Lock & Key UGOS Docker App

Lock & Key verschlüsselt einen Ordner auf dem NAS — Datei für Datei mit AES-256-GCM. Nach dem Sperren liegen nur noch .lkenc-Dateien im Ordner; die Originale sind weg. Öffnen geht nur mit der Schlüsseldatei (lockkey_<id>.lk), idealerweise auf einem USB-Stick am NAS. Der Verschlüsselungsschlüssel wird nicht auf dem NAS gespeichert. Ohne Schlüsseldatei gibt es keine Wiederherstellung. Die App eignet sich für sensible Ordner, die nur mit physischem Schlüssel (USB) zugänglich sein sollen — nicht für komplette Festplattenverschlüsselung.

ACHTUNG! Nur ein Stick für ein Job! Ist die Datei die aufm Stick war weg oder Stick kaputt keine wiederherstellung möglich.
Den Key kann man aber auch auf den Pc herunterladen und benutzen zum Entsperren (ist aber nicht so sicher wie der Stick).
Der Stick wird an den Key gebunden also datei kopieren auf nen anderen Stick ist Sinnlos.

App-ID: com.runlevel.lockandkey
Herausgeber: Runlevel
Aktuelle Version: 0.1.21
Port: 29135 (Web-Tab im UGOS App Center)
Plattform: UGOS Docker-App, amd64, nur Admin

Was die App kann

Verschlüsseln (Sperren)

• Beliebigen Ordner auf Volume 1 oder Volume 2 wählen (inkl. Unterordner)
• Jede Datei einzeln verschlüsseln → Endung .lkenc
• Marker .lockkey-sealed und Integritäts-Manifest .lockkey-manifest im Ordner
• SHA-256-Prüfung nach dem Sperren (Größe + Hash pro Datei)
• Atomisches Sperren: entweder alle Dateien verschlüsselt oder bei Fehler Rollback — keine halben Zustände
• Systemordner mit @ im Namen werden im Ordner-Picker ausgeblendet

Schlüssel

• Schlüsseldatei lockkey_<id>.lk nach dem Sperren per Download
• Schlüssel wird nicht dauerhaft auf dem NAS gespeichert
• Optional: Schlüsseldatei mit Passwort schützen (PBKDF2 + AES-GCM, min. 8 Zeichen)
• Optional: Schlüssel automatisch auf USB-Stick schreiben — Stick wird dabei formatiert (FAT32), nur die Schlüsseldatei bleibt
• Ein USB-Stick = ein Tresor (alte Schlüssel auf dem Stick werden entfernt)

USB-Bindung

• Optional Bindung an USB-Label und Seriennummer
• Entsperren mit falschem Stick wird abgelehnt (wenn Bindung aktiv)
• USB-Stick muss am NAS eingesteckt sein (Mount /mnt/@usb)

Öffnen & wieder sperren

• Entsperren mit Schlüssel vom USB-Stick am NAS
• Entsperren mit hochgeladener Schlüsseldatei (Browser)
• Wieder sperren (re-lock) mit demselben Schlüssel
• Atomisches Entsperren mit Rollback bei Fehler

Tresor-Verwaltung

• Übersicht aller Tresore (Name, Pfad, Status, Dateianzahl, USB-Bindung)
• Hintergrund-Jobs mit Fortschrittsanzeige
• Tresor aus Liste löschen — bei gesperrtem Tresor bleiben die .lkenc-Dateien auf dem NAS
• Orphan-Recovery: Tresor wiederfinden, wenn Schlüssel auf USB + verschlüsselter Ordner noch da sind, App-Eintrag aber fehlt (Rescan beim Start)

Ordner & Geräte

• Ordner-Browser: Volume 1, Volume 2, Unterordner
• Anzeige: wie viele Dateien sperrbar / bereits verschlüsselt / Ordner schon gesperrt
• USB-Übersicht: eingesteckte Sticks (Mount, Modell, Label, Seriennummer, Größe)
• Installationsparameter: DATA_PATH (Metadaten/Log), NAS_DATA_ROOT (Kurzweg für Ordnerauswahl)

Oberfläche

• Web-UI Deutsch / Englisch
• Eigenes App-Icon (USB-Stick + Schlüssel, Türkis/Rot)
• Link zu Ugreen NAS Admin (Desktop-Begleiter)
• Klare Warnhinweise: keine Wiederherstellung ohne Schlüssel, USB-Formatierung löscht Stick-Inhalt

Abgrenzung

Lock & Key ist kein Vollfestplatten-Verschlüsselungs-Tool und kein Cloud- oder Netzwerk-Tresor — nur lokale Ordner auf dem NAS.

Wichtige Hinweise

• Ohne Schlüsseldatei = Datenverlust (bewusst so — kein Backdoor, kein Recovery)
• USB abziehen versteckt den Ordner nicht — die .lkenc-Dateien bleiben sichtbar, sind aber ohne Schlüssel unlesbar
• Beim Schlüssel-Schreiben auf USB: alle bisherigen Daten auf dem Stick gehen verloren
• Nur für NAS-Administratoren (only_admin: true)
• Port 29135 nicht ins Internet freigeben

Technik (kurz)

• Alpine + Python/Flask + cryptography (AES-256-GCM)
• Daten unter DATA_PATH: vaults.json, jobs.json, lockkey.log, meta.json
• Mounts: /volume1, /volume2 (rw), UGOS-Ordner-Kurzweg, /mnt/@usb (rw), /dev + /sys (ro)
• Symlinks und keine regulären Dateien werden beim Sperren übersprungen
• Keine ausgehenden Verbindungen zu Runlevel oder Analytics

UGOS-Abhängigkeiten: Firmware ≥ 1.13.0, Docker-Paket ≥ 1.7.0

Versionshistorie

Typischer Ablauf

1. App installieren, DATA_PATH und NAS_DATA_ROOT setzen (z. B. /volume1/docker/lock-and-key/data)
2. USB-Stick am NAS einstecken (wenn Schlüssel direkt auf Stick gewünscht)
3. Neuen Tresor: Name, Volume 1/2, Ordner browsen → „Diesen Ordner auswählen“
4. Optional: „Schlüssel auf USB-Stick schreiben“ + Stick wählen
5. Optional: Passwort für Schlüsseldatei
6. Ordner sperren — Fortschritt abwarten, Integritätsprüfung OK
7. Schlüsseldatei sichern (Download und/oder Stick — Stick ggf. abziehen und verwahren)
8. Zum Öffnen: Stick ans NAS, Tresor wählen, Mit USB am NAS öffnen (ggf. Passwort)
9. Nach Bearbeitung: Wieder sperren mit demselben Schlüssel