skynetcom
Goto Top

Raid 5 Restdaten

Habe folgendes Problem.
Soll bei einer Firmer XY die Daten vor unbefugten zugriff durch diebstahl schützen.
Es läuft zur zeit ein 3ware 7506-12 mit 12x160 Gig HDD.

Wollte ursprünglich auf softwareverschlüsselung mit Aes256(512) und Luks setzen, geht aber zur Zeit leider wegen firmentechnischen Gründen nicht (wird aber noch kommen)
Die möglichkeit mit Software usw sind mir bereits bekannt und möchte deshalb darauf nicht weiter eingehen.

Als Hardwareverschlüsselung wollte ich folgenden Artikel benutzen:

http://www.elkom.com.tw/?section=2&subid=13

Meine Frage:

Ich brauche mindestens 2 HDDKEY`S, soviel ist klar. Wenn beide HDDKEY entfernt wurden, in wie weit kann ich mit den restlichen Daten auf den 10 übrigen Festplatten noch etwas anfangen.
Besteht die gefahr das noch Pin`s und tan`s ausgelesen werden können (kleine Dateien), oder kann ich mit Gewissheit sagen das nur noch Datenmüll drauf ist?
Habe gehört das Kleine Daten in abhängigkeit der Blocksizegrösse wiederhergestellt werden können. Wie berechnet man den die Grösse der Datei? (Blocksize*Anzahl hdd oder nur Blocksize)?

Content-Key: 40665

Url: https://administrator.de/contentid/40665

Ausgedruckt am: 28.03.2024 um 18:03 Uhr

Mitglied: leknilk0815
leknilk0815 23.09.2006 um 14:51:47 Uhr
Goto Top
Hi,
Du müsstest die Stripe- Size am Kontroller so einstellen, daß diese kleiner als die kleinste Datei ist. Z.B.: kleinste Datei = 4KB, Stripe Size = 2KB.
Damit wird erzwungen, daß auch die kleinste Datei in min. 2 Teile gestückelt wird, damit unlesbar, da die Teile auf verschiedenen Platten liegen. Die Clustergröße unter NTFS spielt hierbei keine Rolle, da pro Datei ohnehin min. 1 Cluster verbraten wird, auch wenn diese Datei nur ein paar Byte beinhaltet.

Gruß - Toni
Mitglied: Supaman
Supaman 23.09.2006 um 15:40:05 Uhr
Goto Top
wenn ich dich richtig verstanden habe, willst du ein hardware-crypt modul an eine platte eines raid-5 hängen. ich hab da so meine zweifel, das der raid controller damit zusammenarbeitet...

die zweite sache ist, wie soll der schutz wirklich aussehen mit dem hardwaremodul? ich denke mal zum betrieb muss es eingesteckt sein, ergo würde es beim diebstahl auch gestohlen werden.

zu den restdaten: setz mal ein raid-5 auf und guck dir mir raid-5 geeigneter software von r-tt.com etc an, was man an datenblöcken noch alles findet.. du wirst dich wundern.

generell halte ich eine softwareverschlüsselung entweder über die windows eigene funktion oder separate software für den sichereen weg. bei utimcao z.b. kann man einstellen, das die authentifizierung wahlwweise oder zusätzlich auch mit hardware token erfolgen kann/muss.
Mitglied: leknilk0815
leknilk0815 23.09.2006 um 17:42:29 Uhr
Goto Top
ist die Stripesize kleiner als die Datei, findest Du nur Müll, egal, welche Soft Du benutzt, da wäre auch Ontrack machtlos. Allerdings sind Textdateien (.txt) oft kleiner als 4KB, und das ist die kleinste Stripesize (soweit ich mich erinnere, zumindest auf den mir bekannten Kontrollern), die man einstellen kann.

Gruß - Toni
Mitglied: skynetcom
skynetcom 23.09.2006 um 19:26:44 Uhr
Goto Top
erstmal vielen dank für die guten Anworten

wenn ich dich richtig verstanden habe, willst
du ein hardware-crypt modul an eine platte
eines raid-5 hängen. ich hab da so meine
zweifel, das der raid controller damit
zusammenarbeitet...

er arbeitet ohne probleme damit zusammen, das sind sogenannte x-Firewall chips die die Daten in echtzeit berechnen.
Der Hddkey ist für den Controller nicht sichtbar.
Bei gute Raid-Controllern spielt es keine rolle ob unterschiedliche HDD`s verwendet werden.
Selbst wenn der HDDkey die Festplatte ausbremst, kompensiert es der Raid-Controller

die zweite sache ist, wie soll der schutz
wirklich aussehen mit dem hardwaremodul? ich
denke mal zum betrieb muss es eingesteckt
sein, ergo würde es beim diebstahl auch
gestohlen werden.


Wie schon auf der genannten Hompage beschrieben, wird der Key nur zur initialisierung benötigt (beim anschalten). Der hashfile wird runtergezogen in den ide-dongel und somit nicht mehr benötigt. Sobalt der strom unterbrochen wird ist der hashfile weg. Ohne den Key wird auch die Festplatte nicht erkannt-> der Raid-Controller bleibt beim booten schon stehen.
-> nicht mal n resync notwendig.

zu den restdaten: setz mal ein raid-5 auf
und guck dir mir raid-5 geeigneter software
von r-tt.com etc an, was man an
datenblöcken noch alles findet.. du
wirst dich wundern.
das raid 5 existiert bereits,

generell halte ich eine
softwareverschlüsselung entweder
über die windows eigene funktion oder
separate software für den sichereen weg.
bei utimcao z.b. kann man einstellen, das die
authentifizierung wahlwweise oder
zusätzlich auch mit hardware token
erfolgen kann/muss.

wie oben bereits erwähnt setze ich auf Luks -> Linux, genauer Gentoo.
Die kleinen daten sind bereits in einen AES 256 Container.
Das Problem ist das bei grossen Datentransfer der Rechner in die Knie geht <= 40MB/s
Das darf nicht sein.

Wenn ich das richtig verstanden habe muss ich den Container ja garnicht mehr verschlüsseln?
Einfach einen Container und alles rein.
Mitglied: skynetcom
skynetcom 24.09.2006 um 17:05:42 Uhr
Goto Top
Hi,
Du müsstest die Stripe- Size am
Kontroller so einstellen, daß diese
kleiner als die kleinste Datei ist. Z.B.:
kleinste Datei = 4KB, Stripe Size = 2KB.
Damit wird erzwungen, daß auch die
kleinste Datei in min. 2 Teile
gestückelt wird, damit unlesbar, da die
Teile auf verschiedenen Platten liegen. Die
Clustergröße unter NTFS spielt
hierbei keine Rolle, da pro Datei ohnehin
min. 1 Cluster verbraten wird, auch wenn
diese Datei nur ein paar Byte beinhaltet.

Gruß - Toni

Dar Raid 5 hat verschiedene Modi: Left/Right - Asy/symetric.
Man kann die Blöcke im Modi der Reihe nach auslesen.
Müste die Datei dan nicht

Stripe Size * (Anzahl HDD - Krypt HDD)

sein?

bei Stripe Size 64K, 12 Platten und 2 HDDkey also 64K * (12-2)= 640
kleineste Datei > 640K ?
Mitglied: leknilk0815
leknilk0815 25.09.2006 um 08:32:21 Uhr
Goto Top
Zitat aus Wiki:
"Stripe size bezeichnet die Größe des aus einem oder mehreren Datenblöcken bestehenden zusammenhängenden Datenbereichs als kleinste adressierbare Einheit zur Verteilung von Daten auf RAID-Speichermedien"

Gruß - Toni