Verschlüsselung auf einem Share
Hallo,
ich möchte in ein paar entfernten Standorten jeweils eine Hardware Box
aufstellen (vermutlich eines dieser Soekris Boards) die ein Share vom
einer Zentralen Stelle aus zur Verfügung stellt.
Ganz einfach per NFS die shares zu mounten kommt imho nicht in Frage
da weitere anforderungen bestehen:
* Tansparent für die User (die sollen nichts von der Verschlüsselung
sehen, performance mal aussen vor gelassen)
* Jede Box soll nur auf das zugewiesene Share zugreifen können.
* Box A <-> ServerShare A
* Box B <-> ServerShare B
* am Server sollte es keine Möglichkeit geben auf die Inhalte von den
einzelnen Shares zuzugreifen (das heisst die Standorte legen die Daten
bereits verschlüsselt ab)
Was mir dabei in den Sinn kommt wäre zB
AFS
scheint mir geeignet da laut dem was ich gelesen habe das ganze auch
für disconnected operations ausgelegt ist.
NFS
bedingt, wenn der Link zusammenbricht ist das ganze share nicht erreichbar
LUSTRE
auch nur bedingt da nach meinem Wissensstand es nicht so einfach ist
Backups von den shares zu machen (der Inhalt selber ist ja egal aber
die Daten so wie sie am zentralen server liegen sollten wieder
herstellbar sein, so dass bei zB Plattencrash das ganze nicht verloren
ist)
Was mir auch nocht Probleme macht ist wie man das grundsätzlich angeht
das eine eindeutige zuordnung zwischen share N und Box N da ist, am
besten so das Box N nicht einmal weiss bzw. es nicht einmal möglich
ist dsas Box N auf ein share Nk zugreift.
Ausserdem ist mir noch unklar wie ich es anstelle dass die Daten die
am share liegen wirklich nur von dieser Box abrufbar sind. Mir kommt
da sowas in den sinn wie eine SmartCard in die Box zu geben auf der
ein schlüssel hinterlegt ist und eventuell das ganze dann zu mounten
und transparent zu entschlüssel, lokal gibts da ja truecrypt soweit
ich bisher weiss bzw. dm-crypt (lokal auch noch nie gemach aber ich
werd mich mal informieren).
Gibt es eventuell fertige Pakete die das können oder was wäre eine
entsprechende Mischung aus Paketen die sowas kann (nach entsprechender
Konfig eben).
Danke
martin
--
http://noneisyours.marcher.name
http://feeds.feedburner.com/NoneIsYours
Reply to: