De server die voor jullie is gemaakt in de Vrije Cloud is op verschillende manieren beveiligd. Maar het kan ook anders. Hieronder volgt een verantwoording, en suggesties om de beveiliging te versterken afhankelijk van je behoeften.

Wie heeft toegang tot de data op jouw server?
Allereerst natuurlijk jijzelf met jouw inloggegevens. Maar in theorie kunnen anderen er ook bij. Hieronder volgt een lijstje:

Medewerkers van Post-X Society. Wij hebben volledige toegang tot de servers, om onderhoud uit te kunnen voeren
Medewerkers van Hetzner. Zij hebben naast digitale ook fysieke toegang tot de servers
Hackers die jouw wachtwoord en authenticator code ontfutselen. Eenmaal binnen op de server zien ze alles
Overheid, die een gerechtelijk bevel hebben om jouw gegevens in te zien

Hoe kun je dit voorkomen?
Er zijn volgens mij drie opties:

Stel LUKS encryptie in

Met LUKS encryptie staat al jouw data versleuteld in de cloud. Dit neemt bijna alle bovenstaande risico’s weg. Nadeel is je nog een sleutel ergens moet opslaan. Iemand met het root wachtwoord kan alsnog bij de data (Hetzner en Vrije Cloud medewerkers kunnen het root wachtwoord resetten). Als je dit graag wilt, zetten we het voor je aan, maar het beschermt je data alleen in het geval de harde schijf wordt gestolen uit het data centrum van Hetzner. De kans daarop is erg klein.

Gebruik NextCloud End 2 End Encryptie

Dit neemt alle bovenstaande risico’s weg. Niemand kan de sleutel resetten. Nadeel is wederom dat je nog een sleutel ergens moet opslaan. Bovendien zullen de meeste NextCloud apps niet meer werken, waaronder bestanden bewerken in de office omgeving. Metadata blijft onbeschermd.

Gebruik encryptie op je eigen device

Je kunt bestanden op jouw computer of smartphone versleutelen voordat ze uberhaupt upload naar NextCloud, bijvoorbeeld met Cryptomater. Iemand met toegang tot de server kan dan niets met de data, want de sleutel staat op jouw apparaat. Nadeel is net als optie 2 dat geen enkele NextCloud app meer kan werken met de data. Dus NextCloud gebruiken als alternatief voor GDocs zit er niet meer in.

Kortom, als privacy en beveiliging je hoogste prioriteit zijn, dan zijn er opties, maar die gaan tenkoste van de gebruiksvriendelijkheid. De huidige opzet geeft de voorkeur aan gebruiksvriendelijkheid en gaat uit van vertrouwen. De risico’s kunnen verder worden beperkt door contractuele afspraken, transparantie en toezicht.

Technische achtergrond
De architectuur
Elke Vrije Cloud server bestaat uit:

Rekenkracht: een CPX22 virtuele server met daarop Ubuntu 24.04
Opslag: aparte Hetzner Volume (block storage, ext4 bestandssysteem)

Wat is beveiligd?
Wachtwoorden, API sleutels en andere credentials:

Wachtwoorden worden standaard versleuteld op de server. Wachtwoorden en andere sleutels zijn bij Post-X Society opgeslagen in een SOPS bestand met behulp van Age encryptie

Verbindingen met de server:

Alle uitwisseling van data verloopt via HTTPS verbindingen met een Let’s Encrypt certificaat
TLS 1.2+ wordt afgedwongen door de Traefik reverse proxy
Firewall regels zijn ingesteld, fail2ban voorkomt brute-force aanvallen
Geen inter-server verbindingen aangelegd, elke server is dus een geisoleerde eenheid
SSH verbindingen zijn alleen mogelijk met een key, niet met een wachtwoord dus

Toegang

Alle apps zijn toegankelijk via Authentik, dat zorgt voor een Single Sign-On ervaring
Twee factor authenticatie staat standaard aan

Wat niet aanvullend is beveiligd

Data in de Hetzner Volumes

Het opslagsysteem gebruikt ext4
Geen aanvullende encryptie ingesteld, zoals LUKS/dm-encrypt laag
Iedereen met admin toegang tot een data volume kan de gegevens dus direct inzien

Database (gebruikt voor metadata)

De PostgreSQL database gebruikt een standaard Docker volume
Geen Transparent Data Encryption (TDE) ingesteld
Iedereen met admin toegang tot de server kan metadata van de bestanden direct inzien

Backups

Restic backups zijn wel beveiligd (AES-256) opgeslagen in een Hetzner Storage Box
Hetzner Volume snapshots zijn niet aanvullend versleuteld (het zijn block-level kopien)