Welk soort encryptie toepassen op een server?

[masauri]

1 van dezer dagen (vermoedelijk morgen/of donderdag) komt mijn hardware aan voor mijn nieuwe thuisserver (storage/nas/dl/backup/streaming) voor mijn werk:

#	Product	Prijs	Subtotaal
5	Samsung EcoGreen F4EG HD204UI, 2TB	€ 59,90	€ 299,50
1	Fractal Design Define R3 (Zwart)	€ 84,50	€ 84,50
1	Scythe Big Shuriken	€ 26,50	€ 26,50
1	Intel Core i5 2400S	€ 164,60	€ 164,60
1	be quiet! Straight Power E8 600W	€ 82,10	€ 82,10
1	Crucial m4 CT064M4SSD2 64GB	€ 86,90	€ 86,90
1	Kingston ValueRAM KVR1333D3N9K2/8G	€ 42,10	€ 42,10
1	Asus P8P67	€ 89,17	€ 89,17
Bekijk collectie Importeer producten		Totaal	€ 875,37

Ik ga hier debian+gnome op zetten als os op de ssd om alle progs enz. op te laten draaien (dl/backup/nas/xbcm).
(bereikbaar via remote desktop op men tablets/andere pc's)
Ik dacht voor de remote hiervoor teamviewer te gebruiken: http://www.teamviewer.com/nl/download/index.aspx omdat deze de mogelijkheid geeft automatisch op te starten en te accepteren bij een onbeheerde server.
De hd's worden in raid5 gezet en voor de storage/backup gebruikt.

Maar ik ben er nog niet uit hoe ik deze het beste kan beveiligen dmv encryptie.
Ik heb dit topic al "doorgespit" ivm encryptie: Wut? Encryptie helemaal niet common in Linux maar dit heeft mijn vragen niet kunnen beantwoorden.

Debian heeft de mogelijkheid (fulldisk encryption? via LUKS?) om alles te encrypten tijdens de install maar dan moet ik bij iedere (re)boot van de server een paswoord ingeven vooralleer het os geladen word.
Als ik via een externe pc zou booten is dit niet mogelijk omdat de server niet zou opstarten nadat ik het paswoord heb ingegeven?

En als men ssd kapot zou gaan zou ik dus niet meer aan de bestanden kunnen komen die op de hd's staan?
Of ik moet van de ssd een apparte backup naar een externe hd laten gaan? (1:1 copy?)

Ik heb ook de mogelijkheid om via ecryptfs of een ander programma bepaalde schijven te encrypten maar dan moeten ik ook iedere keer een paswoord ingeven.
Dan vraag ik me af of ik dit niet gaat irriteren als ik iets wil streamen niet gewoon het bestand kan selecteren en zo kan afspelen in mijn netwerk.
Of als ik andere programma's wil instellen voor een backup enz.

In de toekomst komen er nog harde schijven bij tot de 8 slots vol zitten dus daar moet ik ook rekening mee houden.

Dus bij deze de vraag, hoe zou jij encryptie zo gebruiksvriendelijk toepassen op deze server?

[phosporus]

Buiten Teamviewer is VNC ook een optie.

[mendel129]

truecrypt?

[ Voor 3% gewijzigd door mendel129 op 11-10-2011 15:54 ]

[masauri]

@Phosporus: VNC is niet beschikbaar voor android/ios, vandaar dat deze nu dus afvalt.

@Mendel129:
Main Features of truecrypt:
- Creates a virtual encrypted disk within a file and mounts it as a real disk.
- Encrypts an entire partition or storage device such as USB flash drive or hard drive.
- Encrypts a partition or drive where Windows is installed (pre-boot authentication).
- Encryption is automatic, real-time (on-the-fly) and transparent.
- Parallelization and pipelining allow data to be read and written as fast as if the drive was not encrypted.
- Encryption can be hardware-accelerated on modern processors.
- Provides plausible deniability, in case an adversary forces you to reveal the password:
- Hidden volume (steganography) and hidden operating system.

Maar zou je dan enkel de storage of ook de ssd encrypten?
Dus standaard debian installatie, inloggen en dan het paswoord van truecrypt geven?

[ Voor 11% gewijzigd door masauri op 11-10-2011 16:05 . Reden: reactie op @Phosporus gewijzigd na opzoekwerk naar vnc. ]

[CAPSLOCK2000]

masauri schreef op dinsdag 11 oktober 2011 @ 15:49:
Ik ga hier debian+gnome op zetten als os op de ssd om alle progs enz. op te laten draaien (dl/backup/nas/xbcm).
(bereikbaar via remote desktop op men tablets/andere pc's)

Over het algemeen heb je op servers vrij weinig aan de GUI.

Ik dacht voor de remote hiervoor teamviewer te gebruiken: http://www.teamviewer.com/nl/download/index.aspx omdat deze de mogelijkheid geeft automatisch op te starten en te accepteren bij een onbeheerde server.
De hd's worden in raid5 gezet en voor de storage/backup gebruikt.

Je krijgt VNC er out-of-the-box bij. VNC is niet bijzonder snel, maar wel gratis en vrij.

Maar ik ben er nog niet uit hoe ik deze het beste kan beveiligen dmv encryptie.

Wat wil je met encryptie bereiken?

Debian heeft de mogelijkheid (fulldisk encryption? via LUKS?) om alles te encrypten tijdens de install maar dan moet ik bij iedere (re)boot van de server een paswoord ingeven vooralleer het os geladen word.

Dat klopt. Om het echt veilig te doen is het ook nodig om het zo te doen, anders is het mogelijk om een keysniffer te installeren op het onbeveiligde deel. De vraag is hoeveel veiligheid jij nodig hebt.

Als ik via een externe pc zou booten is dit niet mogelijk omdat de server niet zou opstarten nadat ik het paswoord heb ingegeven?

Ik snap niks van deze zin, wat bedoel je met "via een externe pc booten" ?

En als men ssd kapot zou gaan zou ik dus niet meer aan de bestanden kunnen komen die op de hd's staan?
Of ik moet van de ssd een apparte backup naar een externe hd laten gaan? (1:1 copy?)

Je moet gewoon zorgen dat de sleutel ergens veilig is opgeslagen. Bijvoorbeeld op een stuk papier in de brandkast ofzo. Daar ontkom je niet aan, wat voor soort beveiliging je ook gebruikt, er kan altijd iets mis gaan.

Dan vraag ik me af of ik dit niet gaat irriteren als ik iets wil streamen niet gewoon het bestand kan selecteren en zo kan afspelen in mijn netwerk.

Wat voor zin heeft encryptie nog als je server zonder wachtwoord/key opstart en je gewoon ieder bestand kan openen?

[phosporus]

masauri schreef op dinsdag 11 oktober 2011 @ 16:02:
@Phosporus: VNC is niet beschikbaar voor android/ios, vandaar dat deze nu dus afvalt.

Er zijn voldoende vnc viewers te vinden voor android

[masauri]

CAPSLOCK2000 schreef op dinsdag 11 oktober 2011 @ 16:43:

[...]
Over het algemeen heb je op servers vrij weinig aan de GUI.

Ik wil graag een gui omdat ik amper met de terminal werk, te weinig eigenlijk en dan vind ik een gui sneller voor mij om dingen in te stellen. Omdat ik voor linux kies wil niet zeggen dat ik er een expert in ben.

[...]
Je krijgt VNC er out-of-the-box bij. VNC is niet bijzonder snel, maar wel gratis en vrij.

Teamviewer spreekt me het meeste aan omwille van de verschillende platformen waar deze op werken en omdat ik hiermee vertrouwd ben.

[...]
Wat wil je met encryptie bereiken?

Moest mijn server gestolen worden, dat deze bestanden niet zomaar toegankelijk zijn.

[...]
Dat klopt. Om het echt veilig te doen is het ook nodig om het zo te doen, anders is het mogelijk om een keysniffer te installeren op het onbeveiligde deel. De vraag is hoeveel veiligheid jij nodig hebt.

Meer veiligheid dan veiligheidsdiensten die in staat zijn usb sticks, laptop's enz. "kwijt" te geraken waardoor data op straat komt te liggen.

[...]
Ik snap niks van deze zin, wat bedoel je met "via een externe pc booten" ?

Stel ik start de server op en wil deze via mijn thuispc benaderen via teamviewer, dan zou ik nog geen verbinding kunnen maken met het os omdat ik eerst het paswoord voor het os zou moeten ingeven vooralleer teamviewer zou kunnen laden?
Dus ik zou bij een (re)boot altijd fysiek bij de server aanwezig moeten zijn en hier een scherm/toetsenbord aan moeten koppelen vooralleer ik deze kan opstarten.

[...]
Je moet gewoon zorgen dat de sleutel ergens veilig is opgeslagen. Bijvoorbeeld op een stuk papier in de brandkast ofzo. Daar ontkom je niet aan, wat voor soort beveiliging je ook gebruikt, er kan altijd iets mis gaan.

Dus regelmatig een backup naar een externe harde schijf en deze in de brandkast leggen?

[...]
Wat voor zin heeft encryptie nog als je server zonder wachtwoord/key opstart en je gewoon ieder bestand kan openen?

Als de server gestart is en toegankelijk is er verder toch geen paswoord nodig ofwel soms?
Als ik bv. iets wil streamen naar de tv.

[ Voor 0% gewijzigd door masauri op 11-10-2011 17:04 . Reden: Edit teamviewer na tussenreactie van Phosporus ]

[DexterDee]

masauri schreef op dinsdag 11 oktober 2011 @ 17:01:
CAPSLOCK2000 schreef op dinsdag 11 oktober 2011 @ 16:43:
Ik wil graag een gui omdat ik amper met de terminal werk, te weinig eigenlijk en dan vind ik een gui sneller voor mij om dingen in te stellen. Omdat ik voor linux kies wil niet zeggen dat ik er een expert in ben.

Als je voor een Linux achtige oplossing wilt gaan om een NAS server met toebehoren te bouwen, maar je hebt niet zoveel verstand van Linux, waarom ga je dan niet voor een kant-en-klare oplossing met uitgebreide GUI mogelijkheden?

[masauri]

DexterDee schreef op dinsdag 11 oktober 2011 @ 17:05:
[...]
Als je voor een Linux achtige oplossing wilt gaan om een NAS server met toebehoren te bouwen, maar je hebt niet zoveel verstand van Linux, waarom ga je dan niet voor een kant-en-klare oplossing met uitgebreide GUI mogelijkheden?

Freenas is me compleet onbekend, ik ken deze enkel van naam.
Het voordeel dat ik hierin zie is dat het ZFS ondersteunt maar ik heb er geen idee van wat extra mogelijkheden naar programma's zijn die ik zou willen installeren e.d.
De reden dat ik voor debian heb gekozen is omdat ik voordien altijd met ubuntu heb gewerkt maar vanaf dat ze unity zijn gaan gebruiken heb ik een alternatief gezocht en dat is debian geworden.
Ik kan me vanavond wel nog in freenas verdiepen en ga deze mogelijkheid zeker bekijken!

[DexterDee]

masauri schreef op dinsdag 11 oktober 2011 @ 17:12:
[...]

Freenas is me compleet onbekend, ik ken deze enkel van naam.
Het voordeel dat ik hierin zie is dat het ZFS ondersteunt maar ik heb er geen idee van wat extra mogelijkheden naar programma's zijn die ik zou willen installeren e.d.
De reden dat ik voor debian heb gekozen is omdat ik voordien altijd met ubuntu heb gewerkt maar vanaf dat ze unity zijn gaan gebruiken heb ik een alternatief gezocht en dat is debian geworden.
Ik kan me vanavond wel nog in freenas verdiepen en ga deze mogelijkheid zeker bekijken!

FreeNAS is niet gebaseerd op Linux, maar op FreeBSD. Aangezien het beiden UNIX derivaten zijn, zijn de onderlinge verschillen niet bijzonder groot. Er is ook een package manager (port) waarmee je eenvoudig extra software installeert.

Je reden voor Debian kan ik niet zo goed begrijpen. Met één hele simpele handeling kun je Ubuntu gewoon weer van Gnome gebruik laten maken.

[masauri]

DexterDee schreef op dinsdag 11 oktober 2011 @ 17:33:
[...]
FreeNAS is niet gebaseerd op Linux, maar op FreeBSD. Aangezien het beiden UNIX derivaten zijn, zijn de onderlinge verschillen niet bijzonder groot. Er is ook een package manager (port) waarmee je eenvoudig extra software installeert.

Je reden voor Debian kan ik niet zo goed begrijpen. Met één hele simpele handeling kun je Ubuntu gewoon weer van Gnome gebruik laten maken.

Omdat er veel kans is dat ubuntu verder gaat met zen unity ipv naar gnome terug te gaan.
Dan heb ik liever een os dat het standaard ondersteunt ipv zo'n copy/paste te moeten doen.
De copy paste is simpel, de hele string begrijpen en kennen is 2.
Ik zocht dus een ander os, simpel.

Bij de Freenas version comparison word vermeld dat encryptie enkel via een kaart? mogelijk is.
Maar andere services zoals upnp, itunes/daap/webserver heeft versie 7 dan ook terwijl de 8 dit nieft heeft.
Dus freenas heeft nu al meer nadelen voor mij en daarom zal ik debian behouden.

[ Voor 14% gewijzigd door masauri op 11-10-2011 18:08 ]

[CAPSLOCK2000]

masauri schreef op dinsdag 11 oktober 2011 @ 17:01:
CAPSLOCK2000 schreef op dinsdag 11 oktober 2011 @ 16:43:
Ik wil graag een gui omdat ik amper met de terminal werk, te weinig eigenlijk en dan vind ik een gui sneller voor mij om dingen in te stellen. Omdat ik voor linux kies wil niet zeggen dat ik er een expert in ben.

Veel beginners denken dat. Voor de meest basale dingen zal het wel kloppen. Nouja, je komt er vanzelf achter als je zo ver bent.

Moest mijn server gestolen worden, dat deze bestanden niet zomaar toegankelijk zijn.

Dan ontkom je er niet aan om iedere keer bij het opstarten een wachtwoord in te kloppen.
Afhankelijk van hoe paranoide je bent is dat misschien nog niet genoeg. Het is mogelijk om je hele server op een accu aan te sluiten en al draaiende mee te nemen (en de politie doet dat ook).

Stel ik start de server op en wil deze via mijn thuispc benaderen via teamviewer, dan zou ik nog geen verbinding kunnen maken met het os omdat ik eerst het paswoord voor het os zou moeten ingeven vooralleer teamviewer zou kunnen laden?
Dus ik zou bij een (re)boot altijd fysiek bij de server aanwezig moeten zijn en hier een scherm/toetsenbord aan moeten koppelen vooralleer ik deze kan opstarten.

Nu snap ik het. Er zijn twee antwoorden die je allebei niet leuk gaat vinden.
1. In principe heb je gelijk, met teamviewer gaat het niet lukken.
2. Er is speciale hardware te koop waarmee het wel gaat. Veel servers hebben zo iets ingebouwd. Hier zal je wel voor moeten betalen en je zal het ding z'n eigen netwerkaansluiting moeten geven.
Als je toevallig nog een andere machine hebt die altijd aan staat kun je ook een seriele kabel gebruiken.

Dus regelmatig een backup naar een externe harde schijf en deze in de brandkast leggen?

Regelmatig een backup maken is natuurlijk altijd een goed idee.
Ikzelf dacht in dit geval meer aan "key uitprinten en het papier in de brandkast leggen".

Als de server gestart is en toegankelijk is er verder toch geen paswoord nodig ofwel soms?
Als ik bv. iets wil streamen naar de tv.

Dat ligt uiteraard aan de techniek die je kiest, maar bij fulldisk encryptie is het inderaad niet nodig.

[masauri]

Na veel opzoekwerk en met dank aan de personen die gereageerd hebben heb ik dan toch besloten om het volgende te doen:
Het OS gewoon laten opstarten, dus geen encryptie op de SSD.
Enkel full disk encryptie op de raid5 schijven.
Als mijn OS dan toch opgestart is paswoord ingeven om toegang te krijgen en dan maakt het niet meer uit wat ik doe en kan ik overal aan.

[deadinspace]

masauri schreef op dinsdag 11 oktober 2011 @ 15:49:
Debian heeft de mogelijkheid (fulldisk encryption? via LUKS?) om alles te encrypten tijdens de install maar dan moet ik bij iedere (re)boot van de server een paswoord ingeven vooralleer het os geladen word.
Als ik via een externe pc zou booten is dit niet mogelijk omdat de server niet zou opstarten nadat ik het paswoord heb ingegeven?

Jep, de encryptie die Debian bij het installeren aanbiedt is full-disk mbv LUKS.

Er zijn manieren om tijdens het booten remote de encrypted volumes te unlocken over ssh (dus ook je root filesystem). Ik vond zo snel deze twee guides:

• Voor Debian 5.0
• Voor Ubuntu (geen idee welke versie)

Ik heb daar geen ervaring mee, maar een interessante optie is het wel.

Een andere optie (die ik gebruik op mijn laptop) is de volgende: Zet je server nooit uit, maar suspend hem. Bij het booten (zeldzaam) moet je dan de passphrase geven (eventueel remote via bovenstaande howto's), en daarna gebeurt de beveiliging op netwerk-nivo (ssh enzo). Suspenden kan remote over ssh. Waken kan remote over WoL.

Dit beschermt je alleen niet tegen stroomuitval en dergelijke ongelukjes; dan is je computer echt uit en moet je alsnog je passphrase geven.

En als men ssd kapot zou gaan zou ik dus niet meer aan de bestanden kunnen komen die op de hd's staan?

Als de encryption keys voor je HD's alleen op je SSD staat (stond), dan: klopt.

Je kunt elk volume ook zijn eigen (niet noodzakelijk andere) passphrase geven, dan is elk volume enkel afhankelijk van zichzelf. Maar keys backup'en is zeker aan te raden.

mendel129 schreef op dinsdag 11 oktober 2011 @ 15:53:
truecrypt?

Ik zou Truecrypt niet aanraden voor Linux. Het is vast prima software, maar het integreert lang niet zo netjes als de dingen die distributies zelf bieden (LUKS, eCryptfs). Denk bv ook aan security updates

[Sir Isaac]

Truecrypt zit in de ubuntu repositories en krijgt daar security updates. Voor een kluis een deel van je files in op te slaan werkt het goed. Een backup maken is triviaal: gewoon het truecrypt volume naar een externe/newerk HD kopieeren.
Voor het versleutelen van een heel filesysteem zou ik inderdaad LUKS gebruiken. Die gebruik ik om mijn externe HD te versleutelen.

[deadinspace]

Sir Isaac schreef op dinsdag 11 oktober 2011 @ 23:24:
Truecrypt zit in de ubuntu repositories en krijgt daar security updates.

Nee, dat zit het niet, zie de Ubuntu package search:

You have searched for truecrypt in packages names and descriptions in all suites, all sections, and all architectures (including subword matching). Found 2 matching packages.

Package gdecrypt
[...]

Package easycrypt
[...]

Er staat zelfs een package request bug voor open (maar dat gaat niet gebeuren tenzij de TrueCrypt license verandert).

Het enige dat in de buurt komt in Ubuntu is easycrypt, een frontend voor TrueCrypt die ook TrueCrypt kan downloaden en installeren voor je. Maar easycrypt checkt niet voor updates van TrueCrypt, dus je hebt dan geen security updates voor TrueCrypt tenzij je dat handmatig in de gaten houdt.

Een backup maken is triviaal: gewoon het truecrypt volume naar een externe/newerk HD kopieeren.

Dat is met eCryptfs ook triviaal; gewoon de encrypted files kopieren. Dan heb je zelfs als voordeel dat je alleen maar de gewijzigde files hoeft te syncen (met bv rsync).

[Sir Isaac]

Inderdaad, truecrypt is bij mij een lokaal geïnstalleerd pakket, dus zonder automatische updates. Je opmerking over het maken van een backup met eCryptsfs is een beetje naast mijn punt. Uiteraard kun je files in welk fs dan ook backupen. Mijn punt was dat je voor een backup van een truecrypt volume geen backup tools nodig hebt. Je kunt alles backupen door het volume naar externe opslag te kopieren. En dan blijfs alles gecomprimeerd. Je data zijn van veilig op bijv. een netwerkshare waar iedereen read acces heeft. Als dat voor jou geen voordeel is, prima, voor anderen wel.

[H!GHGuY]

Het zou fijn zijn mocht er een systeem zijn waarbij remote logins met user/pass, zoals samba, scp, FTP, ..., genoeg zijn om een encrypted drive, voor die user te automounten op zijn homedir.

Vereist echter redelijk wat integratie, dus ik denk niet dat dit reeds bestaat... Bovendien moet root wel uitgesloten worden, wat nogal ingaat tegen de linux filosofie...

[ Voor 19% gewijzigd door H!GHGuY op 14-10-2011 20:19 ]

[masauri]

H!GHGuY schreef op vrijdag 14 oktober 2011 @ 20:16:
Het zou fijn zijn mocht er een systeem zijn waarbij remote logins met user/pass, zoals samba, scp, FTP, ..., genoeg zijn om een encrypted drive, voor die user te automounten op zijn homedir.

Vereist echter redelijk wat integratie, dus ik denk niet dat dit reeds bestaat... Bovendien moet root wel uitgesloten worden, wat nogal ingaat tegen de linux filosofie...

Ik ga er van uit dat dat ook de reden is dat men het niet ontwikkeld.
Hoewel het het gebruiksgemak zou verbeteren crieert het een enorm veiligheidsrisico.
MAar dit zou lokaal/intern toch mogelijk moeten zijn niet?

[H!GHGuY]

Er zijn misschien nog wel wat mogelijkheden, maar daarvoor heb je een TPM chip en trusted boot nodig.

TPM om keys in op te slaan en trusted boot aan de praat te krijgen, trusted boot om te zorgen dat enkel het geinstalleerde OS zonder wijzigingen boot. Dit laatste wordt aan gewerkt in de kernel; zie http://linux-ima.sourceforge.net/
Eens je het OS vertrouwt kun je de keys uit de TPM halen.

[kunnen]

Als je bij reboot je wachtwoord remote in wilt kunnen voeren: Draai een (unencrypted) host met iets als VirtualBox (automatisch startend), welke iets VNC-achtigs ondersteunt vanaf boot, waardoor je dus remote je wachtwoord in kunt vullen.

't is wel nogal overdreven voor deze situatie.

[CH4OS]

Als het de bedoeling is om remote de machine te kunnen booten (met password ivm encryptie van je filesystem), dan kun je natuurlijk ook kijken naar oplossingen zoals tegenwoordig standaard aanwezig op HP servers: remote insight.