Vor einem Jahr hatte ich be­schrie­ben, wie ich ein ver­schlüs­sel­tes Back­up auf einen Rech­ner im Netz mit Du­pli­ci­ty mache. Du­pli­ci­ty er­le­digt die ei­gent­li­che Back­up-Auf­ga­be und die Ver­schlüs­se­lung mit gpg. An­schlie­ßend wer­den diese Daten per sftp auf das ent­fern­te Sys­tem ge­scho­ben. Was man hier­bei be­ach­ten kann, möch­te ich hier quasi als Fol­low-Up-Ar­ti­kel do­ku­men­tie­ren.

Au­then­ti­sie­rung per ssh-Key

Das Na­he­lie­gends­te zu­erst: Für ein au­to­ma­tisch lau­fen­des Back­upskript soll­te es na­tür­lich nicht nötig sein, ein Pass­wort ein­zu­ge­ben. Für die­sen Zweck habe ich einen ssh-Key ge­ne­riert, wel­cher auf dem zu si­chern­den Rech­ner un­ver­schlüs­selt vor­liegt und des­sen Pu­blic-Key-Ge­gen­stück auf dem Ser­ver in die Datei `~/.ssh/aut­ho­ri­ze­d_keys` ein­ge­tra­gen wurde. Mit Hilfe des Pa­ra­me­ters `--ssh-op­ti­ons="-oIden­ti­ty­Fi­le=/root/.ssh/id_d­sa-back­up"` wird du­pli­ci­ty an­ge­wie­sen, die ent­spre­chen­de Op­ti­on für die Schlüs­sel­ver­wen­dung an ssh durch­zu­rei­chen.

Zu­griffs­be­schrän­kung auf dem Da­ten­ser­ver

Im Fall, daß das Sys­tem kom­pro­mit­tiert wird, ist ein un­ver­schlüs­sel­ter ssh-Key na­tür­lich das Sprung­brett auf ein wei­te­res Sys­tem. Um dem ent­ge­gen­zu­tre­ten, habe ich auf der Da­ten­ser­ver-Sei­te den zu­ge­hö­ri­gen Ac­count durch fol­gen­de Ein­trä­ge in der ssh-Kon­fi­gu­ra­ti­on `/etc/ssh/ssh­d_­con­fig` ein­ge­schränkt:

So ist ssh mit der Ow­nership des ssh-Keys und des chroot-Ver­zeich­nis­ses glück­lich, gleich­zei­tig ist si­cher­ge­stellt, daß der User über sftp aus­schlie­ß­lich in das da­ta-Ver­zeich­nis schrei­ben kann.

Mehr Pa­ra­noia: Back­up-Da­ten in Si­cher­heit brin­gen

Bis hier­her ist si­cher­ge­stellt, daß ein An­grei­fer, der den zu si­chern­den Rech­ner kom­pro­mit­tiert hat, kei­nen pro­blem­lo­sen Shell­zu­griff auf den Da­ten­rech­ner er­hält. Die Mög­lich­keit des Van­da­lis­mus ist damit al­ler­dings noch nicht aus­ge­schlos­sen - er kann sämt­li­che Back­up-Da­ten lö­schen und so ein Wie­der­her­stel­len des Sys­tems un­mög­lich ma­chen.
Eine Mög­lich­keit wäre es, die Daten täg­lich au­to­ma­tisch weg­zu­ko­pie­ren - was al­ler­dings eine er­heb­li­che Platz­ver­schwen­dung wäre. Eine Mög­lich­keit wäre es, neue Me­ta­da­ten zu ko­pie­ren und die ei­gent­li­chen Daten in ein an­de­res Ver­zeich­nis au­ßer­halb der Chan­ge­root-Um­ge­bung weg­zu­schie­ben. Al­ter­na­tiv kann man (so­fern das Da­tei­sys­tem er­wei­ter­te At­tri­bu­te er­laubt) die Da­tei­en gegen jeg­li­che Ver­än­de­rung schüt­zen: