SFTP, SSH, rsync und Borg authentifizieren sich über SSH-Schlüssel. Aus Sicherheitsgründen bindet der Server die erlaubte Aktion fest an den Schlüssel: ein Schlüssel = ein Zweck.
Schlüssel erzeugen (Linux/macOS)
Erzeugen Sie je Zugang einen eigenen Schlüssel, z. B. für Borg:
ssh-keygen -t ed25519 -f ~/.ssh/mbs-borg -C "backup-storage borg"
Es entstehen zwei Dateien: der private Schlüssel (~/.ssh/mbs-borg, bleibt geheim) und der öffentliche Schlüssel (~/.ssh/mbs-borg.pub). Den Inhalt der .pub-Datei hinterlegen Sie im Kundenbereich.
Unter Windows können Sie PuTTYgen oder ssh-keygen in der PowerShell verwenden.
Schlüssel hinterlegen
Im Kundenbereich unter Dienste → Ihr Backup-Storage → SSH-Schlüssel fügen Sie den öffentlichen Schlüssel hinzu und wählen den Verwendungszweck:
sftp– nur Datei-Transfer (keine Shell)ssh– interaktive Shellborg– Borg-Repository lesen/schreibenborg-append– nur anhängen (Ransomware-fest: kein Löschen/Überschreiben)rsync– rsync lesen und schreibenrsync-ro– rsync nur lesenrsync-wo– rsync nur schreiben
Warum ein Schlüssel nur einen Zweck hat
Derselbe Schlüssel lässt sich nicht für zwei Zwecke hinterlegen (z. B. rsync und Borg). Verbinden Sie daher immer mit dem zweckpassenden Schlüssel über -i ~/.ssh/mbs-<zweck>. Nutzen Sie versehentlich den falschen Schlüssel, scheitert die Verbindung (z. B. Borg meldet dann einen rsync-Fehler).
Empfehlung: Ransomware-Schutz mit borg-append
Für automatisierte Backups empfehlen wir einen Schlüssel mit Zweck borg-append. Selbst ein kompromittierter Client kann damit bestehende Backups weder löschen noch überschreiben.
