Sécuriser les accès (physiques) à son NAS

[TuringFan]

Bonjours,

Je suis en train de réfléchir à la stratégie de sauvegarde que je vais adopter (c'est après tout la meilleur des protections). Pour le moment j'envisage de (i) effectuer des snapshots de mon NAS et (ii) utiliser hyper backup pour effectuer des sauvegardes chiffrées vers un NAS secondaire sur un site distant.

Ma première question est : comment est géré le chiffrage ? Mon NAS principal chiffre déjà ses dossiers partagés, dans ce contexte est-il utile d'utiliser un chiffrement du transfert hyper backup ou du backup en lui même voire même un chiffrement des dossiers partagés sur le NAS secondaire ? Si oui, quels clés utiliser pour lire les infos sauvegardées.

Ma seconde question est : comment protéger l'accès physique à mon NAS secondaire ? J'aurai en effet peu de contrôle sur les accès physiques potentiels au NAS du second site (site de backup). Dans ce cas comment empêcher un accès à mon NAS secondaire par quelqu'un qui se "brancherait" directement dessus ou sur le même réseau (en RJ45 par exemple) ? Le fait de désactiver tous les services fichier et d'avoir un pare-feu est il suffisant ? Qu'en est il pour les services "Bonjour", SSDP, WS-Discovery (je ne maitrise pas leur utilisation) ?

En gros, in fine, je voudrais être certain que si quelqu'un se branche sur le réseau / NAS ou parte avec il ne puisse rien faire et rien lire.

Merci d'avance à tous ceux qui pourront m'aider.

Modifié le 9 mai 2021 par TuringFan

[maxou56]

Le 08/05/2021 à 22:08, TuringFan a dit :

Qu'en est il pour les services "Bonjour", SSDP, WS-Discovery (je ne maitrise pas leur utilisation) ?

Bonsoir,

Pour "bonjour" ce n'est pas un accès, cela permet au NAS de ce présenter sur le Réseau. Et donc au lieu de taper smb://192.168.0.10/DossierAAA/ il est "proposé" dans les applications compatibles "bonjour" smb://nomduNAS._smb._tcp.local/DossierAAA/

Mais si tu n'a pas activé le smb ou afp... ou bloqué l'accès. autant les désactiver car ils seront inutiles.

 

Le 08/05/2021 à 22:08, TuringFan a dit :

Dans ce cas comment empêcher un accès à mon NAS secondaire par quelqu'un qui se "brancherait" directement dessus ou sur le même réseau (en RJ45 par exemple) ?

Si une personnes à un accès physique au NAS, elle peut faire un reste mode 1 (ou 2, ou migration, ou brancher les disques sur un PC et lire les données avec Linux), il faut donc soit chiffrer les dossiers partagés, comme ça en cas de reset, migration il faudra le mot de passe ou la clé pour lire les données.

Ou si c'est des sauvegardes à distance, chiffrer les sauvegardes (dans ce cas le dossier n'a pas besoin d'être chiffré), ce qui est moins pénalisent en terme de performance que le chiffrement du dossier.

Le 08/05/2021 à 22:08, TuringFan a dit :

Si oui, quels clés utiliser pour lire les infos sauvegardées.

Celle que tu rentres quand tu créais la tache de sauvegarde.

Le 08/05/2021 à 22:08, TuringFan a dit :

chiffrement du transfert hyper backup

Oui si c'est à distance, pas obligatoire à travers un VPN (sauf PPTP)

Modifié le 23 août 2021 par maxou56

[maxou56]

Le 08/05/2021 à 22:08, TuringFan a dit :

Mon NAS principal chiffre déjà ses dossiers partagés

Ce chiffrement ne concerne que les dossiers partagés de ton NAS, ou les sauvegardes local/USB (au moins mono version).

Pour les sauvegardes à distance, si on ne les chiffres pas, alors les dossiers même chiffrés de ton NAS seront en "clair" (avec l'explorateur de sauvegardes) sur le NAS distant.

Modifié le 22 août 2021 par maxou56

[TuringFan]

Merci @maxou56 pour tes réponses,

Il y a 20 heures, maxou56 a dit :

Si une personnes à un accès physique au NAS, elle peut faire un reste mode 1 (ou 2, ou migration, ou brancher les disques sur un PC et lire les données avec Linux), il faut donc soit chiffrer les dossiers partagés, comme ça en cas de reset, migration il faudra le mot de passe ou la clé pour lire les données.

Ou si c'est des sauvegardes à distance, chiffrer les sauvegardes (dans ce cas le dossier n'a pas besoin d'être chiffré), ce qui est moins pénalisent en terme de performance que le chiffrement du dossier.

Ok donc en gros :

• Pour un NAS principal, chiffrer ses dossier partagés est une condition suffisante pour empêcher une lecture par un accès malveillant en physique ? M^mee si les dossiers partagés sont montés ?
• Pour un NAS secondaire (de sauvegarde), chiffrer la sauvegarde (mais pas les dossiers partagés) est une condition suffisante pour empêcher une lecture par un accès malveillant en physique ? Même si une sauvegarde : synchronisation est en cours ?
• Aucune règle spéciale pour des "IP physique" n'est utile pour le pare feu ?

Il y a 20 heures, maxou56 a dit :

Oui si c'est à distance, pas obligatoire à travers un VPN (sauf PPTP)

• Pour le transfert quel est le plus intéressant en terme de sécurité / performance : le chiffrement hyper backup ou le VPN ? Un intérêt de cumulé les deux ?

[maxou56]

il y a 10 minutes, TuringFan a dit :

M^mee si les dossiers partagés sont montés ?

Oui il seront démontés en cas de reset, migration, réinstallation... Il ne seront pas remonté automatiquement si tu a enregistré la clé, il faudra les remonter manuellement avec le mot de passe ou la clé.

il y a 10 minutes, TuringFan a dit :

est une condition suffisante pour empêcher une lecture par un accès malveillant en physique ? Même si une sauvegarde : synchronisation est en cours ?

Oui il faudra la clé de chiffrement (celle de la tache Hyper Backup) pour ouvrir les sauvegardes sur le NAS distant.

 

Modifié le 23 août 2021 par maxou56

[TuringFan]

il y a 1 minute, maxou56 a dit :

Oui il seront démontés en cas de reset, migration, réinstallation... Il faudra les remonter manuellement avec le mot de passe ou la clé.

Sous l'hypothèse que le malfaiteur dispose d'un temps important sur le site, peut il opérer pour lire des données sans déconnecter le NAS de son alimentation ?

C'est un cas bien plus théorique que réaliste je pense mais il me permet de parfaire mes connaissances NAS.

[maxou56]

il y a 10 minutes, TuringFan a dit :

peut il opérer pour lire des données sans déconnecter le NAS de son alimentation ?

Soit les dossiers chiffrés sont montés, alors il faut le couple mot passe nom d'utilisateur d'un utilisateur admin et donc si tu limites le nombres de tentative et qu'admin est désactivé pas vraiment de soucis.

Soit il fait un reset... alors les dossiers seront démontés et il faudra le mot de passe ou la clé de chiffrement...

Modifié le 23 août 2021 par maxou56

[TuringFan]

Il y a 15 heures, maxou56 a dit :

Soit les dossiers chiffrés sont montés, alors il faut le couple mot passe nom d'utilisateur d'un utilisateur admin et donc si tu limites le nombres de tentative et qu'admin est désactivé pas vraiment de soucis.

Soit il fait un reset... alors les dossiers seront démontés et il faudra le mot de passe ou la clé de chiffrement...

Très clair merci

[TuringFan]

Le 22/08/2021 à 21:34, maxou56 a dit :

Si une personnes à un accès physique au NAS, elle peut faire un reste mode 1 (ou 2, ou migration, ou brancher les disques sur un PC et lire les données avec Linux), il faut donc soit chiffrer les dossiers partagés, comme ça en cas de reset, migration il faudra le mot de passe ou la clé pour lire les données.

Ou si c'est des sauvegardes à distance, chiffrer les sauvegardes (dans ce cas le dossier n'a pas besoin d'être chiffré), ce qui est moins pénalisent en terme de performance que le chiffrement du dossier.

Bonjour @maxou56,

Je me permets de revenir vers toi à ce sujet car j'ai implémenté ma stratégie de sauvegarde.
 

Ma configuration

• Je possède un NAS principal sur lequel est installé Hyper Backup.
• J'ai configuré sur ce NAS principal un backup quotidien vers un NAS de backup distant (autre LAN).
• J'ai paramétré ma tâche de backup pour avoir une authentification via (i) un utilisateur dédié (nommé "User_backup"), avoir (ii) un chiffrement du transport et (iii) un chiffrement coté client.
• Sur mon NAS de backup le dossier partagé destination de la tache de backup (nommé "Backup_basic") est non chiffré.

Mes observations

• Lorsque je me connecte sur mon NAS principal et accède à Hyper Backup je peux explorer ma sauvegarde à distance uniquement après avoir renseigné ma clé de chiffrement coté client.
• Lorsque je me connecte sur mon NAS de backup (client de ma tâche de backup) via le compte admin (accès au dossier partagé "Backup_basic" et à l'application Hyper Backup Vault) je peux explorer ma sauvegarde locale uniquement après avoir renseigné ma clé de chiffrement coté client.
• En revanche lorsque je me connecte sur mon NAS de backup (client de ma tâche de backup) via le compte User_backup (utilisateur utilisé pour l'authentification de ma tâche de backup) je peux explorer ma sauvegarde locale en clair via files station sans avoir renseigné ma clé de chiffrement coté client !

Mes questions

• Pourquoi n'ai-je pas besoin de renseigner ma clé de chiffrement pour explorer ma sauvegarde en me connectant avec mon User_backup ?
• Comment empêcher ce comportement et systématiquement demander une clé de chiffrement pour lire la sauvergarde (notamment en cas d'accès physique au volume et/ou en cas de mot de passe corrompu de l'utilisateur User_backup) ?
• Dois-je, en plus du chiffrement du transport et du chiffrement côté client, chiffrer le dossier partagé destination de la tache de sauvegarde ?

PS

Je crois par ailleurs comprendre que DSM 7.2 devrait prévoir une nouvelle fonctionnalité de chiffrement d'un volume entier ce qui devrait être top car de mémoire certain dossier partagés sont à date non chiffrables (Surveillance Station, MailPlus, etc.).

[maxou56]

Il y a 6 heures, TuringFan a dit :

je peux explorer ma sauvegarde locale en clair via files station

Il y a 6 heures, TuringFan a dit :

Pourquoi n'ai-je pas besoin de renseigner ma clé de chiffrement pour explorer ma sauvegarde en me connectant avec mon User_backup ?

Bonjour,

C'est bizarre les sauvegardes ne sont normalement pas directement visibles avec Files Station

Ça ouvre normalement une nouvelle fenêtre "explorateur de sauvegardes"

Il y a 6 heures, TuringFan a dit :

chiffrer le dossier partagé destination de la tache de sauvegarde ?

C'est pas conseillé par Synology, après c'est possible, il faut faudra par contre qu'il soit bien monter pour être utilisable donc visible en "clair" par l'utilisateur et les administrateurs (par exemple avec un montage automatique au démarrage), le chiffrement des dossiers c'est intéressant en cas de vol, ou d'accès physique au NAS (Reset).

 

Il y a 6 heures, TuringFan a dit :

Surveillance Station

Le dossier Surveillance est chiffrable, et on peut choisir un, ou plusieurs autres dossiers (chiffrés ou non) pour les enregistrements.

Et avec Surveillance Station 9 on peut aussi directement chiffré les enregistrements.

Modifié le 31 décembre 2022 par maxou56

[TuringFan]

@maxou56

Merci pour tes réponses et pardon pour le retour tardif (j'ai apparemment mal paramétré les notification du forum).

Le 31/12/2022 à 16:11, maxou56 a dit :

C'est bizarre les sauvegardes ne sont normalement pas directement visibles avec Files Station

Ça ouvre normalement une nouvelle fenêtre "explorateur de sauvegardes"

Je n'ai pas accès à l'explorateur de version mais à tous les fichiers sous-jacents : j'imagine donc qu'on peut aller y lire les informations après décompression ?


 

Le 31/12/2022 à 16:11, maxou56 a dit :

le chiffrement des dossiers c'est intéressant en cas de vol, ou d'accès physique au NAS (Reset).

C'est justement contre ce risque que je veux me protéger : car si je comprends bien sans chiffrement d'un dossier celui-ci pourrait être lu en clair (i) après reset du NAS et reparamétrage du mot de passe admin ou (ii) sur un autre NAS dont on a les droits admin. Est-ce bien cela ?

Autre question : sur mon NAS principal certain de mes dossiers sont chiffrés mais j'imagine que ce chiffrement n'est pas conservé sur le backup puisqu'au moment de la sauvegarde ils sont "montés" donc "déchiffrés". Est-ce bien cela ?

Je ne suis pas certain de comprendre pourrais tu stp m'expliquer la différence entre le chiffrement du dossier directement sur le NAS de backup et le chiffrement côté client demandé depuis l'émetteur de la tache de sauvegarde (qui si je comprends bien doit également chiffrer la cible de la sauvegarde) ?

Le 31/12/2022 à 16:11, maxou56 a dit :

Le dossier Surveillance est chiffrable, et on peut choisir un, ou plusieurs autres dossiers (chiffrés ou non) pour les enregistrements.

Et avec Surveillance Station 9 on peut aussi directement chiffré les enregistrements.

Super interessant, je ne savais pas. Est-il possible de chiffrer les enregistrements directement sur mon NAS de sauvegarde (en passant par le WAN pour atteindre un autre LAN que les caméras) et non sur mon NAS principal (sur le même LAN que mes caméras) ?

En effet en enregistrant sur le NAS principal si un voleur le dérobe, le NAS probablement pas encore sauvegardé les images qui montrent ce vol et je n'y aurais donc pas accès pour les utiliser ensuite auprès de mon assurance ...

Modifié le 15 janvier 2023 par TuringFan