Wie können Sie selbstverschlüsselnde Laufwerke (SEDs) auf Ihrem QNAP-NAS verwenden?

Dieses Tutorial stellt selbstverschlüsselnde Laufwerke (SEDs) vor und zeigt, wie Sie diese auf Ihrem QNAP-NAS nutzen und verwalten können.

• Selbstverschlüsselnde Laufwerke (SEDs)
• Warum SEDs verwenden?
• SED-Typen
• SED-Speicher erstellen
  • Einen sicheren SED-Speicherpool erstellen
  • Ein sicheres, statisches SED-Volume erstellen
• SED-Verwaltung
  • Aktionen für den SED-Speicherpool und das statische Volume
  • Einen gesperrten SED-Speicherpool oder ein statisches Volume entfernen
  • Einen sicheren SED-Speicherpool auf ein neues NAS migrieren
  • Einen Datenträger mit "SED löschen" löschen
• SED-Status
• Glossar

Selbstverschlüsselnde Laufwerke (SEDs)

Bei einem selbstverschlüsselnden Laufwerk (SED) handelt es sich um ein Laufwerk, bei dem die Verschlüsselungshardware in den Controller des Laufwerks integriert ist. SEDs verschlüsseln automatisch alle Daten, wenn sie auf das Laufwerk geschrieben werden, und entschlüsseln alle Daten, wenn sie vom Laufwerk gelesen werden. Die auf SEDs gespeicherten Daten sind immer vollständig durch einen Datenverschlüsselungsschlüssel verschlüsselt, der auf der Hardware des Laufwerks gespeichert ist und auf den weder das Host-Betriebssystem noch unbefugte Benutzer zugreifen können. Der Verschlüsselungsschlüssel kann auch mit einem benutzerdefinierten Verschlüsselungspasswort verschlüsselt werden, der es ermöglicht, die SED zu ver- und entsperren.

Da die Ver- und Entschlüsselung durch das Laufwerk erfolgt, erfordert der Zugriff auf Daten auf SEDs keine zusätzlichen CPU-Ressourcen des Host-Geräts. Daten auf SEDs werden auch unzugänglich, wenn die SEDs gestohlen werden oder verloren gehen. Aus diesen Gründen werden SEDs weithin für die Speicherung sensibler Informationen bevorzugt.

Sie können SEDs verwenden, um sichere SED-Speicherpools in QTS und QuTS hero und sichere statische SED-Volumes in QTS zu erstellen. Sie können SEDs auch verwenden, um reguläre Speicherpools oder Volumes zu erstellen, aber die Selbstverschlüsselungsfunktion der SEDs würde deaktiviert bleiben.

Warum SEDs verwenden?

Die Sicherheit der Datenspeicherung ist für viele Unternehmen und Organisationen ein äußerst wichtiges Thema, vor allem, wenn sie persönliche Daten wie Kreditkarteninformationen und Ausweisnummern oder Geschäftsgeheimnisse wie Produktentwürfe und geistiges Eigentum speichern.

Wenn es zu einem Datenleck kommt, kann das für das Unternehmen oder die Organisation schwerwiegende Folgen haben. Abgesehen von der Offenlegung sensibler Informationen kann ein Datenleck auch zu Schäden bei Kunden und Clients, zu Umsatzeinbußen und zu rechtlichen Strafen führen.

Da SEDs hardwarebasierte Datenträgerverschlüsselung verwenden, finden sowohl der Verschlüsselungs- als auch der Entschlüsselungsprozess in der Datenträgerhardware statt. Durch diese Trennung vom Host-Betriebssystem ist die Hardware-Verschlüsselung sicherer als die Software-Verschlüsselung. Außerdem erfordert die Hardware-Verschlüsselung im Gegensatz zur Software-Verschlüsselung keine zusätzlichen CPU-Ressourcen. Wenn ein SED physisch gestohlen wird oder verloren geht, ist es praktisch unmöglich, verständliche Informationen aus dem SED zu erhalten.

Aus diesen Gründen sind SEDs häufig eine spezifizierte Datensicherheitsanforderung in Ausschreibungsverfahren für Regierungsbehörden, Gesundheitseinrichtungen sowie Finanz- und Bankdienstleistungen.

SED-Typen

QNAP kategorisiert die SED-Typen nach den von der Trusted Computing Group (TCG) definierten Industriestandardspezifikationen. Die unterstützten SED-Typen sind in der folgenden Tabelle aufgeführt.

Um den SED-Typ eines installierten SEDs zu überprüfen, gehen Sie zu Speicher & Snapshots > Speicher > Datenträger/VJBOD > Datenträger und klicken Sie auf ein SED.

SED-Speicher erstellen

Sie können SEDs verwenden, um sichere SED-Speicherpools in QTS und QuTS hero und sichere statische SED-Volumes in QTS zu erstellen.

Einen sicheren SED-Speicherpool erstellen

1. Öffnen Sie "Speicher & Snapshots".
2. Stellen Sie sicher, dass die SED-Datenträger nicht initialisiert sind.
   1. Wechseln Sie zu Speicher > Datenträger/VJBOD.
   2. Wählen Sie einen SED-Datenträger.
   3. Überprüfen Sie, ob der SED-Status "Nicht initialisiert" lautet.
   4. Wiederholen Sie die oben genannten Schritte für jeden SED-Datenträger.
3. Erstellen Sie einen sicheren SED-Speicherpool.
   Hinweis

   Dieses Thema behandelt nur die Mindestschritte zur Erstellung eines sicheren SED-Speicherpools.
   Vollständige Anweisungen und Konfigurationsdetails finden Sie unter „Einen sicheren SED-Speicherpool erstellen" in einem der folgenden Benutzerhandbücher:

   • QTS-Benutzerhandbuch
   • QuTS hero-Benutzerhandbuch
   1. Wechseln Sie zu Speicher > Speicher/Snapshots.
   2. Klicken Sie auf Erstellen > Neuer Speicherpool.
      Der Assistent zum Erstellen des Speicherpools wird geöffnet.
   3. Klicken Sie auf Weiter.
   4. Optional: Wählen Sie ein Erweiterungsgerät in der Liste Gehäuseeinheit aus.
   5. Wählen Sie Sicheren SED-Speicherpool erstellen.
   6. Wählen Sie einen oder mehrere SED-Datenträger.
   7. Wählen Sie einen RAID-Typen.
   8. Klicken Sie auf Weiter.
   9. Geben Sie das Verschlüsselungspasswort an.
   10. Klicken Sie auf Weiter.
   11. Klicken Sie auf Erstellen.
       Das System erstellt den sicheren SED-Speicherpool.

Ein sicheres, statisches SED-Volume erstellen

1. Öffnen Sie "Speicher & Snapshots".
2. Stellen Sie sicher, dass die SED-Datenträger nicht initialisiert sind.
   1. Wechseln Sie zu Speicher > Datenträger/VJBOD > Datenträger.
   2. Wählen Sie einen SED-Datenträger.
   3. Überprüfen Sie, ob der SED-Status "Nicht initialisiert" lautet.
   4. Wiederholen Sie die oben genannten Schritte für jeden SED-Datenträger.
3. Erstellen Sie ein sicheres, statisches SED-Volume.
   Hinweis

   Dieses Thema behandelt nur die Mindestschritte zur Erstellung eines sicheren statischen SED-Volumes.
   Vollständige Anweisungen und Konfigurationsdetails finden Sie unter „Ein sicheres, statisches SED-Volume erstellen" im QTS-Benutzerhandbuch.
   1. Wechseln Sie zu Speicher > Speicher/Snapshots.
   2. Klicken Sie auf Erstellen > Neues Volume.
      Der Assistent zum Erstellen von Volumes wird geöffnet.
   3. Wählen Sie Statisches Volume.
   4. Klicken Sie auf Weiter.
   5. Optional: Wählen Sie ein Erweiterungsgerät in der Liste Gehäuseeinheit aus.
   6. Wählen Sie Ein sicheres, statisches SED-Volume erstellen.
   7. Wählen Sie einen oder mehrere SED-Datenträger.
   8. Wählen Sie einen RAID-Typen.
   9. Klicken Sie auf Weiter.
   10. Geben Sie das Verschlüsselungspasswort an.
   11. Klicken Sie auf Weiter.
   12. Klicken Sie auf Fertigstellen.
       Das System erstellt das sichere, statische SED-Volume.

SED-Verwaltung

Aktionen für den SED-Speicherpool und das statische Volume

Um die folgenden Aktionen auszuführen, wechseln Sie zu Speicher & Snapshots > Speicher > Speicher/Snapshots, wählen Sie einen SED-Pool oder ein -Volume, klicken Sie auf Verwalten, und wählen Sie dann Aktionen > SED-Einstellungen.

Einen gesperrten SED-Speicherpool oder ein statisches Volume entfernen

1. Wechseln Sie zu Speicher & Snapshots > Speicher > Speicher/Snapshots.
2. Wählen Sie einen gesperrten SED-Speicherpool oder ein statisches Volume.
   Hinweis

   Statische Volumes sind nur in QTS verfügbar.
3. Klicken Sie auf Verwalten, und klicken Sie dann auf Entfernen.
   Das Fenster Assistent zum Entfernen wird geöffnet
4. Wählen Sie eine Option zum Entfernen.

   Option	Beschreibung
   Entsperren und Pool, Daten und den gespeicherten Schlüssel entfernen	Diese Option hebt die Sperrung der SED-Datenträger im Speicherpool oder statischen Volume auf und löscht dann alle Daten. Der Speicherpool oder das statische Volume wird aus dem System entfernt. Sie müssen das Verschlüsselungspasswort eingeben.
   Pool entfernen, ohne ihn zu entsperren	Mit dieser Option wird der Speicherpool oder das statische Volume entfernt, ohne den Datenträger zu entsperren. Die SED-Datenträger können erst wieder verwendet werden, wenn Sie eine der folgenden Aktionen durchführen: Entsperren Sie die Datenträger. Wechseln Sie zu Datenträger/VJBOD, klicken Sie auf Wiederherstellen, und wählen Sie dann Speicherpool verbinden und wiederherstellen. Löschen Sie die Datenträger mit "SED löschen".

5. Klicken Sie auf Übernehmen.

Das System entfernt den gesperrten SED-Speicherpool oder das statische Volume.

Einen sicheren SED-Speicherpool auf ein neues NAS migrieren

Bei der Migration eines Speicherpools auf ein neues NAS gelten die folgenden Anforderungen.

• Auf beiden NAS-Geräten muss QTS oder QuTS hero ausgeführt werden. Die Migration zwischen QTS und QuTS hero ist nicht möglich.
• Die Version von QTS oder QuTS hero, die auf dem neuen NAS läuft, muss die gleiche oder eine neuere Version sein als die Version, die auf dem ursprünglichen NAS läuft.

1. Wechseln Sie auf dem Original-NAS zu Speicher & Snapshots > Speicher > Speicher/Snapshots.
2. Wählen Sie einen sicheren SED-Speicherpool.
3. Klicken Sie auf Verwalten.
   Das Fenster Speicherpoolverwaltung wird geöffnet.
4. Klicken Sie auf Aktion, und wählen Sie dann Pool sicher trennen.
   
   Es wird eine Bestätigungsmeldung angezeigt.
5. Klicken Sie auf Ja.
   Der Status des Speicherpools ändert sich in "Sicheres Trennen...".
   Nachdem das System den Pool getrennt hat, wird er unter "Speicher & Snapshots" nicht mehr angezeigt.
6. Entfernen Sie die Laufwerke, die den Speicherpool enthalten, vom NAS.
7. Installieren Sie die Laufwerke im neuen NAS.
8. Wechseln Sie auf dem neuen NAS zu Speicher & Snapshots > Speicher > Datenträger/VJBOD.
9. Klicken Sie auf Wiederherstellen, und wählen Sie dann Speicherpool verbinden und wiederherstellen.
   Es wird eine Bestätigungsmeldung angezeigt.
10. Geben Sie das Verschlüsselungspasswort ein.
    Sie müssen dieses Passwort eingeben, wenn Sie selbstverschlüsselte Laufwerke (SEDs) mit aktivierter Verschlüsselung verwenden.
11. Klicken Sie auf Verbinden.
    Das System scannt die Datenträger und erkennt den Speicherpool.
12. Klicken Sie auf Übernehmen.
    Der Speicherpool wird auf dem neuen NAS unter "Speicher & Snapshots" angezeigt.

Einen Datenträger mit "SED löschen" löschen

Mit "SED löschen" werden alle Daten auf einem gesperrten oder entsperrten SED-Datenträger gelöscht und das Verschlüsselungspasswort entfernt.

Um SED Erase durchführen zu können, darf der Datenträger nicht vom System verwendet werden oder einem bestimmten Zweck zugewiesen sein (z. B. sollte er sich nicht in einem Speicherpool befinden oder als Ersatzdatenträger konfiguriert sein). Stellen Sie sicher, dass der Datenträger frei ist, bevor Sie "SED löschen" durchführen.

1. Wechseln Sie zu Speicher & Snapshots > Speicher > Datenträger/VJBOD > Datenträger.
2. Wählen Sie einen SED-Datenträger.
3. Klicken Sie auf Aktion, und wählen Sie dann SED löschen.
   Hinweis

   Diese Funktion ist nur verfügbar, wenn der Status des verwendeten Datenträgertyps "Frei" ist. Um diesen Status zu überprüfen, wechseln Sie zu Speicher & Snapshots > Speicher > Datenträger/VJBOD > Datenträger, suchen Sie den Datenträger in der Tabelle und schauen Sie in der Spalte "Verwendeter Typ" nach. Weitere Informationen finden Sie unter "Datenträgerstatus" im QTS-Benutzerhandbuch oder im QuTS hero-Benutzerhandbuch.

   Das Fenster SED löschen wird geöffnet.
4. Geben Sie die Physical Security ID (PSID) des Datenträgers ein.
   Tipp

   Die PSID ist in der Regel auf dem Datenträgeretikett zu finden.
   
   Wenn Sie die PSID nicht finden können, wenden Sie sich an den Hersteller des Datenträgers.
5. Klicken Sie auf Übernehmen.
   Das System löscht alle Daten auf der SED.

SED-Status

Um den Status eines SED anzuzeigen, wechseln Sie zu Speicher & Snapshots > Speicher > Datenträger/VJBOD > Datenträger und klicken Sie auf ein installiertes SED.

Glossar