Linux: Bei Sicherung/Archivierung verschlüsseln?

[Neunmalklug (Gast)]

Möchte auf DVD sichern. Die Daten sollten dort verschlüsselt sein. Geht 
das irgendwie direkt, oder muss ich erst mit Truecrypt ein Image 
erstellen und das dann brennen?

[Klaus W. (mfgkw)]

Das geht schon, wenn du dich an die Kommandozeile rantraust.

Es hängt aber davon ab, wie und womit du sicherst und auf
welchen Medien.

Erster Vorschlag: Sichern mit tar, tar zur Standardausgabe schreiben
lassen (mit - als Dateiname), diese Ausgabe ins das Kommando mcrypt
leiten (muß ggf. nachinstalliert werden, unter Debian mit
apt-get install mcrypt) und die Ausgabe vom mcrypt dann mit wodim auf
die DVD-R oder DVD+R oder CD-R brennen:

klaus@vdr2:~ > tar czf - test | mcrypt | wodim dev=/dev/dvdrw1 -
Enter the passphrase (maximum of 512 characters)
Please use a combination of upper and lower case letters and numbers.
Enter passphrase: wodim: No write mode specified.
wodim: Asuming -tao mode.
wodim: Future versions of wodim may have different drive dependent defaults.
wodim: Operation not permitted. Warning: Cannot raise RLIMIT_MEMLOCK limits.Device type    : Removable CD-ROM
Version        : 0
Response Format: 3
Capabilities   : 
Vendor_info    : 'PLEXTOR '
Identification : 'DVDR   PX-880U  '
Revision       : '1.06'
Device seems to be: Generic mmc2 DVD-R/DVD-RW.
Using generic SCSI-3/mmc   CD-R/CD-RW driver (mmc_cdr).
Driver flags   : MMC-3 SWABAUDIO BURNFREE FORCESPEED 
Supported modes: TAO PACKET SAO SAO/R96P SAO/R96R RAW/R16 RAW/R96P RAW/R96R
wodim: WARNING: Total disk size unknown. Data may not fit on disk.
Speed set to 5645 KB/s
Starting to write CD/DVD at speed  32.0 in real TAO mode for single session.
Last chance to quit, starting real write in    0 seconds. Operation starts.

Enter passphrase: 

Stdin was encrypted.

WARNING: padding up to secsize.
Track 01: Total bytes read/written: 4765/614400 (300 sectors).

Dabei muß man etwas aufpassen: mcrypt fragt gleich am Anfang nach
einem Passwort. Die Aufforderung geht aber etwas in der Ausgabe von
wodim unter, das bereits losläuft.
Man tippt also das PW ein, wird nochmal danach gefragt und dann wird
gebrannt.

In dem Beispiel wird das Verzeichnis test gesichert. Sonst halt andere
Namen bei tar angeben.

Das z in tar czf... bewirkt, daß tar die Daten durch gzip leitet und
komprimieren lässt.
Man kann es auch weglassen, z.B. wenn die Daten nur schlecht
komprimierbat sind (wie etwa mp3-Dateien oder gereits gezippte).

Anstatt /dev/dvdrw1 ist natürlich dein richtiges Device anzugeben.

Auf einer solchen DVD oder CD ist dann kein Dateisystem drauf.
Es kann also nicht gemountet werden, und unter Windows wird ein
Explorer daran verzweifeln.
Genutzt werden kann eine solche Scheibe nur, um wieder mit tar davon
zu lesen.

Beispiel: Alles nach /tmp zurückschreiben:

klaus@vdr2:~ > cd /tmp; cat /dev/dvdrw1 | mdecrypt | tar xvzf -
Enter passphrase: 

gzip: stdin: decompression OK, trailing garbage ignored
test/
test/t.c
test/t.cpp~
test/t.c~
test/t.cpp
test/#t.c#
test/zins_spk.cpp
test/imc.c
test/hdbench64.cpp
test/zins_kfw.cpp
tar: Child died with signal 13
tar: Fehler beim Beenden, verursacht durch vorhergehende Fehler.
Signal 13 caught. Exiting.

Die Fehlermeldung tut nicht weh; mdecrypt bendet sich offenbar einfach
sang- und klanglos nach dem letzten Byte.

Beim tar ist hier wieder z anzugeben, wenn man beim Sichern mit z hat
komprimieren lassen. Hat man es beim Sichern weggelassen, dann auch
hier. Im Zweifelsfall ist es schlau, auf der DVD zu vermerken wie man
sie erzeugt hat - das spart beim Zurückschreiben viele Nerven.

[Klaus W. (mfgkw)]

Eine Datensicherung ist auf einer DVD-RAM ohnehin besser aufgehoben.

Dann bietet sich als zweite Möglichkeit an, mit tar direkt auf die
DVD-RAM schreiben zu lassen; wodim ist dann gar nicht nötig:

klaus@vdr2:~ > tar czf - test | mcrypt >/dev/dvdrw1
Enter the passphrase (maximum of 512 characters)
Please use a combination of upper and lower case letters and numbers.
Enter passphrase: 
Enter passphrase: 

Stdin was encrypted.

Je nachdem, ob man komprimiert schreiben will oder nicht, wieder beim
tar z angeben oder nicht.

Das Entpacken geht genauso wie beim ersten Vorschlag.
Ebenfalls wie oben ist die DVD nur mit tar nutzbar.

[Tobi (Gast)]

Wenn ich mir anschaue wieviele der DVD-Rams noch fehlerfrei lesbar (40 
von 50) sind die ich für Backups benutzt habe, dann war das alles nicht 
wirklich das gelbe vom Ei. Ok, mit DVD-R oder DVD-RW wäre wahrscheinlich 
noch schlimmer geworden, aber den Daten hilft das auch nicht.
Wenigstens war das Backup weder verschlüsselt nach gepackt.

Gruss,
Tobi

[Klaus W. (mfgkw)]

Ebenfalls mit DVD-RAM hat man noch eine dritte Möglichkeit:
Man legt darauf ein Dateisystem an (ext2 oder ähnliches),
mountet die DVD-RAM in ein Verzeichnis und lässt mit tar
eine normale Datei darin anlegen für die Sicherung
(tar czf test | mcrypt >/mnt/meinedvdram).
Zum Schluß umounten und die DVD weglegen.

Das hat Vorteile:
- Man kann ggf. auf einer Scheibe mehrere Sicherungen anlegen,
  falls genug Platz ist
- Die Sicherungsdatei kann "gesehen" werden. Das ist
  vielen Leuten lieber als eine Sicherung auf der Scheibe,
  die nicht gemountet werden kann.
- Man kann die Sicherungsdatei bei Bedarf mit üblichen
  Kommandos kopieren, z.B. auf ein Band o.ä..
  Bei dem ersten oder zweiten Vorschlag oben ginge das mit
  dd auch, aber weil es kein Dateisystem gibt, muß man
  halt wissen wie es geht und etwas blind arbeiten.

Und die Nachteile:
- langsamer
- etwas Platzverschwendung durch das Dateisystem

Im Zweifelsfall neige ich zur zweiten Möglichkeit, es ist
am effizientesten.

Allerdings frage ich mich, ob es eine gute Idee ist, eine
Sicherung zu verschlüsseln.
Ohne eine gute Aufbewahrung ist die Sicherung eh sinnlos,
und die Verschlüsselung ist eine weitere Fehlerquelle
(wie kommt mein Nachfolger an das PW, wenn ich tot am Baum
hänge?).
Wenn die DVD gut verwahrt wird, braucht sie nicht
verschlüsselt zu sein. Der Datenklau wird leichter
woanders stattfinden.

Ich vermute, daß bei einem Fehler in einem Datenblock
auf der DVD alle restlichen Daten auch nicht mehr
erreichbar sind (bei der Komprimierung mit z ist das bereits
so, weshalb ich davon auch abraten würde, und ich gehe davon
aus, daß die Verschlüsselung auch fortlaufend stattfinden muß).
Ansonsten wäre tar in der Lage, bei einem Lesefehler in einem
Block wenigstens alle noch folgenden Dateien zu retten.
Gerade bei einem Backup würde ich mir dieses Risiko ersparen.

Zugegebenermaßen macht die Verschlüsselung Sinn, wenn ich
die DVD irgendwie auf Reisen geht.
Das wirst du selbst am Besten wissen.

[Klaus W. (mfgkw)]

Tobi schrieb:
> Wenn ich mir anschaue wieviele der DVD-Rams noch fehlerfrei lesbar (40
> von 50)...

Ich hatte bisher keine Probleme damit (4.7GB von Verbatim).
Aber ich nutze sie auch zugegebenermaßen wenig; Sicherung mache
ich einerseits auf Bänder und für "zwischendurch" über das Netz
von Rechner zu Rechner auf Festplatten.

Schon alleine, weil ich mit 4 GB nicht weit komme, aber auch
weil ich den DVDs nicht so weit über den Weg traue (DVD-RAM
noch am ehesten).
Insofern gebe ich dir auf jeden Fall recht.