SSD verschlüsseln und SED oder doch mit kein SED anders

    Hallo QNAP Freunde,


    mal eine gute Frage an Euch. Was ist eine gute Lösung die SSD/HDD am besten verschlüsseln.

    Ich weiß das man nach dem Neustart immer das PW eingeben müsste um die Platten zu entschlüsseln, da ich aber jeden Tag das QNAP morgens automatisch an machen und abends wieder aus. Aber nach dem anmachen möchte ich mich eigentlich wieder einloggen um das Platten PW einzugeben.


    Hat jemand eine Lösung wo das automatisch geht und das PW auf einen USB am Proxmox oder so hat.


    Happy Sonntag


    :qnap:

    Zitat von mawi-022

    Hat jemand eine Lösung wo das automatisch geht und das PW auf einen USB am Proxmox oder so hat.

    Hallo,


    geht schon, dann ist das Passwort aber auf dem NAS gespeichert.

    Zitat von QNAP Handbuch QTS 5.2

    Punkt 18

    Optional: Wählen Sie Beim Starten automatisch entsperren.

    Diese Einstellung ermöglicht es dem System, den SED-Pool automatisch zu entsperren und zu mounten, sobald das NAS startet, ohne dass der Benutzer das Verschlüsselungspasswort eingeben muss.

    Warnung:

    Die Aktivierung dieser Einstellung kann zu unberechtigtem Datenzugriff führen, wenn unbefugtes Personal physisch auf den NAS zugreifen kann.


    Oder auch ein einzelnes Volumen

    Einmal editiert, zuletzt von Becker2020 ()

    Hallo Becker2020 ,

    vielen Dank für Deine schnelle Antwort, also weiterhin bei QNAP Zugriff auf die Daten wenn jemand das QNAP klauen würde.

    Es ist ja auch weiterhin möglich durch en Reset Button das Admin Passwort und so wiederherzustellen leider so das bei einem Diebstahl ja jemand das mit dem Rest Button machen könnte.

    Wenn ich das Volume Verschlüssel und es Speicher und die SSD/HDD geklaut wird nur kommt der jenige auch drauf richtig? Oder man die SSD/HDD einschicken müsste zum Händler? Der könnte die ja einbauen in ein NAS und Auslesen?

    Zitat von mawi-022

    Wenn ich das Volume Verschlüssel und es Speicher und die SSD/HDD geklaut wird nur kommt der jenige auch drauf richtig?

    Wenn das Passwort auf dem NAS gespeichert ist

    und der Cloud Key auf dem Gehäuse steht

    und der 3-Sek-Reset nicht deaktiviert ist,

    kommt der Dieb des NAs an deine Daten.


    Beitrag
    RE: Datenträgerverschlüsselung sicher?
    […]

    Hallo,

    die Diskussion gab es hier ;)

    forum.qnapclub.de/thread/?postID=480692#post480692
    Getestet hat es aber vermutlich noch keiner. :/
    Becker2020

    Das Cloud Key Ding ist der Online Zugang? Den nutze ich Risiko zu groß finde ich.

    Den 3 Sekunden Knopf soll man ja nicht deaktivieren schreibe viele hier aus Sicherheitsgründen.

    Also gibt es so keine gute Lösung nur Verschlüsseln und das PW Morgens über die Web GUI eingeben?

    Auch nicht per App entsperren möglich oder so :(

    Zitat von mawi-022

    Das Cloud Key Ding ist der Online Zugang?

    Nein.


    Ist das Standardpasswort seit QTS 5.2


    Wie lautet das Standardpasswort für den Systemadministrator meines NAS? | QNAP


    Es gab auch eine ausführliche Diskussion im Forum

    Vor 3-Sekunden-Reset ab FW 5.2 den Cloud Key notieren - Firmware allgemein - NAS Hilfe und Support Forum


    Zitat von mawi-022

    Den 3 Sekunden Knopf soll man ja nicht deaktivieren schreibe viele hier aus Sicherheitsgründen.

    Wenn Du dann dein Passwort vergessen hast oder es ein anderes Problem gab, kannst Du es nur über einen 3/10-Sek-Reset zurücksetzen.

    Wenn der Reset-Knopf deaktiviert ist, bleibt nur das Neuaufsetzen des NAS.


    Hohe Sicherheit -> hohe Anforderungen an den Nutzer ;)


    Zitat von mawi-022

    Also gibt es so keine gute Lösung nur Verschlüsseln und das PW Morgens über die Web GUI eingeben?


    Du kannst das NAS einfach 24 Stunden laufen lassen. :idea:


    Der Strommehrverbrauch dürfte nicht besonders groß sein.

    Das mit dem Strom stimmt schon so halb, ich bin aber jemand der schon Licht aus und so macht wenn es nicht genutzt wird, und es gibt sogar Tage wo das QNAP nicht an ist.

    Ich finde wenn es zu einen Problem kommt bei QNAP und man den Button braucht warum nicht das eigene Passwort nutzen, vielleicht auch in Kombie mit einem USB Stick oder wie bei Windows mit dem Bitlocker System. Dann könnte man schon das PW Speichern und wenn es jemand klaut kommt man nicht ran, ist doch bestimmt nicht schwer.

    Hatte bei Urgreen mal geschaut aber die haben nichts mit Passwörtern derzeit.

    Aber ich habe gelesen man kann das PW nach dem Starten auch per APP nun eingeben?

    Bleibt aber noch der Reset Button wenn den jemand drückt kommt der weiterhin an die Daten richtig das verstehe ich doch so.

    Zitat von mawi-022

    Bleibt aber noch der Reset Button wenn den jemand drückt kommt der weiterhin an die Daten

    Den Button kann man doch deaktivieren:

    pasted-from-clipboard.png


    Die Frage ist, ob das eine gute Idee ist, falls man ihn selber mal brauchen sollte.


    Ich habe ein ähnliches Anwendungsszenario für meine NAS. Ich nutze die SED-Verschlüsselung meiner M.2-SSDs hauptsächlich weil sie nichts an Performance kostet und man eine defekte SSD bedenkenlos zurückgeben/umtauschen kann. Ein Diebstahlschutz wäre nett, aber die Komforteinbußen und ungewollte Nebeneffekte (wie z.B. das erneutes Scannen der Medienordner) mag ich nicht haben.

    Ja das ist mein Gedanke mit dem wenn die SSD mal schrott wie jetzt dann ist es schwerer wenn noch "kompliziert" Verschlüsselt daran zu kommen irgendwie.

    Aber finde meine Idee nicht schlecht mit einen USB-Stick oder wie Bitlocker halt. Den Reset Knopf inaktiv setzen wäre Risk, verstehe nicht warum man das braucht am Ende wenn ein System sauber läuft.

    Ich habe schon überelegt ob man auch Backups per Veeam oder Acronis machen kann, glaube das geht aber nicht das man halt ein Image macht und beim Crash wieder zurück spielen kann. Das wäre echt ein Traum und dabei noch Datensicherheit.

    Zitat von mawi-022

    Hat jemand eine Lösung wo das automatisch geht und das PW auf einen USB am Proxmox oder so hat.

    Bei mir steht das NAS im Keller. Das Diebstahlrisiko ist da etwas erhöht, da der Keller schon mal vergessen wird abzuschließen und man hört auch nicht, wenn jemand im Keller ist.


    Ich habe mir ein Skript gebastelt, das beim NAS-Start (in autorun.sh) von einer alten Fritzbox im zweiten Stock die SMB-Freigabe mountet, und mit der dort befindlichen Schlüsseldatei die NAS-Laufwerke aufsperrt. Das geschieht automatisch. Und ein Dieb müsste neben dem NAS auch die Fritzbox ein paar Stockwerke höher klauen um an die NAS-Daten zu kommen, was ich für sehr unwahrscheinlich halte.


    Ich hatte das Skript wohl schon mal im Forum gepostet, kann das bei Interesse aber noch einmal machen.

    Das mit dem Keller ist eine gute Idee bei Die habe leider keinen. Würde aber bei Dir gegen das vergessen ein Digitaler Zylinder helfen? Sprich der Automatisch auf und zu geht?


    Leider habe ich keine Fritz.Box im Einsatz und ich glaube das ich das mit dem Equipment nicht hinbekomme oder ich müsste sehen ob ich an den Proxmox PC so etwas Mounten könnte.


    Ich grübel immer noch über eine passende Backup Strategie herum.


    Wichtig wäre Tagesdaten zu haben welche man schnell wieder herstellen könnte wenn die Platten aussteigen. So etwas wie OneSync da geht das glaube ich und dann Daten Inkrementel hinzuschreiben und Daten löschen welche gelöscht wurden.

    Zitat von mawi-022

    Leider habe ich keine Fritz.Box im Einsatz

    Muss keine FB sein. Gebraucht wird nur irgendein Gerät, das ständig läuft und ein Verzeichis per SMB freigeben kann. Bei mir bot sich die FB an, weil die als Repeater für Festnetztelefon ohnehin benötigt wird.

    Das Script müsste im Forum sein, aber ob man es finden kann, ist eine andere Frage.

    Hier ist es noch einmal:

    Code
    mkdir /tmp/tmpmnt
mount.cifs //IP.der.FB.Freigabe/FB-Freigabe /tmp/tmpmnt -o ro,noserverino,username=Freigabe-User,password=Freigabe-Passwort
cryptsetup -v luksOpen /dev/mapper/cachedev1 ce_cachedev1 --key-slot 0 </tmp/tmpmnt/Dokumente/NAS/Schlüsseldatei.key
mkdir /share/CE_CACHEDEV1_DATA
mount -t ext4 /dev/mapper/ce_cachedev1 /share/CE_CACHEDEV1_DATA/ -o rw,usrjquota=aquota.user,jqfmt=vfsv0,user_xattr,data=ordered,data_err=abort,delalloc,nopriv,nodiscard,noacl
/etc/init.d/init_lvm.sh
umount /tmp/tmpmnt

    Ein paar Parameter musst du bei dir passend ersetzen.

    Die FB-Freigabe ist bei mir die Freigabe auf der Fritzbox, die nur die Schlüsseldatei enthalten muss. (Zeile 2)

    Der Pfad zur Schlüsseldatei (Zeile 3) kann beliebig variieren.

    Statt cachedev1 kann es auch eine andere Nummer sein, muss halt die sein, die qts normal für das Volume vergibt.

    Bei mehreren Volumes müssen die Zeilen 3 bis 5 entsprechend wiederholt werden.

    Der Aufruf erfolgt aus autorun.sh.