Web-Anwendung wie Nextcloud mit End-to-End Verschlüsselung

[x.treme]

Hallo zusammen,

kennt ihr eine gute Alternative für Nextcloud, welche End-To-End Verschlüsselung unterstützt.
Damit meine ich, dass kein Vertrauen in den Nextcloud-Server notwendig ist, sondern die Daten bereits Client-seitig verschlüsselt werden.

Wichtig: Muss PHP-based sein, da es auf einen Webserver (250GB) installiert werden soll.
Anders als bei Nextcloud, sollen die Entschlüsselungs-Keys nicht auf dem Server liegen ...

 

[madmax2010]

Dann kapsel die Daten in Cryptomator Container. Wird der einfachste weg sein.

Sonst schau mal ob du das mit seafile hin bekommst. Ich habe bei seafile den ueberblick verloren, da sich 2 entwickler teams zerstritten haben

 

[snaxilian]

Nextcloud bietet eine End-to-End-Encryption von Haus aus auch wenn die Einrichtung leider echt bescheiden in der Doku ist bzw. nicht direkt ersichtlich ist.
Der Nachteil davon ist: Zugriff auf die Daten nur noch vom Client aus, nicht mehr per WebUI.

Nextcloud (Server) muss die Server-side-encryption aktiviert sein, der Nextcloud-Client muss mindestens Version 3.0 sein. Dann kannst im Client die Verschlüsselung aktivieren.
Erstbeste gefundene Anleitung mit $Suchmaschine: https://thenewstack.io/enable-end-to-end-encryption-between-nextcloud-and-your-desktop-client/

 

[x.treme]

Der Nachteil davon ist: Zugriff auf die Daten nur noch vom Client aus, nicht mehr per WebUI.

Das ist der Punkt: Ich will weiterhin die Möglichkeit des Zugriff via WebUI.
Hier also Client-seitig via JS.

(natürlich könnte der Webhoster hier die JS-Files manipulieren und sich so den Entschlüsselungskey auslesen. Soviel kriminelle Energie unterstelle ich aber keinem. Wichtig ist mir nur, dass der Entschlüsselungskey nicht direkt auf dem Server gespeichert wird)

@madmax2010 Seafile geht leider nicht auf einem reinen Webspace.
Und auf Ubuntu hatte ich es damals mal gehabt, das interne Fileformat zusammen mit der schlechten WebDAV-Implementation von Seafile war aber auch hier für mich ein no-go, war nur sehr umständlich in meine Backup-Strategie integrierbar.

 

[M-X]

Nextcloud hat doch eine E2E Möglichkeit.

EDIT: erst gelesen das die WebUI genutzt werden soll, das ist mit Nextcloud nicht möglich.

 

[snaxilian]

Das ist der Punkt: Ich will weiterhin die Möglichkeit des Zugriff via WebUI.
Hier also Client-seitig via JS.

(natürlich könnte der Webhoster hier die JS-Files manipulieren und sich so den Entschlüsselungskey auslesen. Soviel kriminelle Energie unterstelle ich aber keinem. Wichtig ist mir nur, dass der Entschlüsselungskey nicht direkt auf dem Server gespeichert wird)

Wenn das so möglich wäre, dann wäre das ein grober Designfehler und ein Grund so eine Software nicht zu verwenden. Entweder ich vertraue dem Serverbetreiber oder eben nicht.

Quelle: https://nextcloud.com/blog/encryption-in-nextcloud/

Das "Problem" mit Server-Side-Encryption ist, dass Nextcloud-Server und Storage nicht auf dem gleichen System sein sollte.

Long story short: Entweder ist dein Thread Model: Serverbetreiber ist nicht vertrauenswürdig, dann E2E aber eben mit Verzicht auf WebUI oder du willst eben WebUI aber musst dann eben dem Betreiber vertrauen.
Aus der Situation kommst du nur heraus, wenn du selbst zum Betreiber wirst und z.B. eine Full Disk Encryption verwendest. Bei virtuellen Servern müsste es dann streng genommen noch ein Anbieter sein mit Memory Encryption oder eben auf eigenem Blech.

 

[x.treme]

Sehe ich nicht so.

Gibt genug Cloud-Anbieter welche E2E anbieten auch über Webview, e.g. MEGA.
Oder auch Passwortmanager, wie Bitwarden etc.
Es ist einfach eine zusätzliche Sicherheit, sei es nur dass dem Webhoster ein Backup geleaked wird. Da will man nicht die Private Keys für die Entschlüsselung auf dem selben Speicher haben wie die Daten.

In 99% der Fälle wird sowieso ein Client genutzt, der Webview ist nur für Notfälle, e.g. ich muss im Urlaub an die Daten ran und hab mein Smartphone verloren.

Aber dann nehme ich mit, OpenSource-Lösungen für's Self-Hosting gibt's hier noch nicht mit E2E.

 

[snaxilian]

OpenSource-Lösungen für's Self-Hosting gibt's hier noch nicht mit E2E.

Natürlich gibt es diese, wurden dir bereits genannt und diese Lösungen setzen E2EE bzw. "zero knowledge" eben konsequent um sodass der Betreiber der Plattform eben niemals und in keiner Art und Weise Kenntnis der Keys zum ver- & entschlüsseln hat.

Es gibt halt offenbar keine hier bekannten und genannten Lösungen, die diese Prinzipien nur halbherzig umsetzen und gezielt Lücken für Bequemlichkeit lassen.

Entweder du vertraust dem Anbieter, dass dieser nicht in deine Daten schaut (auch nicht automatisiert) oder du akzeptierst diesen Eingriff oder du vertraust dem Anbieter eben nicht, dann musst du eben die Daten vor dem Upload selbst verschlüsseln.

Bzgl. MEGA als Beispiel: https://www.malwarebytes.com/blog/n...nt-decrypt-your-files-but-someones-managed-to
Teile des Problems wurden zwar behoben aber ein potentieller Angreifer muss ja kein externer Dritter sein sondern der Anbieter selbst und damit sind die Voraussetzungen erfüllt damit der Anbieter trotz versprochener E2EE eben doch Zugriff auf die Daten hat.

 

[x.treme]

Genanntes Bitwarden wäre ein Beispiel für E2E mit Webview. Nur dass es eben auf Passwörter und nicht Files ausgelegt ist.

OwnCloud unterstützt es übrigens auch. Scheinbar aber nur in den Business-Lösungen. Hier haben sie es über ein Browser-Plugin gelöst.

Aber Thema kann geschlossen werden

 

[M-X]

In 99% der Fälle wird sowieso ein Client genutzt

Ich denke eine Lösung die 99% aller Fälle abdeckt ist mehr als nur gut.