![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
dzz
8 терабайт, софтверный RAID5 на трёх 4-терабайтных Seagate IronWolf.
Сбоев за время эксплуатации не было, статус ошибок по smartctl девственно чист. Восстановление после выключения-включения питания отрабатывает также без ошибок. Выбор недешёвых NAS-дисков себя полностью оправдал.
Сбоев за время эксплуатации не было, статус ошибок по smartctl девственно чист. Восстановление после выключения-включения питания отрабатывает также без ошибок. Выбор недешёвых NAS-дисков себя полностью оправдал.
no subject
Date: 2025-10-30 05:53 am (UTC)Интересно, и какая же тут модель угроз, ради которой нужно применять full-disk-encryption?
Имеем домашний NAS, с аптаймом, вероятно не меньше трех девяток 99.9% времени.
Когда он up, ключи шифрования в системе есть, и доступ к данным на дисках есть.
Если что сломается, то сочетание RAID5 с LUKS существенно затруднит процесс восстановления, тут уж только на бэкапы надежда. Кстати, а бэкапы шифрованные? И далеко ли от NAS они хранятся?
Большая часть данных, которые хранятся на этих дисках, вероятно представляет собой фильмы, аудиозаписи и прочий контент, который очевидно не секретен.
А стоит LUKS довольно дорого — это затраты на более мощный процессор, на электроэнергию которую он потребляет, и небольшой, но оверхед на администрирование.
Что-то при таких вводных я не могу себе представить тех угроз, ради которых на эти затарты стоит пойти.
no subject
Date: 2025-10-30 08:04 am (UTC)Во-первых, это интересно :)
Первые эксперименты с full encryption я начал году в 2010-м, наверное. Основной идеей была защита ноута с реально конфиденциальными данными при краже/потере. Оказалось, что даже на мобильных камнях того времени торможение в режиме "пишем код/документы" не заметно, а при компиляции больше зависит от объёма оперативки, на которой не нужно экономить.
Ну а потом как-то пришёл к практике тотального шифрования дисков. За 15 лет не было ни одного инцидента в невозможностью восстановить LUKS-партицию, созданную хоть поверх RAID-а, хоть просто на голом железе. При этом из предыдущей RAID-группы было выброшено два диска. Производительность шифрованной записи-чтения на современных процессорах с аппаратной криптографией совершенно не проседает, если не собирать домашний NAS по принципу "из того, что не жалко". Затраты на администрирование реально крошечные.
Во-вторых, у меня есть данные, которые я бы действительно не хотел отдавать посторонним. Затраты на их отдельное шифрование-дешифрование и управление ключами были бы уже достаточно велики, а полное шифрование дисков позволяет не беспокоиться о доступе к ним в случае выбрасывания сбойного диска/флэшки, кражи или изъятия. Чужие на мой NAS не ходят :) Бэкапы важной информации делаются периодически тоже на криптованные диски, но в другой локации. В целом, "жизнь с тотальным шифрованием" происходит практически так же, как и без него, с околонулевыми накладными расходами.
В продакшене на работе, безусловно, я такое не использую, хотя в своё время прорабатывал схему с "невидимым криптосервером", делающим открытие LUKS-партиций в офисе прозрачным для пользователей, а вынос компьютеров из сети бесполезным.
no subject
Date: 2025-10-30 08:44 am (UTC)Я бы в этом случае использовал encfs, только дла каталогов с конфиденциальными данными.
Еще и монтирование on-demand бы сделал какое-нибудь. Причем не факт что через pam. Возможно, что имеет смысл немножко поступиться удобством и монтировать эти системы только если собираешься поработать с этими данными.