Eine Ts-221 hatte ich mir gebraucht gekauft und die beiden Festplatten verschlüsselt, der Schlüssel ist auf der Festplatte gespeichert. Gibt es eine Möglichkeit, das über ssh im Terminal (MacBook pro mit Big Sur) beim starten der nas zu entsperren? Wenn man den Schlüssel auf der Nas entfernt?
Verschlüsselung mit Mac
- Michael We
- Unerledigt
-
Die Suchfunktion oben rechts liefert ausreichend Lesestoff.
-
Was ich mache (alle Befehle auf dem NAS auszuführen, also per ssh):
Code
Alles anzeigen# ab hier für jedes Volume getrennt ausführen cryptsetup -v luksOpen /dev/mapper/cachedev1 ce_cachedev1 --key-slot 0 </Pfad/zur/Schlüsseldatei mkdir /share/CE_CACHEDEV1_DATA mount -t ext4 /dev/mapper/ce_cachedev1 /share/CE_CACHEDEV1_DATA/ -o rw,usrjquota=aquota.user,jqfmt=vfsv0,user_xattr,data=ordered,data_err=abort,delalloc,nopriv,nodiscard,noacl # Hier weitere Volumes mit CE_CACHEDEVn_DATA # ab hier nur einmalig nachdem alle Volumes gemounted wurden /etc/init.d/init_lvm.sh if [ ! -L /share/homes ] then ln -s /share/CE_CACHEDEV1_DATA/homes /share/homes fiIch gehe also über die Schlüsseldatei, die du dir in der GUI (d. h. Browser) erzeugen. kannst. Mit Passwort geht das auch, musst mal in die Aufrufsyntax von cryptsetup schauen. Passwort war für mich keine Alternative, s. u..
Wenn du die Schlüsseldatei auf dem NAS speicherst, hast du natürlich nichts gewonnen, da ein Dieb die gleich mit erbeutet hätte. Ich mache daher vorher ein Mount auf ein anderes Gerät (Das NAS könnte ein Verzeichnis deines MacBooks mounten, in dem die Schlüsseldatei steht. Ich nehme stattdessen den Speicher einer Fritzbox. NAS steht im Keller, Fritzbox im zweiten Stock - unwahrscheinlich, dass ein Dieb beide mitnimmt.). Dieses andere Gerät stellt dann die Schlüsseldatei zur Verfügung.
Dann kommt bei mir das Ganze in die autorun.sh. Das ist der Grund, warum ich kein Passwort verwenden kann, denn dann stünde dies ebenfalls in der autorun.sh. Aber auch, wenn du den Befehl nur manuell eingibst, musst du aufpassen. Denn dann steht er mit Passwort in der bash.history - für einen Angreifer gut auffindbar.
Ganz zufrieden bin ich mit meiner Lösung noch nicht. Für die internen Festplatten funktioniert das wunderbar. Aber nicht für die SSDs. Das nächtliche Trim fällt auf die Nase, wenn die SSD wie oben gemounted wird. Der Rest, also normale Nutzung, geht auch bei SSDs.
Für externe USB-Platten funktioniert obiges Vorgehen leider nicht.
-
Snapshot kannst du auch nicht fürs Backup verwenden wenn der Key nicht im NAS hinterlegt ist.
-
Vielen Dank
