen Raspi 2 mit PiHole am Laufen und muss da ab und an die SD Karte tauschen, weil eben im Dauerbetrieb die SD Karte selbst schlapp macht.

 

[*kw*]

Da hab ich bei meinem auf die kleinste WD Red SSD gewechselt, tägliches Backup. Mehr günstigen Speed und Sicherheit

 

[Medienspuernase]

Dann hast du sicher einen neueren Raspi, ich hab noch ein 2er Modell also schon paar Jahre alt aber für PiHole reichts.

 

[Annika Hansen]

Auch wenn das jetzt etwas offtopic wird: ich setzte zwei Rapsberries 4 ein (1x 8 GB RAM und 1x 4 GB RAM) und der produktive Raspi läuft nicht auf einer SD-Karte sondern auf einer NVM-SSD.

 

[Annika Hansen]

Warum dauern die letzten 10% der Speicherpool-Optimierung immer (gefühlt) so lange wie die ersten 90%? So wird das heute nix mehr mit Backup einspielen...

 

[Medienspuernase]

Weil du gefühlt zu oft auf die Uhr schaust? Gönne dir noch eine Kohlroulade als Snack.

 

[Annika Hansen]

Ich hoffe ein wenig "Eigenwerbung" ist gestattet.

Mir lag bei dem Thema KMIP-Server bei Volumeverschlüsselung die Frage "Wie erneuere ich die Keys/Zertifikate, wenn die bei der Installation erzeugten ablaufen?" im Magen. Falls jemand beim Thema Volumeverschlüsselung auch einen KMIP-Server einsetzen möchte, dann empfehle ich diesen Beitrag von mir: KMIP Server for Synology DSM - Erneuern von abgelaufenen Keys und Zertifikaten. Vielleicht hilft das ja weiter...

 

[Medienspuernase]

Heute kam die Frage von meinem Vater, ob er denn jetzt bei einem verschlüsseltem Speicherpool einen neuen Freigabeordner auch verschlüsseln müsse. Ich habe erstmal verneint, für den Privatgebrauch ist ne doppelte Vwerschlüsselung der Overkill. Ich denke das ist nicht nötig.

 

[ctrlaltdelete]

Sehe ich auch so.

 

[*kw*]

@Medienspuernase: du kannst ihn - als Analogie - mal fragen, wenn er die Haus-/Wohnungstür abschließt, ob er auch vorher alle Zimmertüren abschließt?

PS: nur doof, wenn er‘s wirklich macht

 

[Medienspuernase]

@*kw* Nun er schließt sowohl Hintertür als auch Vordertür und Kühlschranktür ab...... Könnte ja jemand kommen und den Vorrat Kohlrouladen plündern.

 

[zapp brannigan]

Ich interessiere mich gerade für das Thema, bin mir aber unsicher, ob das etwas für mich ist. Außerdem habe ich fragen.

Erstmal zum Usecase. Wenn mein NAS bei mir steht, fallen mir nur zwei Situation einfallen in der ich eine Verschlüsselung gern hätte:

• Der NAS wird gestohlen (Bei den aktuellen HDD Preisen, würden Einbrecher vermutlich sogar den Schmuck liegen lassen und stattdessen Ram und HDDs mopsen)
• Ich muss eine HDD als Garantiefall einschicken (Außerhalb der Garantie kann ich sie mechanisch zerstören )

Jetzt würde ich gern wissen, ob ich mir mit der Verschlüsselung neue Risiken einkaufe, mit denen ich zB meine Daten verlieren kann:
* Ich hier mit Verschlüsselung des Speicherpools und Volumens das gleiche gemeint?
* bedeutet der Schlüssel wird lokal gespeichert auf dem verschlüsselten NAS?
* Ist ausdrucken des Schlüssels eine Option?
* Durch welche Szzenarien steigert sich das Verlustrisiko der Daten?

 

[Medienspuernase]

Also, ich würde dir raten, die Verschlüsselung schon bei erstellung deines Speicherpools zu erstellen, das währe wohl eine Volumeverschlüsselung. Zusätzlich noch eine Verschlüsselung der Freigabeordner bremst das System aus. Der Key an sich wird in einem Schlüsseltresor gespeichert, für den du auch noch ein Passwort vergibst. Ansonsten kannst du dir den auf einen USB Stick kopieren.

Eine Volume- bzw Speicherpoolverschlüsselung ist durchaus ratsam, die geht aber nur beim Erstellen des Speicherpools oder der Volume. So wie ich die Sache verstanden habe, meint Volume quasi das Laufwerk und du kannst dir im Speicherpool wohl mehrere Volumes mit unterschiedlichen Größen bis zur maximalgröße des Speicherpools erstellen. Ich stecke jetzt auch nicht zu tief in der Materie, ich habe mir auf meiner DS1522+ einen Speicherpool mit genau einem Volume erstellt, was die komplette Größe des speicherpools nutzt.

Wenn du sowieso Verlustängste (sorry für das Wortspiel ) hast, dann würde ich dir sowieso gleich eimfehlen, Backups vorzuhalten. Das einfachste ist: Einfach die eine oder andere große Festplatte in den Schrank, die mit extFAT oder NTFS Formatieren (deine DS kann beides auslesen) und einfach deine Ordner auf die Platten kopieren. Die sind zwar dann nicht verschlüsselt, aber einfach am nächsten Windows oder Linux PC auszulesen.