Server software voor het veilig opslaan van bestanden

[ido_nl]

Stel ik heb een PHP applicatie waar gebruikers bestanden mee kunnen uploaden, maar ook kunnen inzien. Nu kan ik deze bestanden op de server opslaan, of ergens in het netwerk op een fileserver plaatsen.

Voor thuis gebruik is dit prima, maar binnen een bedrijf wil je de bestanden op een plek neerzetten met een bepaald veiligheidsniveau (certificering).

Als ik hierop probeer te zoeken zijn de resultaten cloud oplossingen, maar dat wil ik juist niet.

Vandaar mijn vraag naar ervaringen, zijn bij jullie gecertificeerde systemen bekend waarin je bestanden kan opslaan met een goede API. Ik zat zelf te denken aan een DAM, maar die heeft de focus op het doorzoekbaar maken van het materiaal via een mooie interface, maar dat heb ik juist niet nodig.

[Killah_Priest]

nosmo king schreef op vrijdag 17 februari 2017 @ 11:46:
Stel ik heb een PHP applicatie waar gebruikers bestanden mee kunnen uploaden, maar ook kunnen inzien. Nu kan ik deze bestanden op de server opslaan, of ergens in het netwerk op een fileserver plaatsen.

Voor thuis gebruik is dit prima, maar binnen een bedrijf wil je de bestanden op een plek neerzetten met een bepaald veiligheidsniveau (certificering).

Als ik hierop probeer te zoeken zijn de resultaten cloud oplossingen, maar dat wil ik juist niet.

Vandaar mijn vraag naar ervaringen, zijn bij jullie gecertificeerde systemen bekend waarin je bestanden kan opslaan met een goede API. Ik zat zelf te denken aan een DAM, maar die heeft de focus op het doorzoekbaar maken van het materiaal via een mooie interface, maar dat heb ik juist niet nodig.

Ik weet het niet hoor, maar bij mij op het werk zijn de fileservers gewoon secure.

[ido_nl]

Ik snap dat fileservers secure zijn, dat is het punt niet, maar een fileserver is een "dom" ding waar je de bestanden kan opslaan. Het biedt geen functionaliteiten zoals een Audit log, toegang beveiliging, Autorisatie, encryptie, versiebeheer, etc. Natuurlijk kan je een aantal dingen regelen hiervoor op OS niveau, of zelf bij programmeren, maar ik weet dat er ook dedicated systemen bestaan die dit kunnen, die ook rekening houden met de Wbp.

Wellicht is de juiste zoekterm document management systemen,
http://www.dmssystemen.nl/dms-software

iemand ervaring hiermee samen met PHP?

[AlphaRomeo]

Zoek je dan niet een versiebeheersysteem met waarvoor je dan in PHP een front-end maakt? Iets als TFS of GIT?

[DJMaze]

Elke laag die je toevoegt heeft beveiliging nodig.
Meer lagen = meer werk/onderhoud

Persoonlijk zou ik toch eerst eens even naar die PHP applicatie kijken.
Dat is immers de zwakste schakel (publiek toegankelijk).
Ik ben zelf ontwikkelaar en hoeveel bagger code ik wel niet tegen kom (in welke taal dan ook)....

[ Voor 3% gewijzigd door DJMaze op 17-02-2017 13:48 ]

[ido_nl]

Ik hoop eigenlijk op iets waarbij het wiel niet opnieuw uitgevonden hoeft te worden. Via een API files inschieten en de rest regelt die service.

Bedankt alvast voor het meedenken in iedergeval

[ThinkPad]

Seafile?

[HollowGamer]

Dit kan toch allemaal prima? Geloof dat zelfs ownCloud encryptie ondersteund.
Verder is het allemaal wat vaag, wat zoek je nu precies?
Een systeem als mega (al is die nu niet meer zo secure) waarbij de encryptie client-side plaatsvindt of zoek je iets als inderdaad Seafile of Syncthing?

Server uitvoeren met encryptie, vervolgens daarover op de bestanden nog een encryptie (zodat onbevoegde geen toegang hebben) en je hebt het toch al redelijk veilig?
Wat bedoel je precies met gecertificeerde systemen? Heb je een ISO?

Wil je echt iets dat bij je aansluit, dan moet je misschien toch zelf aan de slag.

[ Voor 5% gewijzigd door HollowGamer op 17-02-2017 14:22 ]

[ido_nl]

Systemen zoals Decos zijn gecertificeerd voor het opslaan van privé gegevens en het bewaren van archieven. Zo'n systeem zoek ik.

En het klopt dat het nog wat vaag is, ben zelf nog opzoek naar de juiste definitie van een dergelijk systeem. Maar ik denk dat een document management systeem het geen is wat ik zoek.

[Gerco]

nosmo king schreef op vrijdag 17 februari 2017 @ 13:07:
Ik snap dat fileservers secure zijn, dat is het punt niet, maar een fileserver is een "dom" ding waar je de bestanden kan opslaan.

Dat was misschien ooit zo, maar dat is tegenwoordig echt niet meer waar. Een standaard windows server kan tegenwoordig deze functionaliteiten makkelijk aan.

Audit log	Kun je aanzetten en vervolgens de logs bekijken met de standaard Windows event logs
toegang beveiliging	NTFS file permissies zijn zeer uitgebreid
Autorisatie	Ik weet niet precies wat hier anders aan is dan aan bovenstaande, maar als je iets als toegang verlenen door de eigenaar oid bedoeld, dat kan misschien niet met standaard Windows maar ik zou het niet zomaar uitsluiten.
encryptie	Encryptie zit standaard in NTFS ingebouwd met per-user en per-file keys
versiebeheer	Idem. met NTFS volume snapshots en dergelijke

Voor je zelf iets gaat bouwen, leg je eisen eens naast de mogelijkheden van NTFS en kijk of het echt niet mogelijk is. Voordat je zelf iets gebouwd hebt wat de helft van die functies heeft en even goed getest en geintegreerd met Active Directory is ben je jaren verder.

Bijna alle bovenstaande is ook van toepassing met een aantal filesystems onder Linux. ZFS, btrfs en ext4 met extended attributes en ACLs enabled hebben de meeste of alle van bovenstaande functionaliteiten ook.

[DJMaze]

Gerco schreef op vrijdag 17 februari 2017 @ 19:23:
Voor je zelf iets gaat bouwen, leg je eisen eens naast de mogelijkheden van NTFS en kijk of het echt niet mogelijk is.

https://gitlab.com/cryptsetup/cryptsetup

[Bigs]

nosmo king schreef op vrijdag 17 februari 2017 @ 14:34:
Systemen zoals Decos zijn gecertificeerd voor het opslaan van privé gegevens en het bewaren van archieven. Zo'n systeem zoek ik.

En het klopt dat het nog wat vaag is, ben zelf nog opzoek naar de juiste definitie van een dergelijk systeem. Maar ik denk dat een document management systeem het geen is wat ik zoek.

Allemaal leuk en aardig, maar als een lekke PHP applicatie voor zo'n systeem zet schiet je daar weinig mee op.

Beveiliging is iets wat in je hele systeem/applicatie doordacht moet zijn. Je kunt dat niet oplossen door een extra systeempje ergens achter te plakken. Je eisen zijn nu ook erg vaag.

[edit]
De lekke applicatie kan natuurlijk ook in een andere taal dan PHP geschreven zijn het ging me niet om de taal

[ Voor 7% gewijzigd door Bigs op 18-02-2017 10:36 ]

[FrankHe]

PHP is niet per definitie onveiliger dan andere talen. Mits fatsoenlijk geprogrammeerd kun je er geweldige toepassingen mee maken. Het probleem is wel dat er heel veel 'gratis' scripts te verkrijgen zijn waarvan de kwaliteit maar zozo is. Dat is helaas wat PHP af en toe een slechte naam lijkt te bezorgen. Dat is niet de schuld van de programmeertaal (officieel is het eigenlijk een scripttaal) maar meer een resultaat van de enorme populariteit waardoor er heel veel applicatie in zijn geschreven. Sommige rommel en anderen zijn ronduit briljant.

Ikzelf ben erg tevreden met de producten van Synology waar het fileserver gerelateerde oplossingen betreft. Het werkt gewoon goed en ik heb er vertrouwen in dat ze aandacht hebben voor goede beveiliging. Wat is de reden waarom ze dat zouden doen? Zodra ze een steek laten vallen op het vlak van security dan raken ze hun positie in de markt kwijt. Reden genoeg voor Synology om hier serieus aan te blijven werken.

Kun je een veilig systeem nog veiliger maken? Ja dat kan door het achter een ander veilig systeem te plaatsen. Zet een fileserver bijvoorbeeld achter een VPN server. Wanneer deze apparaten van twee verschillende toeleveranciers komen dan is de kans erg groot dat de totale oplossing heel veilig is. Laat me weten als je hier meer uitleg over wilt. Dan zal ik proberen met de kennis die ik heb om dit verder te verduidelijken.

Wil je een systeem dat niet te kraken is dan moet je terug naar pen en papier. Staatsgeheimen bijvoorbeeld zijn op papier geschreven en liggen in een kluis.

[ Voor 2% gewijzigd door FrankHe op 18-02-2017 08:44 . Reden: Reden genoeg ... blijven werken. ]

[FrankHe]

Een muur een gracht en een muur moet de meeste indringers wel buiten houden. Ook belangrijk is logging. Leg vast wie welk bestand upload, inziet en download. Analyseer het verkeer op je netwerk. Check de rapporten regelmatig en handel wanneer er afwijkingen zijn. Overhandig de informatie aan een externe audit wanneer die komt.

[ido_nl]

Dank voor al jullie reacties, ik heb er van t weekend nog even over na kunnen denken en ook nog bij de ontwikkelaars in de groep gegooid.
Ik begrijp dat je een aantal zaken ook al kan regelen binnen het filesysteem en andere erbij kan programmeren binnen de applicatie. Ik heb zitten brainstormen wat een dergelijk systeem mij dan zou moeten kunnen bieden, ik kom tot het volgende lijstje.

• Toegang beperking / Autorisatie, per applicatie in te regelen
• Regelen van tijdelijke toegang, bv de download link is 1 dag geldig
• Resizen van plaatjes
• Virusscan
• Indexeren op inhoud, doorzoekbaar maken van PDF/Word
• Audit log, zien wie welk bestand heeft opgevraagd/gewijzigd
• Statistieken hoe vaak een bestand is opgevraagd
• Ontsluiten naar CDN / Website
• Encryptie

Mijn idee was gebruik te maken van een Digital Asset Management (DAM) of document management systeem (DMS) achtig systeem, met een goede API, zodat je een aantal zaken niet zelf meer hoeft te programmeren.

[bomberboy]

nosmo king schreef op maandag 20 februari 2017 @ 14:15:
Mijn idee was gebruik te maken van een Digital Asset Management (DAM) of document management systeem (DMS) achtig systeem, met een goede API, zodat je een aantal zaken niet zelf meer hoeft te programmeren.

Je heb inderdaad een DAM nodig. Het leuke is natuurlijk dat er ook enorm veel verschillende bestaan. In allerlei budget-klassen en met meer of minder features en of API-mogelijkheden.

Voor de keuze van een DAM moet je vooral ook goed kijken naar de verschillende input/output flows die relevant zijn, type koppelingen & integraties die er zijn. Wat verwachten de gebruikers van het platform (change mgmt is altijd lastig). Uiteraard ook type content, aantal gebruikers, complexiteit van permissies, hoeveelheid content, nodige omzettingen die gewenst zijn enz.

De mogelijkheden van de "php-applicatie" die je omschrijft in de openingspost is eigenlijk ook basisfunctionaliteit van eender welke DAM. (of zou dat toch moeten zijn)


Disclaimer: ik werk voor een bedrijf dat een DAM maakt en verkoopt

[DJMaze]

FrankHe schreef op zaterdag 18 februari 2017 @ 09:23:
Een muur een gracht en een muur moet de meeste indringers wel buiten houden.

Totdat het vriest http://www.regiocanons.nl/utrecht/onderwijscanon/rampjaar

[FrankHe]

DJMaze schreef op maandag 20 februari 2017 @ 16:15:
[...]

Totdat het vriest http://www.regiocanons.nl/utrecht/onderwijscanon/rampjaar

Daarom hebben ze bijvoorbeeld bij het gebouw van Europol in Den Haag verwarming in de waterpartij buiten. Ik wil niet weten hoeveel energie dat in de winter kost. Serieus veel vermoedt ik.

[ido_nl]

dankt voor de antwoorden, ik ga eens in de diverse DAMS duiken en kijken wat er beschikbaar is

[PainkillA]

goede enterprise oplossing is Amazon WorkDocs.