Verschlüsselung - Ich steige nicht durch

[mahepa]

Hallo liebe Community,

ich bin seit kurzem stolzer Besitzer einer DS225+, nachdem meine DS216Play in die Jahre gekommen ist und sich ein Plattenausfall abzeichnet.

Bisher hatte ich immer einen verschlüsselten, gemeinsamen Ordner, den ich bei jedem Boot manuell per Kennwort entsperrt habe.

Bei der DS225+ wird mir im Rahmen des Assistenten angeboten, das ganze Volume zu verschlüsseln. Hierzu habe ich einige Fragen, zu denen ich entweder keine, oder keine ausreichende Antwort finde. Die Beantwortung der Fragen soll im Kontext stehen, dass die Daten vor jemandem, der physischen Zugriff auf die NAS erlangt, Interesse an den Daten hat und technisch versiert ist, geschützt sein sollen. Ob das nun ein realistisches Szenario ist oder nicht, spielt erstmal keine Rolle

Wenn ich es richtig verstehe, wird das verschlüsselte Volume bei jedem Boot automatisch eingehangen/entsperrt.

1. Kann ich dieses automatische einhängen verhindern, sodass immer ein Kennwort erforderlich ist? Im Assistenten bei der Volume-Erstellung wird mir hier nichts angeboten.
2. Wenn das Volume automatisch eingehangen wird, was hält den Angreifer davon ab, per Soft-Reset das PW des Admin zurückzusetzen und so einfach Zugriff auf die Daten zu erlangen?
3. Wäre für dieses Szenario der verschlüsselte, gemeinsame Ordner nicht die sicherere Variante? Der muss ja immer erst manuell entsperrt werden.
4. Ist es sinnvoll, wenn das ganze Volume verschlüsselt ist, zusätzlich verschlüsselte, gemeinsame Ordner anzulegen? Geht das überhaupt?
5. Wie sicher ist ein verschlüsselter, gemeinsamer Ordner, wenn der Schlüsseltresor lokal liegt?
6. Was wäre für dieses Szenario die sicherste Vorgehensweise, die gleichzeitig halbwegs komfortabel ist?

Danke euch schonmal für die Erleuchtung

 

[Rotbart]

Du kannst unter Systemeinstellung (Aktualisierung/Wiederherstellung) konfigurieren das dein Adminpasswort nicht zurückgesetzt wird und im resetfall alle Schlüsseltresore gelöscht werden.
In meinen Augen das beste szenario st die Volumenverschlüsselung mit einem KMIP-Server zu betreiben, das kann ein anderes NAS oder z.b.ein Raspi (https://github.com/rnurgaliyev/kmip-server-dsm) sein.Wenn der sinnvollerweise an einem anderen Ort steht und nur per VPN aus deinem Netz erreichbar ist dann halte ich das für ziemlich sicher.Ist der Kmip-Server nicht erreichbar musst du die Schlüssel per Hand eingeben.
Zusätzliche Ordnerverschlüsselung geht, ist aber wohl nur Sinnvoll wenn du bestimmte Ordner für bestimmte Personen ausschliessen willst (z.b. deine Pornosammlung vor deiner Frau verstecken) welche auch Adminberechtigung auf dem System hat, ansonsten reicht da ein rechtemanagement.

 

[mahepa]

Danke für deine Antwort! Das mit dem KMIP-Server wäre zwar grundsätzlich möglich (Pi-Hole auf Raspi 4 existiert bereits), der Raspi wäre aber am gleichen Ort und irgendwie werde ich mit dem Gedanken nicht recht warm. Wie sicher war denn die bisherige Vorgehensweise: Verschlüsselter gemeinsamer Ordner & Keystore lokal? Für mich hatte das irgendwie Charme. Wenn man beispielsweise an Finanzdaten musste, musste ein Kennwort eingegeben werden, die Fotosammlung war aber direkt zugänglich.