Verschlüsselte Server-Backups mit Duply und Duplicity
Als letzter Schritt muss zwingend ein GPG-Schlüssel erstellt werden, denn ohne Schlüsselpaar gibt es kein verschlüsseltes Backup. Eine interaktive Schlüssel-Erstellung wird so gestartet:
# gpg --gen-key
Die Schlüssel-Erstellungsroutine stellt einige Fragen und erzeugt anschließend das Schlüsselpaar. Ein Schlüssel mit 2048 Bit gilt derzeit noch als sicher. Die anderen auszufüllenden Angaben sind selbsterklärend.
Tipp: Auf Servern, auf denen »nichts los ist«, kann die Erstellung eines großen Schlüssels lange dauern. Eine Umgehungslösung wäre, vorher das Programm »haveged« zu installieren. Haveged befüllt das System direkt nach der Installation immerzu mit mehr Entropie und ist in den meisten Distributionspaketquellen enthalten.
GPG wird dem Schlüssel eine zufällige Bezeichnung vergeben, diese Schlüssel-Bezeichnung muss im nächsten Schritt in der Duply-Konfiguration mit angegeben werden. Die Ausgabezeile wird beispielsweise so aussehen:
gpg: key 275A04C3 marked as ultimately trusted
Alternativ kann mittels gpg --list-keys die vorhin erstellte Schlüsselbezeichnung aufgerufen werden.
Tipp: Zwei Dinge sind bei einem Komplettverlust des Servers ab jetzt überlebenswichtig: Das Schlüssel-Passwort und das generierte Schlüsselpaar selbst. Das Passwort muss man sich natürlich gut merken, die Schlüsseldateien müssen gesichert werden. Letzteres kann etwas später erledigt werden: Duply legt die Schlüsselpaare im Profilordner als Dateien ab, nachdem ein erstes Backup durchgeführt worden ist. Also sichert man sich den kompletten Duply-Profilordner nach der ersten Sicherung separat.
Tipp: GPG-Keys können auch als Batch vollautomatisch erstellt werden. Dieses Vorgehen lohnt sich, wenn Duply/Duplicity auf mehrere Server automatisiert ausgerollt werden soll. Hierzu benötigt man das Kommando gpg –gen-key --batch /tmp/gpg_property_datei. Die zwingend benötigten Angaben der Batch-Datei können auf GnuGPG.org nachgelesen werden. Hier ein Beispiel:
Key-Type: 1 Key-Length: 2048 Subkey-Type: 1 Subkey-Length: 2048 Name-Real: Duply-GPG-Key Name-Email: root@localhost Expire-Date: 0 Passphrase: MEINPASSWORT
