Tienda Wifi

Tienda Wifi
CiudadWireless es la tienda Wifi recomendada por elhacker.NET

Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET Mastodon

Entradas populares

PostHeaderIcon Synology - Conocimientos básicos del cifrado en DSM y copias de seguridad inmutables

viernes, 22 de diciembre de 2023 | Publicado por el-brujo | Editar entrada

Synology es un fabricante de dispositivos NAS que se caracterizan por tener un buen ecosistema de software, sin embargo, en lo que respecta al cifrado, siempre ha tenido algunas carencias. En este artículo, vamos a ver cómo funciona el cifrado en el sistema operativo DSM de Synology.




¿Qué se puede cifrar y qué no?

Sólo se pueden cifrar carpetas. Es una de las principales limitaciones de Synology. No podemos cifrar las unidades enteras o los volúmenes.

Desde el punto de vista de los expertos, Synology debería usar LUKS, tener almacenamiento SSD separado para las unidades de arranque (para que el sistema operativo no se almacene en todas las unidades de datos), y eso solucionaría la mayoría de los problemas.

En lugar de eso, utilizan una implementación de ecryptfs que tiene limitaciones importantes en el nombre de los archivos y hace que las cosas sean complicadas a la hora de arrancar, transferir datos, etc. Porque necesitas tener claves separadas para cada carpeta encriptada en lugar de una para todo el sistema de archivos.



Además, para los usuarios profesionales, Synology limita sus NAS a volúmenes de 108 TB, a menos que compres una unidad XS o RS (que siguen teniendo un hardware extremadamente marginal), en cuyo caso puedes pasar a una limitación de volúmenes de 200 TB. Si quieres ir más allá de un volumen de 200 TB, tienes que usar su sistema que no permite el uso de ecryptfs, por lo que no hay cifrado.

Cifrado en carpetas compartidas (Shared Folder)

Synology admite la posibilidad de cifrar carpetas locales, lo que se consigue fácilmente protegiendo la carpeta con una contraseña o con un archivo de clave.

El problema es que cuando el NAS se reinicia este volumen cifrado no se puede montar automáticamente porque el NAS no conoce ni almacena la frase de contraseña…

Si quieres asegurarte de que el NAS tiene acceso a las claves para descifrar las unidades cifradas en el arranque, puedes utilizar el gestor de claves de Synology (Synology Key Manager). Este debe estar en un lugar seguro y existen dos opciones:

  • Partición del sistema en el NAS
  • Unidad USB externa

Hay que tener en cuenta algunas cosas a la hora de elegir. En primer lugar, la partición del sistema forma parte del propio NAS. Esto significa que, si el dispositivo es robado o dañado, las claves también se pierden.



Synology señala esto en la documentación: “Por motivos de seguridad y gestión, es más seguro almacenar el archivo cifrado y la clave correspondiente en dispositivos diferentes”.

Así que lo mejor es que la clave esté en una unidad USB externa. Esto tiene otras ventajas que podemos ver en el siguiente cuadro:

Partición del sistemaAlmacenamiento USB
¿Las claves se guardan lejos de los datos cifrados?NoSí
Cifrado utilizado para proteger la claveSólo ID de máquinaFrase de contraseña o ID de máquina
¿Es posible el montaje en el arranque?SíSólo si se utiliza ID de máquina
¿Es necesaria una frase de contraseña para el gestor de claves?

Gestor de claves en la partición del sistema

Si optas por almacenar el gestor de claves en la partición local del sistema NAS, no es necesario configurar una frase de contraseña para acceder al gestor de claves. Supongo que esto se debe a que la autenticación ya tiene lugar con el sistema más amplio y el cifrado local del administrador de claves se gestiona en otro lugar.

Gestor de claves en USB

Este método es más seguro, pero requiere pasos adicionales de autenticación. En concreto, el administrador de claves necesitará su propia frase de contraseña, independiente de las carpetas. De este modo, el administrador de claves estará protegido cuando no esté conectado al dispositivo NAS.



El archivo de claves no se almacena en texto sin formato, sino que se vuelve a cifrar utilizando el ID de máquina.

Eso sí, ten cuidado con el cifrado de ID de máquina, ya que utiliza un ID único del dispositivo que tienes para generar la clave de cifrado utilizada para proteger tu clave de carpeta. Si el dispositivo se pierde, puede que no sea posible restaurar los datos en otros dispositivos. Sin embargo, la gran ventaja de usar el ID de máquina es que puedes auto-montar volúmenes en el arranque.

Una vez configurado el administrador de claves en una unidad USB, dispondrás de una opción adicional para proteger las claves del almacén: la contraseña.

Esta opción tiene un inconveniente importante, no es compatible con la opción Mount on Boot (Montar al arrancar).

Sin embargo, una ventaja es que ya no necesitas recordar las claves de cada carpeta, ya que puedes montar volúmenes usando la contraseña maestra del Gestor de Claves. Aunque puede ser una idea terrible… Si la memoria USB se pierde o se estropea, no tendrás forma de obtener las claves del gestor de claves. Por tanto, sería una buena idea tener una copia de seguridad local de la unidad o de las claves de las carpetas individuales.

¿Qué es copia de seguridad inmutable de Synology?

La copia de seguridad inmutable de Synology es una función proporcionada por Synology, una empresa especializada en dispositivos de almacenamiento conectados a la red (NAS). La copia de seguridad inmutable es un mecanismo de protección de datos que garantiza la integridad y la inmutabilidad de los datos de la copia de seguridad. Evita alteraciones o eliminaciones accidentales o malintencionadas de los archivos de copia de seguridad, proporcionando una capa adicional de seguridad.



Con la copia de seguridad inmutable de Synology, una vez finalizada una tarea de copia de seguridad, los datos de la copia de seguridad se vuelven inmutables y no se pueden modificar ni eliminar por medios normales. Esta salvaguarda ayuda a proteger contra ataques de ransomware y pérdidas accidentales de datos. Aunque un atacante acceda al almacenamiento de la copia de seguridad, no podrá manipular ni eliminar los datos de la copia de seguridad.

La copia de seguridad inmutable en un NAS Synology generalmente se implementa a través de características como la tecnología WORM (Escribir Una Vez, Leer Muchas) basada en instantáneas inmutables. Esta tecnología garantiza que una vez que los datos se han respaldado, permanecen seguros e inalterables, proporcionando tranquilidad en términos de protección de datos y escenarios de recuperación ante desastres.

Cómo realizar copias de seguridad inmutables de Synology con instantáneas inmutables

Las instantáneas inmutables emplean la tecnología WORM (Escribir una vez, Leer muchas veces), que protege tus datos al prevenir cualquier modificación o eliminación dentro de un período de tiempo designado. También evita la eliminación de carpetas compartidas, LUNs, volúmenes o grupos de almacenamiento que incluyen estas instantáneas inmutables. Esta característica protectora protege eficazmente tus datos contra la manipulación y acciones no deseadas.

Este artículo proporciona una guía paso a paso sobre cómo crear instantáneas inmutables para realizar una copia de seguridad inmutable en Synology.

Lo que necesita:

Crear instantáneas inmutables en un servidor remoto

  • Dirígete a Snapshot Replication > Replication > Shared Folder o LUN en la interfaz de usuario.
  • Haz clic en "Crear" para iniciar el asistente "Crear Tarea de Replicación".

  • En la página "Configurar Programación de Replicación", elige la opción para instantáneas inmutables y especifica el período de protección deseado.
  • Verifica tus configuraciones y haz clic en "Hecho" para crear la tarea de replicación.

Crear instantáneas inmutables en un servidor local

  • Dirígete a Snapshot Replication > Instantáneas > Carpeta Compartida o LUN en la interfaz de usuario.
  • Selecciona una carpeta compartida o LUN y haz clic en "Configuración". Puedes seleccionar varios elementos manteniendo presionada la tecla Ctrl/⌘ o Shift.
  • En la pestaña "Programación", habilita la programación de instantáneas y configura las configuraciones deseadas.

  • Selecciona la opción para instantáneas inmutables y especifica el período de protección deseado.
  • Haz clic en "Aceptar" para guardar tus configuraciones.
  • Aparecerá un mensaje de confirmación. Haz clic en "Aceptar" para completar el proceso.

Hacer inmutable una instantánea específica

  • Accede a Snapshot Replication > Instantáneas > Carpeta Compartida o LUN en la interfaz de usuario.
  • Elige una carpeta compartida o LUN, luego haz clic en "Snapshot" y después en "Lista de Snapshot".
  • Selecciona una instantánea específica de la lista y haz clic en "Editar".
  • Habilita la opción para instantáneas inmutables y define el período de protección deseado. Ten en cuenta que una vez seleccionada esta opción, no se puede cambiar hasta que el sistema la elimine automáticamente después de que expire el período de protección.
  • Guarda tus configuraciones haciendo clic en "Aceptar".

Ver el periodo de protección restante de una instantánea inmutable

  • Accede a Snapshot Replication > Snapshots > Carpeta Compartida o LUN en la interfaz de usuario.
  • Selecciona una carpeta compartida o LUN que incluya las instantáneas inmutables.
  • Haz clic en "Snapshots" y luego en "Lista de Snapshot".
  • Para verificar el período de protección restante, pasa el puntero sobre el icono de escudo etiquetado como "1.png" o selecciona una instantánea específica y haz clic en "Editar".


Fuentes:

https://www.wikiversus.com/informatica/nas/synology-conocimientos-basicos-del-cifrado-en-dsm/

https://www.ubackup.com/es/articulos/copia-de-seguridad-inmutable-synology-3023-tc.html


Etiquetas: , , ,

0 comentarios :

Publicar un comentario

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.