Linux-Magazin Ausgewogen (Vorschau)

Titelthema
www.linux-magazin.de Duplicity 08/2013
42
Verschlüsselte Cloudbackups mit Duplicity
Datensafe
Wer wertvolle Daten archiviert oder sichert, sollte sich eine Strategie zurechtlegen, die auch deren
Sicherheit berücksichtigt. Die Backupsoftware Duplicity erlaubt das Archivieren verschlüsselter Daten
auf unsicherem Terrain. Kristian Kißling
wie Duply, Backupninja und Dupinanny,
die den Umgang mit Duplicity vereinfachen
wollen [2].
Schlüsselfertig
© Maksim Kabakou, 123RF.com
Duplicity ist das Kommandozeilentool
der Wahl, wenn es darum geht, Backups
in potenziell unsicheren Umgebungen
abzulegen, denn es verschlüsselt Daten
standardmäßig. Chiffriert dürfen Backups
zur Not auch Dritten in die Hände fallen
und sie lassen sich sowohl auf FTP- und
SSH-Servern als auch in den Cloudspeicher
von Amazon (S3) oder Ubuntu (U1)
lagern. Das bringt nicht nur zusätzlich
Redundanz ins Backup, sondern macht
es zugleich weltweit verfügbar.
Duplicity erzeugt nach dem ersten Start
ein vollständiges Backup und speichert
spätere Veränderungen inkrementell in
Form so genannter Volumes. Platzsparende
Hardlinks verweisen dann auf jene
Dateien, die bereits im Vollbackup stecken,
während die inkrementellen Backups
nur noch aus den veränderten Daten
(Deltas) bestehen.
Im Prinzip genügt es also, ein Vollbackup
zu erstellen und von da an alle Änderungen
nur noch inkrementell zu sichern.
Doch davor warnen die Duplicity-Entwickler:
Nicht nur kann ein Fehler in
einem inkrementellen Teil womöglich die
komplette Sicherung ruinieren [1], sondern
das Wiederherstellen von Dateien
nimmt auch recht viel Zeit in Anspruch,
wenn sich die Software durch alle inkrementellen
Backups wühlt.
Für erklärte Mausschubser gibt es mit
Déjà Dup übrigens eine grafische Oberfläche
für Duplicity, die sich sehr einfach
bedienen lässt und viele wesentliche
Funktionen abbildet. Sie ist Teil von
Gnome, steckt zum Beispiel in Distributionen
wie Ubuntu und Fedora, lässt
sich aber auf Systemen ohne grafische
Oberfläche nicht einsetzen. Daneben gibt
es noch zahlreiche Kommandozeilentools
Verfügt der Admin noch nicht über einen
eigenen GPG-Schlüssel oder möchte er
für die Sicherung einen eigenen anlegen,
erzeugt er ihn über »gpg ‐‐gen‐key«
(Abbildung 1). Im Kommentar hinterlässt
er – falls gewünscht – den Zweck des
Schlüssels, die Passphrase benötigt er
später beim Anlegen und Entschlüsseln
eines chiffrierten Backups. Wer will, kann
seine Archive zusätzlich signieren und
dazu über »gpg ‐‐sign‐key Schlüssel‐ID«
eine digitale Signatur erstellen.
Die Passphrase schützt den Schlüssel,
falls er in fremde Hände gerät. Ihn sollte
der Admin ohnehin gut sichern, sonst
kommt er später nicht mehr an seine
Daten. Mitunter hilft es, den öffentlichen
und den geheimen Schlüssel auf einem
externen Medium zu sichern, etwa einem
USB-Stick. Die Befehle »gpg ‐k« beziehungsweise
»gpg ‐K« zeigen den öffentlichen
respektive geheimen Key an. Über
$ gpg ‐‐output /media/user/USB‐Stick/backupU
key_pub.gpg ‐‐armor ‐‐export Schlüssel‐ID
$ gpg ‐‐output /media/user/USB‐Stick/backupU
key_sec.gpg ‐‐armor ‐‐export‐secret‐keys U
Schlüssel‐ID
lassen sich die beiden Schlüssel exportieren.
Über »gpg ‐‐import« spielt der
Schlüsselmeister die Keys auf einem anderen
System wieder ein.
Vier Ziele
Das Skript aus Listing 2 erzeugt nun verschlüsselte
Backups aller Homeverzeichnisse
für vier verschiedene Ziele: ein lo-