ulm-store.de – SFTP
ulm-store-Service mit SFTP
Der ulm-store-Service des IN-Ulm e.V. bietet seinen Nutzern unter der Domäne ulm-store.de Online-Speicher aka „Cloud Storage“ an. Dieser kann in je einer von aktuell drei Varianten zur Verfügung gestellt werden: Neben S3 und WebDAV, kann er auch mit dem SSH-File-Transfer-Protokoll gebucht werden. Je nach gewünschter Verwendung, spielt die eine oder andere Variante ihre Vorteile aus. Der Objektspeicher S3 ist sehr effizient wird von vielen Backup-Lösungen unterstützt, WebDAV ist dank HTTP sehr universell einsetzbar und SFTP gilt als besonders sicher und ist auf jedem aktuellen Unix-ähnlichen Betriebssystem leicht nutzbar.
In diesem Beitrag wollen wir den ulm-store-Service mit SSH-File-Transfer-Protokoll, kurz SFTP, und seine Integration ins lokale Dateisystem inklusive Data-At-Rest-Encryption zeigen. Vorschläge für weitere Anleitungen dieser Art können gern über unsere üblichen Kontaktmöglichkeiten eingereicht werden.
SFTP ist als Subsystem mit SSH v2 erschienen und ist nicht zu verwechseln mit dem Simple-File-Transfer-Protokoll (nutzt heute niemand mehr, hat das Acronym aber als erstes benutzt), FTPS (Erweiterung von FTP um TLS), FTP over SSH (tunneln von FTP via SSH), SCP (Secure Copy von SSH v1) oder sftp (secure file transfer program, ein SFTP Client).
Da SFTP, im Gegensatz zu seinem Vorgänger SCP, mehr Funktionen eines Remote-Dateisystems unterstützt (Verzeichnisse auflisten oder das Löschen entfernter Dateien), bietet es sich als Protokoll für Cloud-Speicher an. Der ulm-store-Service nutzt für die Bereitstellung von SFTP den OpenSSH sftp-server, als Subsystem vom OpenSSH-Daemon. Letzterer übernimmt dabei die Authentifizierung und unterstützt auch die Public-Key-Authentifizierung. Die authentifizierte SFTP-Sitzung stellt dem Nutzer nur ein Verzeichnis bereit, in welches geschrieben werden kann. Ein Zugriff per Secure Shell (SSH) und das Ausführen von Kommandos auf dem Service-Host ist nicht möglich.
Wie der Name schon suggeriert, ist SFTP nur für den gesicherten Transport der Daten von und zum Storage-Service zuständig, nicht aber für eine verschlüsselte Speicherung der Daten. Unverschlüsselte Daten speichert man aber nicht in einem Cloud-Speicher. Natürlich kann man die Daten manuell verschlüsseln und erst dann in den Cloud-Speicher transferieren; Sehr praktisch ist das aber nicht. Wir wollen zeigen, wie sich der ulm-store-Service mit SFTP mit für den Endanwender transparenter Verschlüsselung nutzen lässt.
Jede Instanz eines ulm-store-SFTP-Service hat eine Id, ist mit einem Passwort gesichert und ist unter sftp://<id>@ulm-store.de erreichbar. Das root-Verzeichnis des Service ist nur lesbar. Das Unterverzeichnis data/ ist zum Speichern der Daten beschreibbar.
Einfacher Zugriff via sftp und Passwort
Für den Zugriff auf einen ulm-store-SFTP-Service benötigt man die Id seines Service und das Passwort. Auf Unix-ähnlichen Betriebssystemen bietet sich sftp als Client an. Interaktiv möchte man damit aber eher nicht arbeiten; Graphische Tools oder Desktop-Umgebungen haben meist hübsche Wrapper darum: Beispielsweise einfach mal sftp://<id>@ulm-store.de in die Location-Zeile vom Dateibrowser eingeben. Als Windows-User kann man WinSCP installieren und nutzen – der Windows-Dateibrowser machte bei mir aus sftp:// selbstständig ftp:// und scheint sftp nicht zu beherrschen.
Public-Key-Authentifizierung
Der authentifizierende SSH-Daemon beachtet die Datei data/.authorized_keys und erwartet das AUTHORIZED_KEYS FILE FORMAT. Diese Datei hat, anders als die übliche Datei in ~/.ssh/, einen . am Anfang. Mit sftp und einem Public-Key aus ~/.ssh/ lässt sich die Datei leicht anlegen (die Service-Id in den folgenden Beispielen ist „abc“):
trv@T480s:~$ sftp abc@ulm-store.de abc@ulm-store.de's password: Connected to ulm-store.de. sftp> ls data readme.txt sftp> cd data sftp> put .ssh/id_rsa.pub .authorized_keys Uploading .ssh/id_rsa.pub to /data/.authorized_keys .ssh/id_rsa.pub 100% 744 48.3KB/s 00:00 sftp> bye trv@T480s:~$
Beim nächsten Aufbau einer sftp-Session sollte die Eingabe des Passwortes nicht erscheinen:
trv@T480s:~$ sftp abc@ulm-store.de Connected to ulm-store.de. sftp> version SFTP protocol version 3 sftp> bye trv@T480s:~$
Dateisystem-Mount mit FUSE
Der ulm-store-SFTP-Service lässt sich auch als „filesystem in userspace“ (FUSE) einbinden. Hierfür wird der „filesystem client based on ssh„, kurz SSHFS, verwendet. Unter Debian-basierten Betriebssystemen oder Archlinux steckt er im gleichnamigen Paket „sshfs“.
Da wir nur das data/-Verzeichnis beschreiben können, mounten wir auch nur dieses. Die Passworteingabe entfällt, weil wir die data/.authorized_keys-Datei bereits angelegt haben (s.o.). Der lokale Mountpoint soll – in Voraussicht auf das, was noch kommt, .ulm-store.sftp lauten.
trv@T480s:~$ mkdir .ulm-store.sftp trv@T480s:~$ sshfs abc@ulm-store.de:data .ulm-store.sftp trv@T480s:~$ ls -a .ulm-store.sftp/ . .. .authorized_keys trv@T480s:~$ df -h .ulm-store.sftp Filesystem Size Used Avail Use% Mounted on abc@ulm-store.de:data 2,0T 1,2T 867G 58% /home/trv/.ulm-store.sftp trv@T480s:~$
Wie sowas mit systemd.(auto)mount oder autofs und/oder via /etc/fstab umzusetzen wäre, könne man bei Bedarf noch beschreiben.
Dateisystem-Mount mit Verschlüsselung
Um eine in der Benutzung transparente Ver- und Entschlüsselung der Daten zu bekommen, mounten wir ein verschlüsselndes Overlay-Dateisystem über das via sshfs eingebundene Dateisystem. Wir verwenden gocryptfs – unter Debian-basierten OS und Archlinux aus dem Paket „gocryptfs“. Andere verschlüsselnde Dateisyseme sind auch möglich – eine gute Übersicht gibt Comparison with Other Projects. Wegen dem geringeren Platzverbrauch und den vorhandenen Dateisystem-Features geben wir gocryptfs den Vorzug vor CryFS. encfs hat in Version 1.9.2 (bspw. in Linux Mint 19) ein Bug, der es unnutzbar macht. Wegen dem sowiso bestehenden Security-Problem in Version 1.x, ist es nicht in die engere Auswahl gekommen.
Der Mountpoint soll ulm-store.sftp lauten. Diesmal ohne Punkt davor, da diese Verzeichnis hauptächlich genutzt werden soll. Da sich gocryptfs nur in einem leeren Verzeichnis initialisieren lässt, erstellen wir eins vorab.
trv@T480s:~$ # im gemounteten Verzeichnis ein Verzeichnis für verschlüsselte Daten erstellen trv@T480s:~$ mkdir .ulm-store.sftp/crypted trv@T480s:~$ trv@T480s:~$ # initialisiere gocryptfs trv@T480s:~$ gocryptfs -init .ulm-store.sftp/crypted/ Choose a password for protecting your files. Password: Repeat: The gocryptfs filesystem has been created successfully. You can now mount it using: gocryptfs ulm-store.sftp/crypted MOUNTPOINT trv@T480s:~$ trv@T480s:~$ # Mountpoint für data-at-rest-encryption erstellen trv@T480s:~$ mkdir ulm-store.sftp trv@T480s:~$ trv@T480s:~$ # einbinden data-at-rest-encryption Verzeichnis trv@T480s:~$ gocryptfs .ulm-store.sftp/crypted ulm-store.sftp Password: Decrypting master key Your master key is: xxxxxxxx-xxxxxxxx-xxxxxxxx-xxxxxxxx- xxxxxxxx-xxxxxxxx-xxxxxxxx-xxxxxxxx If the gocryptfs.conf file becomes corrupted or you ever forget your password, there is only one hope for recovery: The master key. Print it to a piece of paper and store it in a drawer. Use "-q" to suppress this message. Filesystem mounted and ready. trv@T480s:~$ trv@T480s:~$ # Testen der Verschlüsselung trv@T480s:~$ # bis auf beiden gocryptfs-config Dateien ist das Verzeichnis leer trv@T480s:~$ ls .ulm-store.sftp/crypted/ gocryptfs.conf gocryptfs.diriv trv@T480s:~$ trv@T480s:~$ # wir legen eine Datei an trv@T480s:~$ echo 'secret text' > ulm-store.sftp/crypted-file.txt trv@T480s:~$ trv@T480s:~$ # ohne gocryptfs-Overlay is der Name der erstellten Datei nicht zu erkennen trv@T480s:~$ ls .ulm-store.sftp/crypted/ gocryptfs.conf gocryptfs.diriv ZYmR48sEgVtIUvs5NpHhkF9Nnk9LF1CoI2r2Y27pYm8 trv@T480s:~$ trv@T480s:~$ # mit gocryptfs-Overlay sehen wir die erstellte Datei trv@T480s:~$ ls ulm-store.sftp/ encrypted-file.txt trv@T480s:~$ trv@T480s:~$ # unentschlüsselt enthält die Datei keinen nutzbaren Inhalt trv@T480s:~$ od -bc .ulm-store.sftp/crypted/ZYmR48sEgVtIUvs5NpHhkF9Nnk9LF1CoI2r2Y27pYm8 0000000 000 002 200 073 034 043 377 341 225 253 106 002 332 241 137 051 \0 002 200 ; 034 # 377 341 225 253 F 002 332 241 _ ) 0000020 054 130 003 301 106 156 206 364 121 102 215 220 234 004 245 032 , X 003 301 F n 206 364 Q B 215 220 234 004 245 032 0000040 347 336 230 356 235 006 077 270 102 365 155 052 055 251 066 175 347 336 230 356 235 006 ? 270 B 365 m * - 251 6 } 0000060 261 030 331 214 336 307 267 204 246 124 335 162 340 353 261 030 331 214 336 307 267 204 246 T 335 r 340 353 0000076 trv@T480s:~$ trv@T480s:~$ # entschlüsselt enthält sie dagegen den 'secrettext' trv@T480s:~$ od -bc ulm-store.sftp/crypted-file.txt 0000000 163 145 143 162 145 164 040 164 145 170 164 012 s e c r e t t e x t \n 0000014 trv@T480s:~$
Fertig erstmal.