Raspberry Pi + Nextcloud

Creedness

Kabelverknoter(in)
Hallo liebe Forengemeinde!

Ich habe mir nun einen RaspPi 3 angeschafft, den ich nun zukünftig als Cloud einplane.
Wie soll das funktionieren? Nun ja, OpenVPN + Nextcloud.

Für mich stellt sich dabei aber dennoch eine zentrale Frage: Inwiefern kann das "Angriffsrisiko", das bei Portfreigaben immer wieder erwähnt wird, durch einen VPN minimiert werden? Ich muss ja letztendlich trotzdem meinen Raspberry Pi öffentlich zugänglich machen...? Ehrlich gesagt bin ich da noch nicht so ganz drinnen (werde mir das aber natürlich so oder so reinziehen), denn auch der VPN ist doch sozusagen öffentlich erreichbar? Letztendlich soll der RaspPi auch nur für mich genutzt werden und nicht für Freunde oÄ.

LG!!
 
Du hast Dir selbst schon die richtige Antwort gegeben.

Durch offene Ports bietest Du nach außen, zum Internet, ein Angriffsprofil.
Dabei muss die Anwendung, welche den Port verwendet, eine Sicherheitslücke aufweisen die jemanden bekannt ist. Dieser jemand muss dazu noch die Motivation haben die Sicherheitslücke auszunutzen.

Für HTTPS und auch Open VPN wird ein Port zum Internet geöffnet.
Sowohl HTTPS als auch OpenVPN sind die Anwendungen, welche den geöffneten Port Verwenden.

Es ist somit letztlich die Frage, ob HTTPS oder OpenVPN als sicherer betrachtet werden kann.

Ob HTTPS oder OpenVPN macht eher einen Unterschied bei der täglichen Nutzung.

HTTPS mit Nextcloud ist bequem, da alle Geräte direkt mit der Nextcloud kommunizieren können, sobald man mit dem Internet verbunden ist. Du kannst Problemlos Dateien mit Freunden und Bekannten teilen.
Durch ein VPN erreichst du etwas mehr Kontrolle, da die Verbindung zur Nextcloud nur dann existiert wenn Du das VPN aufgebaut hast. Dafür ist es aber auch ein zusätzlicher Schritt, dass VPN erst einmal zu erstellen.
 
@Matusalem
Danke, aber verstehe ich das dann richtig, dass sowohl HTTPS als auch VPN nicht unbedingt sicherer als das andere sein müssen? Oder ist HTTPS irgendwie problematischer, weil...keine Ahnung? :D Was ich so eben im Netz lese bzgl. öffnen von Ports hört sich immer nicht so rosig an, aber VPN scheint da teilweise als "der heilige Gral" angespriesen zu werden.

@Research
Wegen was würdest du das mehr empfehlen?
 
Was sicherer ist und sinnvoll ist eine Sache, man sollte es in Relation sehen zu den Sachen die du dann in deiner Cloud hast.

Wenn du eh nur unwichtige Daten da drauf hast , wird sich kaum einer die Mühe machen dich anzugreifen.
Wenn ich zum beispiel nur meine Urlaubsfotos auf der Cloud hätte, dann wär es mir ziemlich egal ob sich die jemand kopiert , es sind ja keine hoch sensiblen Daten die das geschehen auf Weltmarkt ändern werden.
Da wär es mir vorrangig wichtig das ich bequem darauf zugreifen kann und gehe ein minimales Risiko ein.

Das muss jeder für sich selbst entscheiden.
 
SOrry, meine SyncThing.
Syncthing

Ist so sicher wie die Daten auf den eigenen Geräten.

Hier mal C&P:
Syncthing ist eine quelloffen geschriebene Dateisynchronisation mit Peer-to-Peer-Übertragungen. Es kann Dateien zwischen Geräten in einem lokalen Netzwerk oder zwischen entfernten Geräten über das Internet synchronisieren. Datenschutz und Datensicherheit sind zentraler Bestandteil der Software. Die Software ist in Go geschrieben und über den Hosting-Dienst GitHub verfügbar.[SUP][3][/SUP]
Syncthing basiert auf dem selbst entwickelten, ebenfalls quelloffenen Block Exchange Protocol.[SUP][4][/SUP] Die Dateien werden ohne einen zentralen Server zwischen verschiedenen Geräten synchronisiert. Die Kommunikation ist hierbei mit TLS und Perfect Forward Secrecy gesichert. Jeder Knoten wird über ein Zertifikat identifiziert. Nur explizit ausgewählte Knoten können sich mit dem Cluster verbinden. Für die Konfiguration und die Überwachung von Syncthing steht auf allen Plattformen eine Weboberfläche zur Verfügung. Es lassen sich beliebig viele Verzeichnisse synchronisieren. Pro Gerät kann dabei festgelegt werden, welche einzelnen Ordner geteilt werden sollen.

Die Gerätesuche erfolgt über öffentlich zugängliche, von den Projektentwicklern gehostete Discovery-Server,[SUP][6][/SUP] lokale (LAN-)Suche über Broadcast-Nachrichten, Gerätehistorie und statischen Gerätenamen. Es gibt auch die Möglichkeit, eigene Discovery-Server zu betreiben, die neben oder als Ersatz für die öffentlichen Server verwendet werden können.[SUP][7][/SUP] Beim Relaying ist die Verbindung zwischen den Geräten Ende-zu-Ende mit TLS verschlüsselt, so dass der Relay-Server nur die verschlüsselten Daten sehen kann. Private Relay-Server können auch eingerichtet und konfiguriert werden. Syncthing wechselt automatisch vom Relaying zu direkten Geräte-zu-Gerät-Verbindungen, wenn es erkennt, dass eine direkte Verbindung verfügbar ist.[SUP][8][/SUP] Die Anwendung kann ohne jegliche Verbindung zu den Projekt- oder Community-Servern verwendet werden,[SUP][9][/SUP] da Programm-Aktualisierungen, die Bereitstellung von Nutzungsstatistiken, Discovery und Relaying unabhängig voneinander deaktiviert oder konfiguriert werden können.

Hat den Vorteil: Offen, mMn sehr sicher und Bandbreite je nach Anzahl der Hosts/I-Net-Anschlüsse.

SIehe auch:
https://www.heise.de/ct/ausgabe/2015-8-Dateien-synchronisieren-mit-Syncthing-2575705.html
https://www.golem.de/news/syncthing-im-test-p2p-synchronisierung-leicht-gemacht-1407-107904.html
 
@Matusalem
Danke, aber verstehe ich das dann richtig, dass sowohl HTTPS als auch VPN nicht unbedingt sicherer als das andere sein müssen?

Das ist mein eigenes Verständnis.

Ein VPN hat den Vorteil das man für alle möglichen Zwecke eine generische Verbindung zu seinem Netzwerk herstellt, nicht nur für eine Nextcloud. Damit reicht es einen Port für die VPN Anbindung zu öffnen und man hat x heimische Anwendungen über das Internet verfügbar. In solch einem Fall kann man ein deutliches Plus an Sicherheit erlangen.

Sowohl VPN und HTTPS sollten allein von ihrer hohen Verbreitung und dem Anwendungsgebiet in der Theorie sicherer und zuverlässiger (sprich mit weniger Lücken) programmiert sein, als ein einzelnes Produkt der Firma xyz, welche eine Schnittstelle über ein Netzwerk zur Verfügung stellt.

Sowohl ein VPN als auch HTTPS verschlüsseln die zu übertragenden Daten und sind damit besser als so manche Netzwerkanwendung welche im Klartext überträgt.

Wenn es aber nur um VPN vs. HTTPS für die eine gleiche Anwendung geht (z.B. Nextcloud), dann sehe ich persönlich kein entscheidenes Sicherheitsplus bei dem einen oder anderen.
 
Eine andere Sache ist bei der Sicherheit der Zugriff auf die Cloud, klammert man offenen Port und Verschlüsselung mal aus (da ja ein Port ja offen sein muss und verschlüsselt sind sowieso im Normalfall beide).
Bei VPN hat nur der Zugriff der auch die Daten zum verbinden hat.
Bei HTTPS reicht es deine IP und Port (falls nicht der Standartport) zu haben um die Oberfläche der Cloud anzuzeigen.
Und bedenkt man das IPs ja oft dynamisch sind muss man bei beiden ein DDNS einrichten.
Weshalb es also bei HTTPS reicht die InetAdresse deinen eingerichteten DDNS zu wissen. Der Port ist auch ganz leicht einfach alle Ports Scannen.
Also bei HTTPS kann man also nur allein durch wissen deiner InetAdresse und Port auf die Oberfläche der Cloud zugreifen.
Bei VPN kann man sagen das man also InetAdresse, Port und Zugangsdaten bzw. SSL-Zertifikat einen Benutzers (wie man den VPN halt eingerichtet hat) des VPNs braucht um erstmal auf die Oberfläche zuzugreifen.
Wenn man also bedenkt das die eingesetzte Cloudsoftware selber eine Sicherheitslücke haben könnte oder eine bekannt wird, ist in der Hinsicht VPN etwas sicherer.

Edit: Weil ich hier gerade von Fritzbox gelesen habe, schreibe ich aber auch nur für die Zukunft oder falls einer die Beta Firmware benutzt.
Benutze niemals myfritz DDNS in Kombination mit Let’s Encrypt, mit Let’s Encrypt hat man zwar den Vorteil das man bei HTTPS zwar keine Browserwarnung angezeigt wird, aber dadurch wird eure myfritz.net Adresse sozusagen veröffentlicht.
Benutze niemals DDNS in Kombination mit einen von Let’s Encrypt oder einer anderen Certificate Authority ausgestellten SSL-Zertifikat, wenn eure Cloud oder ähnliches nicht öffentlich sein soll. Für Private zwecke reicht auch ein selbst signiertes SSL-Zertifikat. Mit Let’s Encrypt und von anderen Certificate Authority ausgestellten SSL-Zertifikaten hat man zwar den Vorteil das man bei HTTPS zwar keine Browserwarnung angezeigt wird, aber dadurch wird eure myfritz.net Adresse sozusagen veröffentlicht. eure Adresse von der ihr über das Internet aus zugreifen könnt veröffentlicht.
Siehe hier Zum Beispiel stehen hier Transparency Report dort stehen schon über 4200 myfritz.net Adressen.
Also braucht man dadurch bei HTTPS nur noch den Port, im schlimmsten Fall nicht mal das... Könnt ihr selber ausprobieren z. B. kann man sich mit einer der DiskStation verbinden sofern man den Port weis und das ist ganz leicht, oft ist einer der beiden Standart Ports in Benutzung, eine Google suche genügt... fehlen nur noch die Login Daten der DiskStation :ugly:

Edit des Edit nach einen power napping und etwas logisch denken: Habe etwas davon gestrichen und ersetzt.
Das oben stehende gilt natürlich auch für andere Router oder ähnliches
Also merkt euch wenn eure Cloud, NAS oder ähnliches bei euch stehen habt nicht öffentlich sein soll, benutzt ein selbst signiertes Zertifikat, dadurch zeigen die Browser zwar eine Warnung an, aber die Verschlüsselung der Verbindung ist genauso sicher, sofern man beim signieren nichts falsch gemacht hat.
 
Zuletzt bearbeitet:
Zurück