Comment peut-on chiffrer ses documents confidentiel ?

[felix62]

Bonjour,

Depuis maintenant plus d'un ans, je suis l'heureux acquéreur d'un DS218 qui fonctionne à merveille et avec lequel je fait profiter amis et famille.

Chaque utilisateur peut accéder au NAS à distance via internet avec HTTPS port 443 (application mobile, DSM...), Ils disposent chacun d'un espace "Home" sans voir le dossier parents "HOMES" (même avec filestation) ou il disposent d'un quotas en Go blablabla...

Mes questions sont les suivantes:

- Comment chaque utilisateur peuvent avoir leur dossier personnel "HOME" doté d'un chiffrement dans le but qu'ils puissent chacun déposé leurs documents (impôt, facture, bulletin de paie..) en toute sérénité sans se demander si ils cours un risque de piratage ou ransomware ect...?

Je ne sait pas si cela est possible, pour le moment je n'est que la possibilité de chiffrer le dossier partagé "HOMES" et non "HOME" des différents utilisateurs.

 

PS: Peut-on en dehors du chiffrement déposer ses doc personnel (impôts, bulletin de paie...) sur son NAS sans risques ? ou quel sont les risques potentiel ?

Merci pour vos réponses.

 

[pluton212+]

Bonjour,

Citation

PS: Peut-on en dehors du chiffrement déposer ses doc personnel (impôts, bulletin de paie...) sur son NAS sans risques ?

Ça n'intéresse personne !

Et celui qui voudrait savoir que tu connais n'a à priori pas les compétences pour te hacker.

Tu peux créer des dossiers chiffrés dans chaque home, attention si la clé est perdue les données le sont aussi...

[felix62]

Merci pour ta réponses, je suis persuadé aussi que ces fichiers n'intéresse personne, c'est sans doute que avoir un NAS rend paranoïaque :).

Cela dit j'aime être prévoyant et si ont peux m'affirmer que mes documents ne cours aucun risque ....

Il y a 2 heures, pluton212+ a dit :

Tu peux créer des dossiers chiffrés dans chaque home, attention si la clé est perdue les données le sont aussi...

Comment effectuer l'opération avec le nas ?

[pluton212+]

il faut investiguer dans le panneau de configuration => Dossier partagé...

simple...

[felix62]

Dans ma version actuelle de DSM (la derniere non-béta) à ce jour ne me permet de chiffrer uniquement le dossier "HOMES" et pas les différents dossier "HOME"

[pluton212+]

Ah oui en effet, je n'avais pas compris:

tu crées un dossier partagé chiffré pour toto tonton tata...

un par utilisateur par ex et tu leur donnes l'accès.

Il verront ainsi leur home et leur "coffre" 

[niklos0]

Le 13/04/2020 à 16:01, felix62 a dit :

en toute sérénité sans se demander si ils cours un risque de piratage ou ransomware

Si je peux me permettre, le fait de chiffrer tes dossiers n’empêchera pas un éventuel piratage et encore moins l'action d'un ransomware.

Un pirate n'aura pas accès aux fichiers certes (et, soit dit en passant, il s'en tartine le coquillar...), mais ton chiffrement n’empêchera un second chiffrement par dessus. Tu es donc toujours vulnérable au ransomware.

[felix62]

Merci Pluton212+ pour ta réponse.

Merci niclos0 pour ta réponse, étant novice dans l'univers des NAS et s’agissant de mon premier achat réalisé dans ce domaine j'ai envie de prendre note de tout les risques éventuel que je pourrai rencontrer en y déposant mes documents.

A ce jour, je scan et dépose mes documents sur un clé USB sandisk qui dispose d'un logiciel de chiffrage. une fois l'opération effectué je range la clé usb.
Cela dit, si la clé tombe en panne, j'aimerai avoir une copie sur mon NAS.

Au final, de mon point de vue de néophyte, je cherche finalement à avoir une vision des risques et savoir si oui ou non je peux y déposer des documents liés à mes finances et autres... sans que sa tombe dans d'autres mains que les miennes.

PS: la fonction de chiffrage au final n'empêchera pas le ransomware mais les documents ne pourront pas être lu par celui-ci.

 

[maxou56]

il y a 31 minutes, felix62 a dit :

PS: la fonction de chiffrage au final n'empêchera pas le ransomware mais les documents ne pourront pas être lu par celui-ci.

Bonsoir,

Le chiffrement sert surtout si on te vole ton NAS (ou le disques), ou si quelqu'un à un accès physique à celui-ci. Car dans ce cas il peut réinitialiser/réinstaller le NAS et il aura alors accès à toutes les données non chiffré (pour les données chiffré il lui faudra la clé de chiffrement)

 

Par contre dans le cas d'un piratage (si le pirate dispose du/des mots de passe) il aura accès aux données chiffré, sauf si le dossier est démonté (ce qui n'as pas d'intérêt sur un NAS).

Donc bien sécuriser son NAS.

 

Modifié le 15 avril 2020 par maxou56

[BruceFeuillette]

Je suis moyennement d'accord avec ceux qui disent que les hackers n'ont rien à faire des données d'un individu lambda.
Actuellement les pirates se font de grosses bases de données d'identités réelles, en croisant les infos de plusieurs fuites de données. Donc tout ce qui permet d'alimenter la "fiche" de la personne est bon à prendre.
Ça permet d'aller pirater une entreprise avec des infos personnelles vérifiées et de faire du bon vieux social engineering pour ensuite passer à la phase technique pure.
Je pense que @felix62 a bien raison de s'en préoccuper.

Pour info, une idée de ce que vaut, en argent, une donnée personnelle de Monsieur X. Il y avait un site qui donnait le "cours du jour" en fonction des informations volées.
Ajoutez par dessus un ransomware, qui aura exfiltré les données avant chiffrement... 200-400€ de rançon + revente des données. Ça devient intéressant.

Modifié le 16 avril 2020 par BruceFeuillette
orthographe

[.Shad.]

Très intéressant. 😮 

[felix62]

Merci pour vos réponses sa fait avancer le débat et ma réflexion, ce qui est m'aide beaucoup.

J'ai suivit l'ensemble de ce merveilleux tuto réalisé par Fenrir et j'en est appliquer toutes les règles nécessaire (pare-feu, ne pas utiliser quick-connect vue que j'utilise le synology.me pour le moment qui fonctionne très bien).

Comme le démontre "BruceFeuillette" les données personnelle peuvent tomber entre de mauvaises mains et être utilisé à but lucratif.
Pour un novice ou un utilisateur lambda qui découvre les joies d'utiliser un NAS et d'en profiter partout dans son pays (limité dans son pays grâce au pare-feu) avec la multitude d'application mise à sa disposition par synology et sa communauté, la question face à la réalité croissante des menaces virtuelle ou de simple hack pour arrondir les fin de mois me pousse à m’interroger sur "oui le nas est utile et dispose de sécurité mais peux t-on tout y déposer des documents liés à des infos personnelle (RIB, fiche de paie, facture, garantie d'achat, assurance ect..."

J'en suis arrivé à l'étape:
- J'ai plusieurs utilisateurs (amis et famille)
- chacun à son espace personnelle à son nom dans le dossier Homes -> home
- Puis-je moi y déposer mes documents et ma famille ou amis le peux t-elle également ? le risque est-il important ou non ? ( je suis bien conscient que le risque 0 n'existe pas)

Pour le moment, ce que je retiens :
- que l’accès soit physique ou distant la meilleur option est de chiffrées les données, ainsi le pirate ou ransomware ou personne malveillante ne pourra pas exploiter les données et dans ce cas si une sauvegarde sur un autre support que le Nas est réalisé alors je garderai le contrôle de mes données.

 

Modifié le 16 avril 2020 par felix62

[.Shad.]

Le moyen le plus sûr de protéger les données comme l'a dit @maxou56 est d'avoir une porte 5 points de verrouillage, d'une bonne épaisseur, et avec un système de sécurité qui prévient en cas de tentative d'intrusion.
C'est ton pare-feu et le paramétrage de DSM qui est cette porte.

L'autre implication, et elle n'est pas minime, c'est que ce tutoriel ouvre l'ensemble des ports au réseau local. Parce qu'on part du postulat que le réseau est sûr.
Mais un exemple simple, si tu montes les dossiers partagés de ton NAS via SMB avec des utilisateurs ayant des droits en écriture sur le NAS ou si tu utilises Drive en bi-directionnel, le pare-feu ne fera pas son office parce qu'il a "confiance" en ton PC, ton Mac, ton iPhone, etc...

Et quand on voit comment certaines personnes cliquent sur les PJ de n'importe quel mail, ou ne sont pas prudents lorsqu'ils naviguent sur le web, je me dis que les moyens de contamination restent conséquents chez beaucoup.

[maxou56]

il y a 24 minutes, felix62 a dit :

Pour le moment, ce que je retiens :
- que l’accès soit physique ou distant la meilleur option est de chiffrées les données, ainsi le pirate ou ransomware ou personne malveillante ne pourra pas exploiter les données et dans ce cas si une sauvegarde sur un autre support que le Nas est réalisé alors je garderai le contrôle de mes données.

Le chiffrement est surtout utile pour un accès physique à la machine.

 

Par contre pour une connexion à distance cela ne fait pas de différence. Car si le "pirate" accède d'une façon ou d'une autre au NAS, il aura accès aux données. (Sauf si les dossiers partagés sont démontés, ce qui n'a pas vraiment d'intérêt pour un NAS)

 

A noter que le chiffrement à un impact sur les performance.

Modifié le 16 avril 2020 par maxou56

[felix62]

il y a 13 minutes, maxou56 a dit :

Le chiffrement est surtout utile pour un accès physique à la machine.

Pour ma part, étant un simple particulier et non un professionnel je suppose que le seul risque est le vol du nas.

il y a 13 minutes, maxou56 a dit :

 

Par contre pour une connexion à distance cela ne fait pas de différence. Car si le pirate accède d'une façon ou d'une autre au NAS, il aura accès aux données. (Sauf si les dossiers partagés sont démontés, ce qui n'a pas vraiment d'intérêt pour un NAS)

je me permet de faire un exemple:

Si l'utilisateur X qui dispose d'un ID et Mot de passe (Fort) c'est fait subtiliser ses identifiants par un tiers malhonnête, ce tiers pourra alors se connecter au NAS et dérober l'ensemble des fichier que X à accès.

Petite question pour une petite réponse 🙂 : Si son dossier personnelle est chiffré alors le tiers qui lui ne connait pas ses ID pour ce dossier ne pourra pas y avoir accès à mon sens. Mais je me trompe peut-être ?

->accès au NAS (OK) -> fichier partagé libre accès + fichier de X (OK) -> dossier chiffrer (demande d'une seconde authentification) (KO Refusé) ?

Modifié le 16 avril 2020 par felix62

[pluton212+]

Citation

Si l'utilisateur X qui dispose d'un ID et Mot de passe (Fort) c'est fait subtiliser ses identifiants par un tiers malhonnête

il faut mettre en place la double authentification.

[.Shad.]

Si on garde précieusement le code de récupération, c'est intéressant en effet !
Car si ton portable tombe en rade ou qu'il faille le reset usine, t'es bien embêté 😛 

[pluton212+]

Tu peux aussi tout débrancher et tout ranger au placard 🤣🤣👍

[felix62]

Merci encore pour vos réponses.

la double authentification est une possibilité même si contraignante pour certains utilisateur.

je repose à nouveau la question, à ce jour personne n' a intérêt à stocker ses documents personnelle sur un NAS si je comprend bien ?
Quel sont les risque ? quel pourcentage ?
Vous le feriez-vous ? (stocker vos docs pas pirater lol)

Je fait une petite parenthèse :
- je ne dispose pas d'un second NAs pour sauvegarde à distance, l'achat peux être effectuer plus tard dans quelque années ? faut-il un 2baie ou 1 baie suffit ?
- je n'est pas d'onduleur s'agit-il d'un achat très très recommandé sachant que je n'est que 2 ou 3 coupure dans l'année de courant maximum ?
Celui-ci ferait-il l'affaire ( pour NAS + Box internet orange + disque dur externe (qui sert de sauvegarde nas pour le moment)
https://www.amazon.fr/Eaton-ELP650FR-Onduleur-Noir/dp/B00D13RF6U

Dans le cadre de la sécurité anti-cambriolage ou mettais vous vos NAS ? salon ? chambre ? grenier ? coffre verrouillé lol ?

Modifié le 16 avril 2020 par felix62

[BruceFeuillette]

Ben moi je les stocke pour pouvoir y accéder à distance (authentification double facteur). 🙂
Mais en même temps je n'ai pas grand chose puisque toutes les factures sont sur les sites des entreprises concernées (énergie, etc). Tout le reste en encore en papier.
Le pourcentage de risques est inconnu, c'est le même pour tout le monde. Je prends mes précautions : Kasperksy Total Security à jour, je ne vais pas n'importe où, je ne fais pas n'importe quoi, je ne discute pas avec n'importe qui. Je fais donc tout pour minimiser le risque. La peur n'empêche pas le danger. Donc il faut en avoir conscience mais ne pas rester bloqué et le faire correctement.

J'ai créé des comptes restreints pour mes amis : lecture de vidéos et d'audio. Double authentification obligatoire, même si ça les a gonflé. J'ai même restreint les accès aux adresses IP de leur box, sur le pare-feu de ma box. Histoire de...
Pas d'accès aux fichiers avec les autres, sauf avec du partage via File Station en lecture seule et via le navigateur Web.

Je n'ai pas activé le chiffrage à cause du risque d'oubli du mot de passe. 😝

A ce jour je n'ai été piraté qu'une seule fois, mais c'est quand j'étais jeune, il y a une vingtaine d'années, et que j'étais à fond dans le cracking/hacking. Un test d'outil qui a mal tourné, un peu volontairement. 🤓
J'avais installé le serveur du cheval de troie au lieu de l'outil de gestion. Bon, j'ai vite réglé ça quand le gars en face s'est amusé à ouvrir mon lecteur de CD et à m'envoyer des messages. 🤣
Ce n'était pas très violent à l'époque, on s'amusait plus qu'autre chose.

[felix62]

Merci BruceFeuillette pour ton message très constructif, 1x/20 ans jolie stat 🙂

Pour ma part voici ma config (tuto sécurité fenrir réalisé).

Box internet -> NAS -> disque dur externe USB pour sauvegarder (pare-feu limité à la France et application utilisés)

Un admin
2 utilisateur avancé (M & Mme pas de jaloux :p) (lecture/écriture)
5 utilisateur simple (famille amies : limité en lecture sauf pour leur dossier "HOME" lecture/écriture)

Tout le monde utilise son PC/MAC ou smartphone en HTTPS pour Ds (video, audio, note-station...) à leur domicile respectif et en dehors (4G)
Ils ont aussi accès à DSM pour héberger leur fichier dans leur dossier "HOME" personnel.

Chacun fait attention à ses identifiants bien entendu mais je reste receptifs à toute remarque.

 

 

Modifié le 16 avril 2020 par felix62