Je pense que beaucoup pourront énoncer des retours d'expérience différents, mais j'ai pour ma part beaucoup joué avec le Chiffrement de Nextcloud et j'en suis tellement apeuré que je n'ai qu'une hâte c'est d'en sortir définitivement. Note que je ne parle pas ici de chiffrement "end-to-end", mais "server-side encryption".
Pour la petite histoire, je voulais monter une VM entièrement dédiée à une archi Nextcloud pour mon association, et utiliser du stockage s3, le tout chez Scaleway pour optimiser les coûts/performances. J'avais déjà pas mal d'expérience au vu du fait que j'utilisais la bête depuis les débuts d'Owncloud. Bref, après la période de test, le seul malus que je voyais était que l'activation du chiffrement donne un sacré coup aux performances, mais j'ai accepté la perte pour le gain de sécurité des données.
Je monte ça donc proprement, ça marche super, et mis en prod. Bon les retours de lenteur sont réguliers, je grince des dents mais je fais avec.
Vient décembre 2019, j'active un plugin "Versions", qui permet de garder plusieurs versions des fichiers après modification. Janvier 2020, quelques jours plus tard, je m’aperçois d'une catastrophe, je vois mes fichiers dans l'UI, mais impossible de les déchiffrer et donc de les ouvrir, les logs indiquent un problème avec la clef. Bon ça m'inquiète mais je ne panique pas encore, je sais où est stocké la clef, c'est sauvegardé de façon journalière. Première grande surprise, lorsqu'on active le s3 comme stockage principal, la clef n'est pas sauvegardé sur le stockage "système" mais bien avec le s3. Et la, mon sang se glace parce que même si tout le système est sauvegardé, je n'ai STUPIDEMENT pas imaginé un problème de ce genre, et qu'aucune sauvegarde du s3 n'était fait (au vu du format des données je n'avais pas vu l'intérêt).
Je passe les heures de recherches frénétiques sur les issues Github et les essais infructueux, mais le fond du problème est (je pense avec le recul), que le plugin "Version" avait versionné les fichiers correspondant à la clef privée du chiffrement et ça avait tout pété.
Je ne me souviens plus exactement comment, mais j'ai réussi à identifier le fichier côté s3 correspondant à ma clef qui avait été versionné, et à le restaurer avec son nom d'origine, et ça marche à nouveau.
J'ai immédiatement tout déchiffré et ne l'ai plus jamais réactivé.
Malheureusement l'histoire ne s'arrête pas la, plusieurs mois après j'ai identifié des fichiers reliquats qui n'avait pas été déchiffré (ou mal déchiffré?, chelou), une bonne cinquantaine, et malgré pas mal d'essais, je n'ai jamais réussi à les récupérer côté Nextcloud. HEUREUSEMENT j'avais presque tout synchronisé avec Nextcloud Desktop, et au final, seul une poignée d'images ont étés perdues...
Bref, même si tout tourne encore, je n'ai qu'une hâte, c'est de tout rapatrier chez moi, de tout remonter ça au propre et de gérer le chiffrement autrement, car vraiment le chiffrement de Nextcloud c'est PLUS JAMAIS.
P.S. : Il y a énormément d'issues liées au chiffrement sur le Github de Nextcloud (et d'autres liés), je recommande vivement de les lire si vous souhaitez vous y aventurer...
# Nextcloud + Chiffrement, attention...
Posté par nox . En réponse au message Coffre fort numérique, entreposer ses documents en toute sécurité. Évalué à 7. Dernière modification le 17 octobre 2021 à 10:18.
Je pense que beaucoup pourront énoncer des retours d'expérience différents, mais j'ai pour ma part beaucoup joué avec le Chiffrement de Nextcloud et j'en suis tellement apeuré que je n'ai qu'une hâte c'est d'en sortir définitivement. Note que je ne parle pas ici de chiffrement "end-to-end", mais "server-side encryption".
Pour la petite histoire, je voulais monter une VM entièrement dédiée à une archi Nextcloud pour mon association, et utiliser du stockage s3, le tout chez Scaleway pour optimiser les coûts/performances. J'avais déjà pas mal d'expérience au vu du fait que j'utilisais la bête depuis les débuts d'Owncloud. Bref, après la période de test, le seul malus que je voyais était que l'activation du chiffrement donne un sacré coup aux performances, mais j'ai accepté la perte pour le gain de sécurité des données.
Je monte ça donc proprement, ça marche super, et mis en prod. Bon les retours de lenteur sont réguliers, je grince des dents mais je fais avec.
Vient décembre 2019, j'active un plugin "Versions", qui permet de garder plusieurs versions des fichiers après modification. Janvier 2020, quelques jours plus tard, je m’aperçois d'une catastrophe, je vois mes fichiers dans l'UI, mais impossible de les déchiffrer et donc de les ouvrir, les logs indiquent un problème avec la clef. Bon ça m'inquiète mais je ne panique pas encore, je sais où est stocké la clef, c'est sauvegardé de façon journalière. Première grande surprise, lorsqu'on active le s3 comme stockage principal, la clef n'est pas sauvegardé sur le stockage "système" mais bien avec le s3. Et la, mon sang se glace parce que même si tout le système est sauvegardé, je n'ai STUPIDEMENT pas imaginé un problème de ce genre, et qu'aucune sauvegarde du s3 n'était fait (au vu du format des données je n'avais pas vu l'intérêt).
Je passe les heures de recherches frénétiques sur les issues Github et les essais infructueux, mais le fond du problème est (je pense avec le recul), que le plugin "Version" avait versionné les fichiers correspondant à la clef privée du chiffrement et ça avait tout pété.
Je ne me souviens plus exactement comment, mais j'ai réussi à identifier le fichier côté s3 correspondant à ma clef qui avait été versionné, et à le restaurer avec son nom d'origine, et ça marche à nouveau.
J'ai immédiatement tout déchiffré et ne l'ai plus jamais réactivé.
Malheureusement l'histoire ne s'arrête pas la, plusieurs mois après j'ai identifié des fichiers reliquats qui n'avait pas été déchiffré (ou mal déchiffré?, chelou), une bonne cinquantaine, et malgré pas mal d'essais, je n'ai jamais réussi à les récupérer côté Nextcloud. HEUREUSEMENT j'avais presque tout synchronisé avec Nextcloud Desktop, et au final, seul une poignée d'images ont étés perdues...
Bref, même si tout tourne encore, je n'ai qu'une hâte, c'est de tout rapatrier chez moi, de tout remonter ça au propre et de gérer le chiffrement autrement, car vraiment le chiffrement de Nextcloud c'est PLUS JAMAIS.
P.S. : Il y a énormément d'issues liées au chiffrement sur le Github de Nextcloud (et d'autres liés), je recommande vivement de les lire si vous souhaitez vous y aventurer...