暗号化共有フォルダの作成とマウント/アンマウントの方法
管理者権限で新しく暗号化共有フォルダを作成するか，既存の共有フォルダの暗号化設定により作成できる
- 新規に暗号化共有フォルダを作る
- 既存の共有フォルダを暗号化する : 既存のファイルを暗号化処理しなければならないため、容量依存で処理時間が必要。
新規の暗号化共有フォルダを作る
DSMにログインする
コントロールパネルを開く
共有フォルダ > 作成 > 共有フォルダの作成
- パスフレーズを入力
- 「キーマネージャに暗号化キーを追加する」は、キーストアを外部デバイスを使用する場合に選択する。この項目が表示されない場合は、後から設定する。
- 大事なデータは、チェックサムをチェック
- フォルダの最大サイズを指定できる
- 確認画面
- 再度の確認画面
- 再度の確認画面
アクセス権の設定を終えれば、暗号化した共用フォルダの作成が完了する。
キーストアの初期化
暗号化のパスフレーズ (pass phrase) 即ちパスワードをSynology NAS内かUSBメモリに設定する操作。
- 「コントロール パネル > 共有フォルダ > 操作*1 > キー マネージャ↩️」
- 「キーストアの初期化」ダイヤログが表示される
- [キーストア場所] からキーストアとして、「外部デバイス」または「システム パーティション」を選択します。
- このキーストアの [パスフレーズ] フィールドは、今後、キーマネージャを起動する都度、必要となるパスワードのことです。
*1 日本語のマニュアルには、”作成“とあるのは誤記です。
キーストアの初期化の図解
「キーストアの場所」をセレクトすると、USBメモリが接続されていれば、下図のようにシステムパーティション以外の選択肢が現れる。
- パスフレーズの保管先を選択して、パスフレーズをセットする
- キーストアには、デフォルトの「システムパーティション」、フォーマットされたUSBメモリが挿されていれば、外部デバイスも表示される
外部デバイスに暗号キーを保管した場合、暗号解除するには、この外部デバイスと記憶している暗号キーの両方が必要となる (注意、この機能は使えるが、暗号キーのみで解除もできてしまう)
- この外部デバイスをなくすと、暗号解除が出来なくなる
- パスフレーズを忘れると、暗号解除が出来なくなる
暗号化共有フォルダのマウント
パスフレーズでマンウト
キーマネージャを使用しない場合のマウント方法
- 暗号化 > マウント
- パスフレーズ
- ↩️
外部デバイスでマンウト
キーストアとして外部デバイスを使った場合のマウント方法
- キーがストアされているUSBメモリをNASに挿し、自動的にマウントしたことを確認
- コントロールパネル > 共有フォルダ > 操作 > キーマネージャ > ↩️
- 以下の図のように、「パスフレーズ検証」ダイヤログが表示される
- パスフレーズを入力↩️
- 該当する共有フォルダがマウントされる。
- 以下の図が現れる
- test_2フォルダがマウントされる
- 「起動時に自動でマウント」の設定が可能
「構成」から「パスフレーズの変更」が可能
暗号化共有フォルダのアンマウント
共有フォルダを開く(下図、左上)
- 「暗号化」をクリク
- アンマウントをクリック → 鍵がかかる
既存のフォルダを暗号化
すでにあるフォルダを暗号化するには，共有フォルダ アプリから，
- フォルダをクリックして選択状態にする
- 「編集」タグをクリックして，編集ダイオログを表示させる
- 「この共有フォルダを暗号化する」のチェックボックスにチェックを入れる
- 暗号化キー(一般的にはパスワード)，確認キーを設定する
- 「保存」する
実際の運用の詳細
秘匿性を最大限にするには，ネットワークには繋がない運用が最も効果があるわけですが，この御時世そうもいきません．そこで，必要な時にマウントする運用とすることを提案します．
- 今回、暗号化共有フォルダを導入する目的は、データの秘匿性を高めることである
- もしも、管理者権限が不正アクセスで破られたとしても、更に暗号化共有フォルダの暗号キーが解読される確率は、非常に低くセキュリティレベルは申し分ないと考えられる
- 外部デバイスによる運用が追加であれば、更に、セキュリティ・レベルは高くなる
- しかし、DSMの現バージョン(DSM 6.2.2-24922 Update 5, 2020/4時点)では、キーストアを外部デバイスにしても、暗号キーのみでマウントできてしまう。実質的に、セキュリティレベルはレベル1(ネットからマウント可能)である
- 今回、外部デバイスによるマウント運用によるセキュリティレベル2(ネットからマウントできず、物理キーであるUSBメモリーにある暗号キーのみでしかアクセスできない状態)は見送り、レベル1で運用する。以上の解釈は少し間違えているように思えるが、今後よく考えて解釈を訂正するかも知れない
- 次期バージョンアップでの改善を期待するが、そもそも、僕が考えているレベル2のセキュリティは、DSMの仕様上に存在しないのかもしれない。一つの策としては、パスフレーズを最大化すれば、限りなく僕の考えるセキュリティ・レヒベル2に近づく。