Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

chiffrer disque réseau

bbenn

Salut,

je viens d'avoir mon NAS qui a lâché. Je suis parvenu à récupérer mes données et je vais pouvoir formater le disque. Mais j'aurais pu avoir moins de chance et devoir le renvoyer en l'état avec mes données persos.

Du coup je vais m'équiper d'un nouveau NAS mais je souhaiterais cette fois le chiffrer.

Qu'est ce qu'il existe comme solution qui vaut le coup?

Il faudrait que je puisse monter automatiquement les dossiers sur mon Ubuntu et il faudrait également que je puisse accéder aux données (au moins en lecture) depuis Windows.

Merci

quaego

Bonsoir,

Plusieurs marques/modèles de NAS permettent le chiffrement soit de volumes partagés, soit intégral du disque. Exemples :

Synology : chiffrement de certains volumes au choix (via ecryptfs de mémoire) : Chiffrement Synology
Qnap : chiffrement intégral du disque : Chiffrement Qnap

Certains modèles seulement supportent le chiffrement, et les performances diminuent. Veiller également à ne pas sauvegarder la phrase clé qui protège la clé de chiffrement sur le NAS, sinon il n'y a aucune protection réelle. Inconvénient : il faut entrer la phrase clé à chaque redémarrage du NAS.

On peut également monter son propre NAS avec chiffrement intégral des disques (avec par exemple FreeNAS, OpenMediaVault ou autre).

En cas de panne du NAS, on peut aussi imaginer de retirer les disques avant envoi en SAV (en vérifiant qu'ils ne sont pas la source de la panne avant).

bbenn

Merci,
j'aurais préféré une solution coté 'client' ce qui m'aurait permis de la mettre en place sur n'importe quel marque de NAS.
j'aimerais aussi la possibilité de ne pas tout chiffrer (afin de permettre aux invités d'accéder aux fichiers que je veux partager par exemple)
je n'ai pas la motivation pour monter le truc moi même.
J'ai acheté le NAS avec le disque dedans donc je pense que je vais devoir tout renvoyer

quaego

Côté client : c'est possible, avec par exemple EncFS ou ecryptfs. Mais ce n'est guère pratique : il faut transférer les données chiffrées vers le NAS (et vice-versa), alors que sur les clients on manipule la version "en clair".
Ne pas tout chiffrer : c'est possible sur Synology (on peut avoir des partages en clair, et un ou plusieurs autres chiffrés). Il me semble que chez Qnap aussi.
Et même si le disque est intégralement chiffré, cela n'empêche pas d'avoir un partage "public" visible par les invités. Les données confidentielles peuvent être mises dans un partage "privé" avec un utilisateur / mot de passe spécifique pour y accéder. La phrase clé du chiffrement intégral au niveau disques n'est utilisée qu'au démarrage du NAS, puis reste en mémoire. Il n'est ensuite pas nécessaire de la donner à qui que ce soit pour accéder aux partages du NAS : bien que les données sur les disques soient intégralement chiffrées, le NAS fournit le contenu en clair via les partages.
Pour le problème immédiat de SAV : le mieux est de récupérer les données, puis effectivement de reformater avant envoi (pour bien faire, comme les données n'étaient pas chiffrées, si elles sont vraiment confidentielles, il faudrait écraser le contenu du disque de manière sécurisée avant de le reformater : avec dd ou shred par exemple, 1 seule passe suffit).

voxdemonix

Je vais ptete dire une bétise, mais Quid de SSHFS + truecrypt? C'est ptete possible de créer un container truecrypt sur ton NAS et que seul le client puisse l'ouvrir. Ainsi si le NAS redémarre ce n'est pas pénalisant (vu que c'est le client qui va rénitialiser la lecture du container)

bbenn

voxdemonix a écritJe vais ptete dire une bétise, mais Quid de SSHFS + truecrypt? C'est ptete possible de créer un container truecrypt sur ton NAS et que seul le client puisse l'ouvrir. Ainsi si le NAS redémarre ce n'est pas pénalisant (vu que c'est le client qui va rénitialiser la lecture du container)

je crois que truecrypt est plutôt à éviter depuis quelques mois.

Sinon pourquoi sshfs? (je ne cherche pas à masquer le flux sur mon réseau local, c'est juste pour chiffrer le disque afin de ne pas y laisser mes infos persos dans le cas d'une panne ou d'une revente)

bbenn

quaego a écrit

Côté client : c'est possible, avec par exemple EncFS ou ecryptfs. Mais ce n'est guère pratique : il faut transférer les données chiffrées vers le NAS (et vice-versa), alors que sur les clients on manipule la version "en clair".

Ne pas tout chiffrer : c'est possible sur Synology (on peut avoir des partages en clair, et un ou plusieurs autres chiffrés). Il me semble que chez Qnap aussi.

Et même si le disque est intégralement chiffré, cela n'empêche pas d'avoir un partage "public" visible par les invités. Les données confidentielles peuvent être mises dans un partage "privé" avec un utilisateur / mot de passe spécifique pour y accéder. La phrase clé du chiffrement intégral au niveau disques n'est utilisée qu'au démarrage du NAS, puis reste en mémoire. Il n'est ensuite pas nécessaire de la donner à qui que ce soit pour accéder aux partages du NAS : bien que les données sur les disques soient intégralement chiffrées, le NAS fournit le contenu en clair via les partages.

Pour le problème immédiat de SAV : le mieux est de récupérer les données, puis effectivement de reformater avant envoi (pour bien faire, comme les données n'étaient pas chiffrées, si elles sont vraiment confidentielles, il faudrait écraser le contenu du disque de manière sécurisée avant de le reformater : avec dd ou shred par exemple, 1 seule passe suffit).

Alors non bien sur je ne vais pas m'embêter à chiffrer chaque fichier avant de le mettre sur le NAS.

Je vais jeter un coup d'oeil aux marques que tu cites si il n'y a que ça comme solution valable.

Merci 😉

quaego

bbenn a écrit Je vais jeter un coup d'oeil aux marques que tu cites si il n'y a que ça comme solution valable.

A part le chiffrement côté NAS, je ne vois rien de pratique à utiliser.

Truecrypt ou toute autre solution à base de conteneur :
- cela induit des transferts importants sur le réseau : chaque modification du contenu peut impliquer de transférer tout le conteneur (à ma connaissance, ni CIFS/SMB, NFS ou SSHFS ne supportent l'échange du "delta" comme avec rsync),
- et je crains qu'en cas de modification simultanée du conteneur depuis plusieurs postes, ça se passe très mal.

Les marques citées sont des exemples, parmi les plus réputées, supportant le chiffrement, et avec un logiciel complet et sympa. Il y en a sûrement d'autres : Asustor, Thecus, ...

Petites remarques sur le chiffrement côté NAS :
- prévoir une baisse de performances significative pour les données chiffrées (processeur souvent "modeste"),
- chez Synology : partage NFS impossible pour les volumes chiffrés (incompatibilité avec ecryptfs), ok en CIFS/SMB.

bbenn

voxdemonix a écrit
bbenn a écrit
voxdemonix a écritJe vais ptete dire une bétise, mais Quid de SSHFS + truecrypt? C'est ptete possible de créer un container truecrypt sur ton NAS et que seul le client puisse l'ouvrir. Ainsi si le NAS redémarre ce n'est pas pénalisant (vu que c'est le client qui va rénitialiser la lecture du container)
je crois que truecrypt est plutôt à éviter depuis quelques mois.
Boaf, il est mafia proof même si le projet est a l'abandon (il faudra un certains temps avant qu'un fork n'offre autant de confiance) http://korben.info/truecrypt-a-lepreuve-du-fbi.html

bbenn a écritSinon pourquoi sshfs? (je ne cherche pas à masquer le flux sur mon réseau local, c'est juste pour chiffrer le disque afin de ne pas y laisser mes infos persos dans le cas d'une panne ou d'une revente)
SSHFS a l'autre avantage de permettre l'utilisation de ressources réseaux comme si elles étaient locales (comme si elles étaient hébergées sur le client) et d'être facile a configurer. Si SSHFS et truecrypt peuvent fonctionner ensemble, alors tu peux laisser le container chiffré sur ton serveur et ton client sera capable de le traiter sans être obligé de le copier entièrement sur le client, de le modifier puis de le re-uploader sur le serveur comme le nécessite les autres solutions. (de plus le serveur serait incapable d'ouvrir le container truecrypt se qui est un bon gage de sécu)

ton article sur truecrypt date de 2010

je te recommande celui là plus récent et toujours de tonton Korben:
http://korben.info/truecrypt.html

concernant SSHFS ça aurait du sens pour un accès via internet pour chiffrer le flux mais sur mon réseau local ça n'en a pas. (et puis SSHFS n'existe pas sur Windows à ma connaissance)

bbenn

quaego a écrit
bbenn a écrit Je vais jeter un coup d'oeil aux marques que tu cites si il n'y a que ça comme solution valable.
A part le chiffrement côté NAS, je ne vois rien de pratique à utiliser.

Truecrypt ou toute autre solution à base de conteneur :
- cela induit des transferts importants sur le réseau : chaque modification du contenu peut impliquer de transférer tout le conteneur (à ma connaissance, ni CIFS/SMB, NFS ou SSHFS ne supportent l'échange du "delta" comme avec rsync),
- et je crains qu'en cas de modification simultanée du conteneur depuis plusieurs postes, ça se passe très mal.

Les marques citées sont des exemples, parmi les plus réputées, supportant le chiffrement, et avec un logiciel complet et sympa. Il y en a sûrement d'autres : Asustor, Thecus, ...

Petites remarques sur le chiffrement côté NAS :
- prévoir une baisse de performances significative pour les données chiffrées (processeur souvent "modeste"),
- chez Synology : partage NFS impossible pour les volumes chiffrés (incompatibilité avec ecryptfs), ok en CIFS/SMB.

oui je vais céder à la tentation d'un synologie (qui va me couter un petit bras)
ça va m'éviter de passer du temps à mettre en place un truc peu fiable

par contre j'archive mes données dans le cloud (en sftp)
est-ce que je pourrai continuer d'envoyer mes données déchiffrées en sftp (ce que j'essaie de dire avec difficulté: les données sont chiffrées sur le nas -> je veux que le nas les archive en clair sur le cloud en les envoyant via une méthode sécurisée (sftp ou ssh)

je ne suis pas certain d'être extrêmement clair 😃

voxdemonix

Normalement cela ne pose aucun problème:
http://forum.synology.com/wiki/index.php/Enabling_the_Command_Line_Interface
http://www.nas-forum.com/forum/topic/29412-installer-et-configurer-le-sftp/

bbenn

voxdemonix a écritNormalement cela ne pose aucun problème:
http://forum.synology.com/wiki/index.php/Enabling_the_Command_Line_Interface
http://www.nas-forum.com/forum/topic/29412-installer-et-configurer-le-sftp/

ouep je vois que l'on peut faire du sftp

ce que je voudrais savoir c'est si les données sont envoyées déchiffrées sur le canal sftp (afin qu'elles soient stockées en clair sur mon serveur) (et alors qu'elles sont chiffrées sur le nas)

voxdemonix

mettons les choses "au clair":
SFTP c'est un canal chiffré (c'est SSH), tout se qui transite dedans est chiffré entre le client et le serveur. Une fois sorti du canal de données les machines déchiffrent (et donc c'est de nouveau en claire) afin de traiter l'information (exemple la stoker sur ton disque dur, envoyer un flux vidéos a VLC ou que sais-je encore).

Exemple Si tu utilises SFTP pour enregistrer un fichier sur ton NAS, il ne sera donc pas chiffré sur le disque dur, par contre la liaison entre le client et le NAS elle aura été chiffrée de bout en bout.
______________________ _______________________________________ _____________________________
| client (données en claire) | ====> | SSH du client chiffre le données et envoi au NAS | ==> données chiffrées ==> | SSH du NAS qui déchiffre les infos |
_________________________
=> |NAS lit les données en clair |

bbenn

non mais on y arrivera pas 😃

les données sont chiffrées sur le NAS.
c'est transparent pour l'utilisateur sur son PC (grâce au mécanisme de clé à saisir au démarrage du nas)

ces données qui sont chiffrées sur le NAS, je veux les archiver sur un serveur sur internet.

Est-ce que (de la même façon qu'elles sont présentées en clair a un utilisateur sur son pc) elles seront envoyées en clair ou pas?

du coup si elles ont envoyées en clair, ça me permettrait de les envoyer de façon sécurisée (ssh ou sftp) tout en les archivant en clair.

c'est pourtant simple 😛

voxdemonix

MDR ^^

Si c'est transparent alors je pense que sa transitera en clair (car ton software qui effectue la copie lit les fichiers en claire, il se trouve au dessus du logiciel qui gère ta crypto). Après c'est fonction de ta config: tu peux faire une copie des fichiers en clairs comme tu peux transférer les containers/fichiers chiffrés.

bbenn

voxdemonix a écritMDR ^^

Si c'est transparent alors je pense que sa transitera en clair (car ton software qui effectue la copie lit les fichiers en claire, il se trouve au dessus du logiciel qui gère ta crypto). Après c'est fonction de ta config: tu peux faire une copie des fichiers en clairs comme tu peux transférer les containers/fichiers chiffrés.

bah justement le software qui fera le transfert du fichier est une fonctionnalité du nas.
donc je ne sais pas si il va chercher les données avant ou après déchiffrement pour les envoyer

il n'y a qu'un possesseur d'un synology qui pourra nous le dire je pense

bbenn

tu saurais répondre à mon interrogation si je pars sur une soluce à base de Raspberry?

bbenn

je ne te sui plus là: tu parles d'un disque dur, ou d'un NAS monté à base de Rasp?

(je vois une utilité à chiffrer en cas de vol ou revente ou renvoie en SAV. En cas de crash je ne vois quel souci tu vois dans la mesure où c'est le NAS qui gère le chiffrement)

quaego

Lorsqu'un volume chiffré est ouvert (déverrouillé avec son mot de passe), le NAS et les postes clients voient les données en clair, bien qu'elles soient stockées chiffrées exclusivement. C'est exactement le même système que le répertoire home chiffré d'Ubuntu (ecryptfs) : un répertoire chiffré caché contient les données, un répertoire virtuel associé donne l'accès en clair.

Backup depuis le Synology vers un serveur distant :
- Via l'interface graphique, uniquement si un démon rsyncd tourne sur le serveur distant (sécurisé par tunnel SSH possible),
- On peut passer outre ce genre de restrictions en utilisant un script personnalisé défini dans le "Planificateur de Tâches" du NAS. DSM 5.1 (le logiciel Synology) est une version réduite et fortement customisée de Linux, toutes les commandes ne sont pas disponibles. Niveau transfert de fichiers il y a entre autres ssh-keygen / ssh / rsync (pour du rsync over SSH), lftp, et sftp.

J'avais utilisé rsync over SSH avec authentification par clé publique sur un serveur distant, ça marchait très bien. Pour la commande sftp, jamais testé.

Sinon, effectivement, n'importe quel poste Linux (incluant un Raspberry Pi, une excellente solution économique) peut directement transférer les fichiers du partage du NAS (donc vus en clair) vers le serveur distant de manière sécurisée, avec les outils choisis (rsync over SSH, sftp, ...).

Pour voir qui est supporté par le logiciel Synology :
- la doc ici : https://global.download.synology.com/download/Document/UserGuide/DSM/5.1/Syno_UsersGuide_NAServer_fra.pdf
- la démo en ligne (certaines fonctions sont bridées, mais ça donne un bon aperçu de DSM) : https://www.synology.com/fr-fr/dsm/live_demo
Dans la démo, bouton "Menu principal" en haut à gauche, puis "Sauvegarde et réplication", "Destination de la sauvegarde", "Créer", tu verras les possibilités.

Exemples de mise en oeuvre de scripts personnalisés :
http://www.vdsar.net/rsync-backup-synology-remote-raspberry-pi/
http://raphael.kallensee.name/journal/how-to-backup-an-external-server-with-a-synology-nas-via-rsync/

Chez QNAP je ne sais pas, voir avec la démo : https://www.qnap.com/i/fr/support/con_show.php?cid=8

Pour la sécurité des données sur le NAS : pour un volume chiffré, il ne faut pas cocher le montage automatique au boot. Du coup, le Synology ne stocke que la clé de chiffrement encodée, mais pas le mot de passe qui permet de la déverrouiller. Donc dès que le NAS est arrêté (vol, SAV, ...), les données sont illisibles. Inconvénient corollaire : il faut déverrouiller le volume après chaque reboot (donc se connecter à l'interface Web du NAS, demander à déverrouiller le volume, et entrer le mot de passe).

voxdemonix

bbenn a écritje ne te sui plus là: tu parles d'un disque dur, ou d'un NAS monté à base de Rasp?

Tu peux brancher des disques dur (USB) sur le raspberry pi. J'ai testé ça fonctionne pas mal (mais pour finir j'ai opté pour une vieille tour dans laquelle j'ai tapé des disques dur interne coûtant moins chers que les externes (pauvreté oblige ^^) par contre quand la carte mère rend l'âme ça râle plus que quand c'est un raspberry pi mdr )

bbenn a écrit(je vois une utilité à chiffrer en cas de vol ou revente ou renvoie en SAV. En cas de crash je ne vois quel souci tu vois dans la mesure où c'est le NAS qui gère le chiffrement)

Je sais pas, ça me donne l'impression de créer un coffre fort tout en laissant la clé pour l'ouvrir sur la serrure ^^. Après c'est ptête moi qui me trompe.

Si non j'avais testé un container truecrypt avec auto-mount au boot ça marche pas mal pour le stockage de données. Faut juste éviter d'installer des softwares sur ce genre de partition sinon AppArmor ce tape un gros WTF (perso j'avais fais l'expérience de taper MySQL dedans pour tenter d'avoir une BDD ultra Masta Secure ^^)

Page suivante »