Sicherheitsaspekte

Sicherheit ist mir sehr wichtig, und Transparenz Ã¼ber Sicherheit ist ein wesentlicher Aspekt der ProduktqualitÃ¤t. Wesentliche Sicherheitsaspekte sind Anmeldung, Berechtigungen, und die VerschlÃ¼sselung sowohl der gespeicherten als auch der Ã¼bers Netzwerk Ã¼bertragenen Daten.

Anmeldung

Um eine Datensicherung oder eine Wiederherstellung durchzufÃ¼hren muss sich der Benutzer beim Lindenberg Software Backup Server mit einem gÃ¼ltigen Benutzer und Kennwort anmelden. Der Benutzer muss nicht (darf aber) Mitglieder der Gruppe "Benutzer" sein und sich damit lokal anmelden kÃ¶nnen. Es kÃ¶nnen lokale Benutzer(konten), Microsoft Konten, und Benutzer eines Active Directories (auch Domainbenutzer genannt) verwendet werden. Bei Domainbenutzern kann statt des Benutzernamens auch die im Directory gespeicherte Emailadresse zur Anmeldung benutzt werden.
Der Backupklient speichert Benutzernamen und Kennwort in der Registrierungsdatenbank unter Verwendung des Windows Data Protection APIs. Bitte beachten Sie die Informationen von Microsoft hinsichtlich der Sicherheit von KennwÃ¶rtern gespeichert mit CRYPTPROTECT_LOCAL_MACHINE. Auf dem Server verwendet Lindenberg Software Backup das Windows-Betriebssystem zur Administration von Benutzern und KennwÃ¶rtern.

Berechtigungen

Um Lindenberg Software Backup zu verwenden muss der Benutzer Leseberechtigung auf dem Backup-Verzeichnis haben, sowie Lese- und Schreibberechtigung auf den Backupdateien des Benutzers haben. Lindenberg Software Backup erleichtert das dadurch, dass es fÃ¼r jeden Benutzer einen eigenes Verzeichnis anlegt und die Berechtigungen entsprechend zuweist (und natÃ¼rlich auch fÃ¼r SYSTEM und die Gruppe Administratoren). Andere Benutzer haben nur dann Zugriff, wenn Sie entsprechende Berechtigungen zuweisen. Der Backupserver impersoniert den angemeldeten Benutzer, d.h. Zugriffe auf Backupdaten Ã¼ber den Backupserver werden genau so vom Betriebssystem geprÃ¼ft, wie Zugriffe Ã¼ber den Explorer lokal oder Ã¼ber das Netzwerk.

Lindenberg Software Backup stellt die Backupdaten mittels Server Messsage Block als Dateifreigabe nur zum Lesen bereit. Schreibzugriff wird bei dieser Dateifreigabe nicht gewÃ¤hrt, um Zugriffe von Ransomware zu verhindern. Die Dateifreigabe wird automatisch so konfiguriert, dass nur Verzeichnisse und Dateien angezeigt werden, auf die der Benutzer Zugriffsrechte hat.

Beim Starten einer virtuellen Maschine wird dem Benutzer - nach PrÃ¼fung der Zugriffsberechtigung wie oben beschrieben - die "VM Connect Authorization" zugewiesen. Hyper-V Administrator oder Remote Management Rollen werden nicht zugewiesen und sind fÃ¼r den Zugriff auf eine virtuelle Maschine auch nicht erforderlich (allerdings vermischt Microsofts Standardanwendung VMConnect die Administrationsaspekte mit dem Zugriff und kann daher nur von Aministratoren verwendet werden - andere Anwendungen benÃ¶tigen keine Managementrollen).

Zusammenfassung: Benutzer kÃ¶nnen nur auf Backupdaten, Verzeichnisse, oder virtuelle Maschinen zugreifen, fÃ¼r die sie berechtigt sind.

Auditing

Lindenberg Software Backup server tracks backup activities including mounting a backup or virtual machines in an event log at navigation path Application and Services Logs / Lindenberg_Software / Backup / Server / Admin, that can be viewed with event viewer. Note that this feature requires .NET framework 4.6.2 or newer.

Encryption of communication

Lindenberg Software Backup supports https to protect your data and credentials during communication. In order to ensure data and credentials are sent to the correct server you need to use proper server certificates. For encryption Lindenberg Software Backup relies on Windows and .NET, but allows only Transport Layer Security (TLS) versions 1.0, 1.1, and 1.2. If you want to receive an A grade from SSL Labs then you need to disable the RC4 cipher as described at http://windowsitpro.com/windows/disabling-rc4-cipher or https://samrueby.com/2015/06/08/how-to-disable-sslv3-and-rc4-ciphers-in-iis/.

Lindenberg Software Backup exposes the backup images as a network share read only for the "Mount" feature to work. The share is configured to require encryption and thus requires Server Message Block 3.0.

While both Remote Desktop Protocol - used for connecting to virtual machines with the "Start VM" feature - and Server Message Block, the protocol used for windows file sharing and used with the "Mount" feature, support encryption, and as documented above, the share exposed by Backup enforces encryption, use is recommended only within local area network or using virtual private network connections. You should never open any of the involved ports in your router connecting you to the internet. If you want to allow access to share or virtual machines via the internet, Lindenberg Software Backup can automatically establish a virtual network connection.

Encryption of disks

Lindenberg Software Backup does not support client-side encryption, sometimes also called end-to-end encryption, nor does it encrypt the data stored on disks on its own.

I definitely recommend to use full disk encryption for both the client and the server, e.g. Bitlocker or Veracrypt. All my Windows systems (except virtual machines where the host is encrypted) are encrypted using Bitlocker. You have to be aware that when doing a backup, the data is decrypted. In fact I experimented with doing backups of the encrypted partitions, however due to the stacking of drivers and Volume Shadow Service in Windows, it is impossible to do a consistent but encrypted backup of a mounted volume (and usually you want to work with your data, don´t you). With that said, it is obvious that you have to encrypt the data in communications (see above) and that you should encrypt the target volume as well. Btw., an advantage of the fact that Lindenberg Software Backup processes unencrypted data is that it can compress data during communication, which usually does not work with encrypted data, that there is the option to deduplicate data on the backend storage (untested so far), and that Lindenberg Software Backup can start a virtual system out of the backup.

Warning: you must deposit your encryption keys in a safe place and you need to do regular backups of any encrypted data.

In case a backup user does not want the administrator of the backup server to be able to access some of the files, you can use the following mechanisms to implement client-side encryption:

Encrypting File System (EFS) to encrypt files in selected directories. Without knowledge of the user´s password, nobody can access file contents protected by EFS. Note that metadata like file names is not encrypted by Encrypting File System (EFS).
encrypted containers like
- virtual hard disks stored on your disk that you encrypt using Bitlocker. A task scheduled to run at login can be used to mount and unlock the disk.
- VeraCrypt virtual encrypted disk (also called file-hosted volumes) can be used and Veracrypts Backgroundtask supports the auto-mount feature in order to ease access for the legitimate user.
Note that in both cases you can use a password or a key that is protected with EFS.

You may wonder why Lindenberg Software Backup does not provide end-to-end-encryption, do you? There are two important reasons to it:

With end-to-end-encryption, virtualization is not possible and thus the most interesting capabilities of Lindenberg Software Backup are just not possible.
Encryption is damn difficult to get right. For the curious please check out Schneier´s law and the interesting discussions around about solutions. Thus I prefer to recommend proven solutions over implementing encryption on my own.