{"id":6885,"date":"2020-08-28T18:04:45","date_gmt":"2020-08-28T16:04:45","guid":{"rendered":"https:\/\/u-labs.de\/portal\/?p=6885"},"modified":"2023-01-22T22:03:15","modified_gmt":"2023-01-22T20:03:15","slug":"dateien-sicher-verschluesselt-per-kommandozeile-zu-onedrive-und-40-anderen-cloud-anbietern-hochladen-mit-rclone","status":"publish","type":"post","link":"https:\/\/u-labs.de\/portal\/dateien-sicher-verschluesselt-per-kommandozeile-zu-onedrive-und-40-anderen-cloud-anbietern-hochladen-mit-rclone\/","title":{"rendered":"Dateien sicher verschl\u00fcsselt per Kommandozeile zu OneDrive und 40 anderen Cloud-Anbietern hochladen mit RClone"},"content":{"rendered":"

Die \u00f6ffentlichen Cloud-Anbieter bieten keine wirksame Ende-zu-Ende-Verschl\u00fcsselung zum Schutze der Daten an. Sowohl Microsoft als auch Google, Amazon nehmen sich dort nicht viel. Bestenfalls wird eine serverseitige Verschl\u00fcsselung angeboten. Diese verbessert die Sicherheit jedoch kaum, da der Anbieter hierf\u00fcr den Schl\u00fcssel selbst erstellt und aufbewahrt. F\u00fcr die Verschl\u00fcsselung gibt es quelloffene Tools wie Cryptomator, die hier Abhilfe schaffen und die Daten wirksam sch\u00fctzen.<\/p>\n

M\u00f6chte man dies auf einem freien Betriebssystem wie Linux durchf\u00fchren und dazu noch automatisieren, steht man jedoch vor weiteren Problemen: Einige Anbieter besitzen keine offiziellen Linux-Clients. Noch weniger davon CLI-Werkzeuge. Gerade zur automatischen Sicherung sind solche \u00f6ffentlichen Cloud-Anbieter in Kombination mit einer wirksamen Verschl\u00fcsselung interessant.<\/p>\n

Abhilfe schafft hier RClone: Das quelloffene Kommandozeilenwerkzeug unterst\u00fctzt \u00fcber 40 verschiedene Cloud-Anbieter. Neben dem synchronisieren, hoch- und runterladen unterst\u00fctzt es eine Reihe von Funktionen. Beispielsweise kann es die Daten automatisch verschl\u00fcsseln, damit sie nicht ungesch\u00fctzt im Cloudspeicher liegen.<\/p>\n

Installation unter Linux<\/h2>\n

Das Projekt wurde in Go entwickelt und kommt daher mit Abh\u00e4ngigkeiten geb\u00fcndelt als einzelne Binary daher. Die version.txt<\/strong> Datei gibt die jeweils aktuellste stabile Version in f\u00fcr Maschinen optimierter Aufbereitung aus, wodurch sich die Installation einfach automatisieren l\u00e4sst:<\/p>\n

rcloneVersion=$(curl -s 'https:\/\/downloads.rclone.org\/version.txt' | awk '{print $2}')\nwget "https:\/\/downloads.rclone.org\/$rcloneVersion\/rclone-$rcloneVersion-linux-386.zip" -O rclone.zip\nunzip -j rclone.zip<\/code><\/pre>\n
386<\/strong> hinten vor der .zip Dateiendung ist die Architektur. Alternativ kann amd64<\/strong> f\u00fcr die x86-64 Bit Architektur angegeben werden. Oder f\u00fcr die Raspberry Pi Nutzer arm64<\/strong> bzw arm-v7<\/strong>. Wer sich unsicher ist, findet die eingesetzte Architektur mit uname -m<\/strong> heraus – aarch64<\/strong> steht dabei f\u00fcr die 64 Bit ARM Version, d.H. in diesem Falle w\u00e4re 386<\/strong> durch arm64<\/strong> zu ersetzen.<\/p>\n
Im aktuellen Ordner hat man nun eine Binary namens rclone<\/strong>: <\/p>\n
$ .\/rclone --version\nrclone v1.52.2\n- os\/arch: linux\/386\n- go version: go1.14.4<\/code><\/pre>\n
Zur globalen Nutzung l\u00e4sst sich die Binary nach \/usr\/local\/bin<\/strong> kopieren. Ein Verweis auf den Ordner, in dem diese heruntergeladen wurde, ist dann nicht mehr n\u00f6tig.<\/p>\n
$ sudo cp rclone \/usr\/local\/bin\/<\/code><\/pre>\n
Verbindung zu Cloudanbieter herstellen<\/h2>\n
Zun\u00e4chst muss man eine Verbindung mit dem eigenen Konto beim gew\u00fcnschten Anbieter herstellen. Die gesamte Konfiguration findet sich in einem interaktiven Men\u00fc, welches via rclone config<\/strong> aufgerufen werden kann. Oben werden die bereits eingerichteten Dienste angezeigt, sofern vorhanden. Um einen neuen Dienst einzurichten, auf n<\/strong> f\u00fcr new remote<\/strong> tippen.<\/p>\n
Der Assistent f\u00fchrt einen Schritt f\u00fcr Schritt durch die Einrichtung und fragt zun\u00e4chst nach einem Namen. Dieser Name wird sp\u00e4ter als Ziel bei allen Operationen angegeben, die ihn betreffen. Er ist frei w\u00e4hlbar. <\/p>\n
Nach dem Best\u00e4tigen mit Enter erscheint eine Liste aller unterst\u00fctzten Clouddienste. Hier wird sowohl die <\/strong>jeweilige Nummer, als auch der klein geschriebene Bezeichner akzeptiert. F\u00fcr Microsoft OneDrive kann also wahlweise 31<\/strong> oder onedrive<\/strong> eingegeben werden.<\/p>\n
Nun die Frage nach client_id<\/strong> und client_secret<\/strong> jeweils mit Enter best\u00e4tigen. Sie sind nur notwendig, wenn die Anwendungsverk\u00fcpfung h\u00e4ndisch eingerichtet wird. Sofern die Web-Oberfl\u00e4che des Anbieters am Ger\u00e4t aufgerufen werden kann, ist der Assistent einfacher. Dieser richtet die Verkn\u00fcpfung ein und holt sich das daf\u00fcr notwendige Token automatisch. Mittlerweile (2023) l\u00e4sst sich noch die Region festlegen. Hier kann bei privaten Instanzen der Standard (= Enter) \u00fcbernommen werden.<\/p>\n
Die Frage nach der erweiterten Konfiguration l\u00e4sst sich in der Regel mit n<\/strong> f\u00fcr no<\/strong> beantworten. Bei auto config<\/strong> ist yes<\/strong> zu empfehlen – es sei denn, man kennt sich mit der Software bereits aus und m\u00f6chte diese tiefergehend anpassen. Inzwischen erfolgt noch eine weitere Frage, wie man sich authentifizieren m\u00f6chte: Mit Y<\/strong> wird ein Webbrowser direkt auf dem Ger\u00e4t ge\u00f6ffnet, um sich per OAuth anzumelden. Dies funktioniert auf Desktop-Ger\u00e4ten, doch wer z.B. per SSH auf einem Server verbunden ist, w\u00e4hlt hier N<\/strong>. Im Falle von N braucht ihr ein zweites Ger\u00e4t mit grafischer Oberfl\u00e4che, auf der ihr rclone authorize „onedrive“<\/strong> ausf\u00fchrt, wobei onedrive<\/strong> ggf. durch den internen Name eures Cloudanbieters ersetzt werden muss. <\/p>\n
Im Anschluss startet Rclone einen lokalen Webserver und \u00f6ffnet den bereitgestellten Link im Standardbrowser. Dort muss man sich lediglich bei OneDrive anmelden und der Anwendung die Berechtigungen zum Dateizugriff geben. Hat alles geklappt, erscheint Success<\/strong> im Browser:<\/p>\n
\"\"<\/figure>\n
Schlussendlich m\u00f6chte Rclone noch den Verbindungstyp wissen. Hintergrund ist, dass andere Microsoft-Dienste wie z.B. Sharepoint ebenfalls genutzt werden k\u00f6nnen. Sofern ihr dies nicht m\u00f6chtet, ist der Standard onedrive<\/strong> f\u00fcr die Standard (personal) bzw. Business-Pakete die richtige Wahl. Man kann hier auch mehrere „Drives“ anlegen, aus denen ausgew\u00e4hlt wird.<\/p>\n
Nun ist die Verbindung eingerichtet. Rclone muss lediglich noch wissen, ob es sich um OneDrive oder SharePoint handelt und welches Laufwerk genutzt werden soll. Standardm\u00e4\u00dfig gibt es nur eines (0), m\u00f6glicherweise gibt es weitere durch Freigaben.<\/p>\n
Nach zweimaligem Best\u00e4tigen erscheint wieder das Willkommensmen\u00fc, in dem die gew\u00fcnschte Aktion angegeben werden kann. Hier sollte oben nun der soeben hinzugef\u00fcgte Clouddienst erscheinen. Dies l\u00e4sst sich mit q<\/strong> schlie\u00dfen.<\/p>\n
Ende-zu-Ende-Verschl\u00fcsselung einrichten<\/h2>\n
Standardm\u00e4\u00dfig werden die Daten jedoch direkt auf den Server geladen und sind somit ungesch\u00fctzt. Gerade bei \u00f6ffentlichen Drittanbieter-Clouddiensten wie Microsoft, Amazon und Google ist daher dringend zu empfehlen, diese Daten durch Ende-zu-Ende-Verschl\u00fcsselung wirksam zu sch\u00fctzen. So hat nur der Besitzer Zugriff auf diese Daten.<\/p>\n
Rclone setzt die Verschl\u00fcsselung \u00fcber einen Pseudo-Cloudanbieter namens crypt<\/strong> um. Diesen m\u00fcssen wir zun\u00e4chst einrichten und mit dem ungesch\u00fctzten Cloudkonto verbinden, welches im vorherigen Schritt eingerichtet wurde. <\/p>\n
Dazu starten wir das Konfigurationsmen\u00fc mit rclone config<\/strong>, w\u00e4hlen n) new remote<\/strong> und legen einen Namen fest. Sinnvoll w\u00e4re es, den Name aus dem vorherigen Schritt zu nutzen und -crypted<\/strong>, -verschluesselt<\/strong> oder eine andere Kennzeichnung hinzuzuf\u00fcgen, sodass klar ist, welche Verbindung gesch\u00fctzt ist und welche nicht. Im vorherigen Schritt habe ich meine ungesch\u00fctzte Verbindung onedrive-wd<\/strong> benannt. Hier gebe ich onedrive-wd-crypted<\/strong> an. Dies ist nur eine Empfehlung zur besseren \u00dcbersicht, man kann grunds\u00e4tzlich die Bezeichnung frei w\u00e4hlen.<\/p>\n
Wichtig ist nun, im Folgenden Schritt des Anbieters nicht<\/strong> den Cloudanbieter wie OneDrive auszuw\u00e4hlen! Sonst erstellt man nur ein weiteres ungesch\u00fctztes Konto. Hier wird immer crypt<\/strong> angegeben, egal welcher Cloudanbieter im Hintergrund steckt. Auch wer z.B. Amazon nutzen m\u00f6chte, muss hier crypt<\/strong> eingeben.<\/p>\n
Die Verkn\u00fcpfung zum bereits eingerichteten Cloudanbieter geschieht erst im n\u00e4chsten Schritt. Wir werden aufgefordert, dessen Bezeichnung (hier onedrive-wd<\/strong>) sowie den Zielordner anzugeben. Jeder Upload wird in den angegebenen Zielordner des Cloudspeichers abgelegt. Name und Ordnerpfad sind mit einem Doppelpunkt getrennt. onedrive-wd:\/crypted<\/strong> definiert also, alles zum eingerichteten Cloudanbieter namens onedrive-wd<\/strong> in den Ordner crypted<\/strong> hochzuladen.<\/p>\n
Nach der Festlegung des Backends fragt uns Rclone noch, wie stark wir die Dateien und Ordner sch\u00fctzen m\u00f6chten. Hier ist die h\u00f6chste Stufe zu empfehlen, also obfuscate<\/strong> und im n\u00e4chsten Schritt true<\/strong> zum Schutz der Ordnernamen. Auch Metadaten sind nicht ungef\u00e4hrlich und k\u00f6nnen viele Informationen enthalten. Ein Paradebeispiel ist Dateinamen wie Brief_Ehemann_Schwangerschaftsabbruch<\/em>.<\/p>\n
Es folgt die Eingabe des Passwortes zur Verschl\u00fcsselung. Hier am besten y<\/strong> dr\u00fccken um selbst ein Passwort festzulegen, das man sich im optimalsten Falle anhand einer zuf\u00e4lligen Zeichenkette via Passwortsafe generiert. Anschlie\u00dfend dieses Passwort eingeben und einmal best\u00e4tigen.<\/p>\n
Im Anschluss bietet Rclone noch eine Passphrase zum Schutze des Kennwortes an. Diese ist optional, wird aber aus Sicherheitsgr\u00fcnden empfohlen. Ich w\u00fcrde daher eben so verfahren wie beim obigen Passwort.<\/p>\n
Damit sind alle erforderlichen Angaben vorliegend. Die Zusammenfassung kann gepr\u00fcft und mit Enter best\u00e4tigt werden.<\/p>\n
Dateien verschl\u00fcsselt hochladen<\/h2>\n
Nun k\u00f6nnen wir unsere Daten gesch\u00fctzt hochladen. <\/p>\n
$ rclone --progress copy ~\/Downloads\/balena-etcher-electron-1.5.70-linux-x64.zip onedrive-wd-crypted:<\/code><\/pre>\n
Dieser Befehl l\u00e4dt beispielhaft eine Installationsdatei von Etcher in unser soeben eingerichtetes verschl\u00fcsseltes Konto onedrive-wd-crypted.<\/strong> Der Doppelpunkt am Ende ist kein Tippfehler. Auch beim hochladen wird danach das Zielverzeichnis angegeben. Mit onedrive-wd-crypted:test<\/strong> w\u00fcrde die Datei in einem Unterordner namens test<\/strong> landen. Der Doppelpunkt alleine l\u00e4dt sie in das Wurzelverzeichnis ohne Unterordner.<\/p>\n
Der Schalter –progress<\/strong> ist nicht zwingend n\u00f6tig. Ich finde ihn sinnvoll, da er einen Fortschrittsbalken sowie weitere Infos wie z.B. die \u00dcbertragungsrate anzeigt. Standardm\u00e4\u00dfig erscheint ansonsten keinerlei Ausgabe \u00fcber den Stand, bis das Hochladen abgeschlossen ist.<\/p>\n
\u00d6ffnen wir nun den im ersten Schritt eingerichteten Clouddienst (etwa \u00fcber dessen Weboberfl\u00e4che), sind keinerlei Infos \u00fcber die hochgeladene Datei sichtbar. Sowohl Inhalt als auch Dateiname wurden verschl\u00fcsselt. <\/p>\n
\"\"<\/figure>\n
Weder der Cloudanbieter noch andere Dritte (z.B. Angreifer) wissen, worum es sich handelt. Die einzigen anfallenden Metadaten sind Dateigr\u00f6\u00dfe und Hochladezeitpunkt. Damit hat man diese auf ein Minimum reduziert, wie es ohne gravierende Nachteile m\u00f6glich ist.<\/p>\n
Dateien und Ordner auflisten<\/h2>\n
Da Rclone den Schl\u00fcssel lokal auf unserem Ger\u00e4t besitzt, k\u00f6nnen wir von dort auch die Metadaten sehen. Beispielsweise, welche Ordner und Dateien sich in unserer gesch\u00fctzten Cloud befinden. Daf\u00fcr kommt der Befehl ls<\/strong> zum Einsatz, der alle Dateien auflistet. M\u00f6chten wir nur die Ordner sehen, kann lsd<\/strong> verwendet werden.<\/p>\n
$ rclone ls onedrive-wd-crypted:\n 94712145 balena-etcher-electron-1.5.70-linux-x64.zip<\/code><\/pre>\n
Grafische Web-Oberfl\u00e4che<\/h2>\n
Alternativ bietet Rclone auch eine grafische Web-Oberfl\u00e4che an. Diese befindet sich aktuell noch im experimentellen Stadium und kann \u00fcber den Schalter –rc-web-gui<\/strong> gestartet werden. Da ab den zweiten Start noch keine automatische Anmeldung beim \u00d6ffnen des Browsers erfolgt, empfehle ich den Start mit -v<\/strong> um das zuf\u00e4llig generierte Passwort anzuzeigen. Alternativ kann man auch mit –rc-user und –rc-pass die gew\u00fcnschten Zugangsdaten setzen<\/p>\n
$ .\/rclone rcd --rc-web-gui -v<\/code><\/pre>\n
$ .\/rclone rcd --rc-web-gui --rc-user gui --rc-pass GuiTest<\/code><\/pre>\n
Daraufhin sollte sich der Browser \u00f6ffnen. Gerade im Dashboard zeigt sich das fr\u00fche Stadium, so funktioniert beispielsweise die Statistiken wie Geschwindigkeit oder \u00fcbertragene Dateien in meinen Tests mit v1.52.2 nicht. Auch das Hochladen von Dateien via Web endete mit einer Fehlermeldung. Hier wird es in Zukunft sicher noch Verbesserungen geben.<\/p>\n
\"\"<\/figure>\n
Nichts desto trotz bietet die Weboberfl\u00e4che bereits jetzt einen bequemen Zugang zur Konfiguration. \u00dcber den Explorer l\u00e4sst sich der Cloudinhalt anzeigen und ggf. herunterladen – besonders in Kombination mit der Verschl\u00fcsselung sehr praktisch. Metainfos wie z.B. die entfernte Speichernutzung sind ebenfalls zu sehen.<\/p>\n
\n
\"\"<\/figure>\n<\/div>\n
Wenn der Feinschliff mit den noch nicht fehlerfreien Funktionen abgeschlossen ist, bietet sich die Webschnittstelle f\u00fcr einen schnellen \u00dcberblick an.<\/p>\n","protected":false},"excerpt":{"rendered":"
Die \u00f6ffentlichen Cloud-Anbieter bieten keine wirksame Ende-zu-Ende-Verschl\u00fcsselung zum Schutze der Daten an. Sowohl Microsoft als auch Google, Amazon nehmen sich dort nicht viel. Bestenfalls wird eine serverseitige Verschl\u00fcsselung angeboten. Diese verbessert die Sicherheit jedoch kaum, da der Anbieter hierf\u00fcr den Schl\u00fcssel selbst erstellt und aufbewahrt. F\u00fcr die Verschl\u00fcsselung gibt es quelloffene Tools wie Cryptomator, die …<\/p>\n","protected":false},"author":5,"featured_media":6893,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[78],"tags":[488,142,828,438],"class_list":["post-6885","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-software","tag-cloud","tag-datenschutz","tag-rclone","tag-verschluesselung"],"_links":{"self":[{"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/posts\/6885","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/comments?post=6885"}],"version-history":[{"count":9,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/posts\/6885\/revisions"}],"predecessor-version":[{"id":10169,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/posts\/6885\/revisions\/10169"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/media\/6893"}],"wp:attachment":[{"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/media?parent=6885"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/categories?post=6885"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/tags?post=6885"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}