Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen der Seite angezeigt.

--- systeme:samba:datenschutz [04/11/2026 02:14] – OMNISRV-SAMBA Datenschutz: Sicht von Samba und Host, Ende des Mounts präzisiert Holger Wehrs
+++ systeme:samba:datenschutz [05/11/2026 03:12] (aktuell) – Externe Bearbeitung 127.0.0.1
@@ Zeile 1: / Zeile 1: @@
 ====== Datenschutz · Wer sieht die Akten? ======
-**Stand:** 2026-11-04 · [[systeme:samba:entwurf-v1|Zur Übersicht]]
+**Stand:** 2026-11-05 · [[systeme:samba:entwurf-v1|Zur Übersicht]]
-Verschlüsselung schützt den ruhenden Dateibestand und das Borg-Archiv. Im laufenden Betrieb verarbeitet Samba Klartext. Die folgende Tabelle trennt Speicherort, Zeitpunkt und Zugriff. Sie beschreibt den verifizierten OMNISRV-Stand, keine absolute Sicherheitsgarantie.
+Verschlüsselung schützt den ruhenden Dateibestand und das Borg-Archiv. Im laufenden Betrieb verarbeitet Samba Klartext. **Im normalen Samba-Betrieb gibt es außerhalb des Containers keinen dauerhaften Klartext-Mount.** Nur der getrennte Backup-Lauf öffnet vorübergehend eine schreibgeschützte Klartextansicht auf dem Host. Die folgende Tabelle trennt Speicherort, Zeitpunkt und Zugriff. Sie beschreibt den verifizierten OMNISRV-Stand, keine absolute Sicherheitsgarantie.
 ^ Ebene ^ Form und Zeitpunkt ^ Zugriff und Kontrolle ^ Ende des Klartextzugriffs ^
 | Ruhender Btrfs-Datenträger | gocryptfs-Cipherdir: Dateiinhalte und Namen verschlüsselt; Struktur, Größen, Zeiten und andere Metadaten können sichtbar oder ableitbar sein. | Zugriff auf Cipherdir und Schlüssel wird durch Hostrechte und geschützte Secret-Ablage begrenzt. Privilegierte Hostprozesse bleiben eine Grenze. | Dort liegt kein regulärer Klartext. |
-| Laufender Samba-Betrieb | Samba sieht die Dateien über den gocryptfs-Mount entschlüsselt. Im verschlüsselten Speicherbereich des Hosts liegen Verzeichnis- und Dateinamen kryptografisch entstellt und Inhalte verschlüsselt. Zugleich existiert auf dem Host während des Betriebs die entschlüsselte Mount-Ansicht. | Samba verarbeitet Inhalte. Anmeldung, Freigaberechte, POSIX-Gruppen und ACLs begrenzen normale Benutzer. Host-root und ausreichend privilegierte Prozesse können diese Grenze überwinden. | Ein Stopp nur des Samba-Containers beendet den SMB-Zugriff, lässt den gocryptfs-Mount aber bestehen. Beim geordneten Herunterfahren beider Dienste wird erst Samba gestoppt und dann die Klartextansicht ausgehängt. Erst nach bestätigtem Aushängen ist dieser Mount geschlossen. |
+| Laufender Samba-Betrieb | Samba sieht die Dateien über einen gocryptfs-Mount **innerhalb seines Containers** entschlüsselt. Auf dem Host bleibt der dauerhafte Btrfs-Bestand verschlüsselt; ein dauerhafter Host-Klartext-Mount ist nicht aktiv. | Samba verarbeitet Inhalte. Anmeldung, Freigaberechte, POSIX-Gruppen und ACLs begrenzen normale Benutzer. Host-root mit Schlüssel- und Docker-Zugriff bleibt eine Sicherheitsgrenze. | Beim Containerstopp endet dessen interne Mount-Ansicht. Ein kontrollierter Stopp und Neustart sowie ein gezielter Samba-Prozessabbruch wurden am 5. November geprüft; ein kompletter Hostreboot bleibt offen. |
 | Stündliche Sicherung | Btrfs-Snapshot des Cipherdir ist schreibgeschützt. Ein zweiter gocryptfs-Mount zeigt ihn dem Backup-Prozess vorübergehend im Klartext. | Backup-Prozess mit nötigen Rechten liest Inhalte und Metadaten. Der temporäre Mount ist auf diesen Prozess begrenzt; Fehlerpfade sollen ihn ebenfalls entfernen. | Nach Backup-Lauf: Mount aushängen, Snapshot entfernen. Automatische Folgeläufe zeigten keinen Restmount. |
 | Übertragung und Repository | Borg verschlüsselt die Archivnutzdaten clientseitig; deduplizierte Daten liegen im entfernten Repository verschlüsselt. Der aktuelle Transportweg ist SSH. | Borg-Schlüssel und Repository-Zugang sind getrennt zu schützen. SSH schützt zusätzlich den Transportkanal; Borgs Archivverschlüsselung hängt nicht von diesem Zusatzschutz ab. | Klartext existiert nur am Backup-Client während des Lesens, nicht als reguläre Repository-Datei. |
@@ Zeile 13: / Zeile 13: @@
 <WRAP important round 90% justify>
 ===== Schutzgrenzen =====
-Dateiverschlüsselung ersetzt weder Samba-Rechte noch Hostschutz. Ein offener produktiver Klartext-Mount, Host-root, Schlüsselverlust, sichtbare Metadaten und ungeschützte Restore-Ziele bleiben reale Risiken. Die Schlüssel selbst gehören nicht in Wiki, Git oder Protokolle.
+Dateiverschlüsselung ersetzt weder Samba-Rechte noch Hostschutz. Der temporäre Backup-Mount, Host-root mit Schlüssel- und Docker-Zugriff, Schlüsselverlust, sichtbare Metadaten und ungeschützte Restore-Ziele bleiben reale Risiken. Die Schlüssel selbst gehören nicht in Wiki, Git oder Protokolle.
 </WRAP>
-Die Aussage zum Herunterfahren folgt den am 4. November 2026 lesend geprüften systemd-Units: Der Samba-Dienst hängt vom gocryptfs-Dienst ab; dessen Stop-Aktion hängt den Mount aus. Ein tatsächlicher Stopp wurde für diese redaktionelle Korrektur nicht ausgelöst.
+Die Container-Mounts, das Fehlen des dauerhaften Host-Mounts, ein kontrollierter Dienststopp und -start sowie ein gezielter Samba-Prozessabbruch wurden beim produktiven Umbau am 5. November 2026 geprüft. Ein vollständiger OMNISRV-Neustart ist noch nicht empirisch abgenommen.
-**Quellen:** [[systeme:samba:backup-recovery|Betriebs- und Recovery-Nachweise]]; [[https://github.com/rfjakob/gocryptfs/blob/v2.5.1/Documentation/MANPAGE.md|gocryptfs 2.5.1]]; [[https://borgbackup.readthedocs.io/en/1.4.0/usage/init.html|Borg 1.4, Verschlüsselungsmodi]].
+**Quellen:** OMNISRV-SAMBA-CONTAINER-FUSE-001-Abschlussbericht vom 5. November 2026; [[systeme:samba:backup-recovery|Betriebs- und Recovery-Nachweise]]; [[https://github.com/rfjakob/gocryptfs/blob/v2.5.1/Documentation/MANPAGE.md|gocryptfs 2.5.1]]; [[https://borgbackup.readthedocs.io/en/1.4.0/usage/init.html|Borg 1.4, Verschlüsselungsmodi]].