kdpv - Reuters
Os ydych chi'n rhentu gweinydd, yna nid oes gennych reolaeth lawn drosto. Mae hyn yn golygu y gall pobl sydd wedi'u hyfforddi'n arbennig ar unrhyw adeg ddod at y gwesteiwr a gofyn i chi ddarparu unrhyw ran o'ch data. A bydd y gwesteiwr yn eu rhoi yn ôl os yw'r galw yn cael ei ffurfioli yn unol â'r gyfraith.
Nid ydych chi wir eisiau i'ch logiau gweinydd gwe neu ddata defnyddwyr ollwng i unrhyw un arall. Mae'n amhosibl adeiladu amddiffyniad delfrydol. Mae bron yn amhosibl amddiffyn eich hun rhag gwesteiwr sy'n berchen ar y hypervisor ac yn darparu peiriant rhithwir i chi. Ond efallai y bydd yn bosibl lleihau'r risgiau ychydig. Nid yw amgryptio ceir rhent mor ddiwerth ag y mae'n ymddangos ar yr olwg gyntaf. Ar yr un pryd, gadewch i ni edrych ar y bygythiadau o echdynnu data o weinyddion ffisegol.
Model bygythiad
Fel rheol, bydd y gwesteiwr yn ceisio amddiffyn buddiannau'r cleient gymaint ag y bo modd yn ôl y gyfraith. Pe bai'r llythyr gan yr awdurdodau swyddogol yn gofyn am logiau mynediad yn unig, ni fydd y gwesteiwr yn darparu cronfeydd data o'ch holl beiriannau rhithwir. O leiaf ni ddylai. Os byddant yn gofyn am yr holl ddata, bydd y gwesteiwr yn copïo'r disgiau rhithwir gyda'r holl ffeiliau ac ni fyddwch yn gwybod amdano.
Waeth beth fo'r senario, eich prif nod yw gwneud yr ymosodiad yn rhy anodd a drud. Fel arfer mae tri phrif opsiwn bygythiad.
Swyddogol
Yn fwyaf aml, anfonir llythyr papur i swyddfa swyddogol y gwesteiwr gyda gofyniad i ddarparu'r data angenrheidiol yn unol â'r rheoliad perthnasol. Os gwneir popeth yn gywir, mae'r gwesteiwr yn darparu'r logiau mynediad angenrheidiol a data arall i'r awdurdodau swyddogol. Fel arfer maen nhw'n gofyn i chi anfon y data angenrheidiol.
O bryd i'w gilydd, os yw'n gwbl angenrheidiol, mae cynrychiolwyr asiantaethau gorfodi'r gyfraith yn dod i'r ganolfan ddata yn bersonol. Er enghraifft, pan fydd gennych eich gweinydd pwrpasol eich hun a dim ond yn gorfforol y gellir cymryd data oddi yno.
Ym mhob gwlad, mae cael mynediad i eiddo preifat, cynnal chwiliadau a gweithgareddau eraill yn gofyn am dystiolaeth y gall y data gynnwys gwybodaeth bwysig ar gyfer ymchwilio i drosedd. Yn ogystal, mae angen gwarant chwilio a weithredir yn unol â'r holl reoliadau. Efallai y bydd naws yn ymwneud â hynodion deddfwriaeth leol. Y prif beth y mae angen i chi ei ddeall yw, os yw'r llwybr swyddogol yn gywir, ni fydd cynrychiolwyr y ganolfan ddata yn gadael i unrhyw un fynd heibio'r fynedfa.
Ar ben hynny, yn y rhan fwyaf o wledydd ni allwch dynnu offer rhedeg allan. Er enghraifft, yn Rwsia, tan ddiwedd 2018, yn ôl Erthygl 183 o God Gweithdrefn Droseddol Ffederasiwn Rwsia, rhan 3.1, gwarantwyd, yn ystod trawiad, y cynhaliwyd atafaeliad cyfryngau storio electronig gyda'r cyfranogiad o arbenigwr. Ar gais perchennog cyfreithiol y cyfryngau storio electronig a atafaelwyd neu berchennog y wybodaeth a gynhwysir arnynt, mae'r arbenigwr sy'n cymryd rhan yn y trawiad, ym mhresenoldeb tystion, yn copïo gwybodaeth o'r cyfryngau storio electronig a atafaelwyd i gyfryngau storio electronig eraill.
Yna, yn anffodus, tynnwyd y pwynt hwn o'r erthygl.
Cyfrinachol ac answyddogol
Mae hyn eisoes yn diriogaeth gweithgaredd cymrodyr sydd wedi'u hyfforddi'n arbennig o'r NSA, FBI, MI5 a sefydliadau tri llythyren eraill. Yn fwyaf aml, mae deddfwriaeth gwledydd yn darparu pwerau eang iawn ar gyfer strwythurau o'r fath. Ar ben hynny, mae yna waharddiad deddfwriaethol bron bob amser ar unrhyw ddatgeliad uniongyrchol neu anuniongyrchol o'r union ffaith o gydweithredu ag asiantaethau gorfodi'r gyfraith o'r fath. Mae yna rai tebyg yn Rwsia .
Mewn achos o fygythiad o'r fath i'ch data, byddant bron yn sicr yn cael eu tynnu allan. Ar ben hynny, yn ychwanegol at atafaelu syml, gellir defnyddio'r arsenal answyddogol gyfan o'r drysau cefn, gwendidau dim-diwrnod, echdynnu data o RAM eich peiriant rhithwir, a llawenydd eraill. Yn yr achos hwn, bydd yn ofynnol i'r gwesteiwr gynorthwyo arbenigwyr gorfodi'r gyfraith gymaint â phosibl.
Gweithiwr diegwyddor
Nid yw pawb yr un mor dda. Efallai y bydd un o weinyddwyr y ganolfan ddata yn penderfynu gwneud arian ychwanegol a gwerthu'ch data. Mae datblygiadau pellach yn dibynnu ar ei bwerau a mynediad. Y peth mwyaf annifyr yw bod gan weinyddwr sydd â mynediad i'r consol rhithwiroli reolaeth lwyr dros eich peiriannau. Gallwch chi bob amser gymryd ciplun ynghyd â holl gynnwys yr RAM ac yna ei astudio'n araf.
VDS
Felly mae gennych chi beiriant rhithwir a roddodd y gwesteiwr i chi. Sut allwch chi weithredu amgryptio i amddiffyn eich hun? Yn wir, bron dim byd. Ar ben hynny, gall hyd yn oed gweinydd pwrpasol rhywun arall fod yn beiriant rhithwir y gosodir y dyfeisiau angenrheidiol ynddo.
Os nad storio data yn unig yw tasg y system bell, ond i wneud rhai cyfrifiadau, yna'r unig opsiwn ar gyfer gweithio gyda pheiriant nad yw'n ymddiried ynddo fyddai gweithredu . Yn yr achos hwn, bydd y system yn gwneud cyfrifiadau heb y gallu i ddeall beth yn union y mae'n ei wneud. Yn anffodus, mae'r costau cyffredinol ar gyfer gweithredu amgryptio o'r fath mor uchel fel bod eu defnydd ymarferol ar hyn o bryd wedi'i gyfyngu i dasgau cul iawn.
Hefyd, ar hyn o bryd pan fydd y peiriant rhithwir yn rhedeg ac yn perfformio rhai gweithredoedd, mae'r holl gyfrolau wedi'u hamgryptio mewn cyflwr hygyrch, fel arall ni fydd yr OS yn gallu gweithio gyda nhw. Mae hyn yn golygu bod cael mynediad i'r consol rhithwiroli, gallwch chi bob amser gymryd ciplun o beiriant rhedeg a thynnu'r holl allweddi o RAM.
Mae llawer o werthwyr wedi ceisio trefnu amgryptio caledwedd RAM fel nad oes gan hyd yn oed y gwesteiwr fynediad i'r data hwn. Er enghraifft, technoleg Intel Software Guard Extensions, sy'n trefnu ardaloedd yn y gofod cyfeiriad rhithwir sy'n cael eu hamddiffyn rhag darllen ac ysgrifennu o'r tu allan i'r ardal hon gan brosesau eraill, gan gynnwys cnewyllyn y system weithredu. Yn anffodus, ni fyddwch yn gallu ymddiried yn llawn yn y technolegau hyn, gan y byddwch yn gyfyngedig i'ch peiriant rhithwir. Yn ogystal, mae enghreifftiau parod eisoes yn bodoli ar gyfer y dechnoleg hon. Eto i gyd, nid yw amgryptio peiriannau rhithwir mor ddibwrpas ag y gallai ymddangos.
Rydym yn amgryptio data ar VDS
Gadewch imi wneud amheuaeth ar unwaith nad yw popeth a wnawn isod yn gyfystyr ag amddiffyniad llawn. Bydd y hypervisor yn caniatáu ichi wneud y copïau angenrheidiol heb atal y gwasanaeth a heb i chi sylwi.
- Os bydd y gwesteiwr, ar gais, yn trosglwyddo delwedd “oer” o'ch peiriant rhithwir, yna rydych chi'n gymharol ddiogel. Dyma'r senario mwyaf cyffredin.
- Os yw'r gwesteiwr yn rhoi cipolwg llawn i chi o beiriant rhedeg, yna mae popeth yn eithaf drwg. Bydd yr holl ddata yn cael ei osod yn y system mewn ffurf glir. Yn ogystal, bydd yn bosibl chwilota trwy RAM i chwilio am allweddi preifat a data tebyg.
Yn ddiofyn, os gwnaethoch chi ddefnyddio'r OS o ddelwedd fanila, nid oes gan y gwesteiwr fynediad gwraidd. Gallwch chi bob amser osod y cyfryngau gyda'r ddelwedd achub a newid y cyfrinair gwraidd trwy grooting amgylchedd y peiriant rhithwir. Ond bydd hyn yn gofyn am ailgychwyn, a fydd yn cael ei sylwi. Hefyd, bydd pob rhaniad wedi'i amgryptio wedi'i osod ar gau.
Fodd bynnag, os nad yw'r defnydd o beiriant rhithwir yn dod o ddelwedd fanila, ond o ddelwedd a baratowyd ymlaen llaw, yna gall y gwesteiwr yn aml ychwanegu cyfrif breintiedig i gynorthwyo mewn sefyllfa o argyfwng yn y cleient. Er enghraifft, i newid cyfrinair gwraidd anghofiedig.
Hyd yn oed yn achos ciplun cyflawn, nid yw popeth mor drist. Ni fydd ymosodwr yn derbyn ffeiliau wedi'u hamgryptio os gwnaethoch eu gosod o system ffeiliau anghysbell peiriant arall. Gallwch, mewn theori, gallwch ddewis y domen RAM a thynnu'r allweddi amgryptio oddi yno. Ond yn ymarferol nid yw hyn yn ddibwys iawn ac mae'n annhebygol iawn y bydd y broses yn mynd y tu hwnt i drosglwyddo ffeiliau syml.
Archebu car
At ein dibenion prawf, rydym yn cymryd peiriant syml i mewn . Nid oes angen llawer o adnoddau arnom, felly byddwn yn cymryd yr opsiwn o dalu am y megahertz a'r traffig a wariwyd mewn gwirionedd. Dim ond digon i chwarae o gwmpas ag ef.
Ni ddechreuodd y dm-crypt clasurol ar gyfer y rhaniad cyfan. Yn ddiofyn, rhoddir y ddisg mewn un darn, gyda gwraidd ar gyfer y rhaniad cyfan. Mae crebachu rhaniad ext4 ar un sydd wedi'i osod ar wreiddiau yn ymarferol yn fricsen warantedig yn lle system ffeiliau. Ceisiais) Nid oedd y tambwrîn yn helpu.
Creu cynhwysydd crypto
Felly, ni fyddwn yn amgryptio'r rhaniad cyfan, ond byddwn yn defnyddio cynwysyddion crypto ffeil, sef VeraCrypt wedi'i archwilio a dibynadwy. At ein dibenion ni mae hyn yn ddigon. Yn gyntaf, rydym yn tynnu allan ac yn gosod y pecyn gyda'r fersiwn CLI o'r wefan swyddogol. Gallwch wirio'r llofnod ar yr un pryd.
wget https://launchpad.net/veracrypt/trunk/1.24-update4/+download/veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb
dpkg -i veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb
Nawr byddwn yn creu'r cynhwysydd ei hun yn rhywle yn ein cartref fel y gallwn ei osod â llaw wrth ailgychwyn. Yn yr opsiwn rhyngweithiol, gosodwch faint y cynhwysydd, cyfrinair ac algorithmau amgryptio. Gallwch ddewis y cipher gwladgarol Grasshopper a swyddogaeth stwnsh Stribog.
veracrypt -t -c ~/my_super_secretNawr, gadewch i ni osod nginx, gosodwch y cynhwysydd a'i lenwi â gwybodaeth gyfrinachol.
mkdir /var/www/html/images
veracrypt ~/my_super_secret /var/www/html/images/
wget https://upload.wikimedia.org/wikipedia/ru/2/24/Lenna.pngGadewch i ni ychydig yn gywir /var/www/html/index.nginx-debian.html i gael y dudalen a ddymunir a gallwch ei wirio.
Cysylltwch a gwirio
Mae'r cynhwysydd wedi'i osod, mae'r data yn hygyrch ac yn cael ei anfon.
A dyma'r peiriant ar ôl ailgychwyn. Mae'r data'n cael ei storio'n ddiogel yn ~/my_super_secret.
Os ydych chi ei angen mewn gwirionedd a'i fod eisiau craidd caled, yna gallwch chi amgryptio'r OS cyfan fel bod angen cysylltu trwy ssh a nodi cyfrinair pan fyddwch chi'n ailgychwyn. Bydd hyn hefyd yn ddigonol yn y senario o dynnu “data oer” yn unig. Yma ac amgryptio disg o bell. Er yn achos VDS mae'n anodd ac yn ddiangen.
Metel noeth
Nid yw mor hawdd gosod eich gweinydd eich hun mewn canolfan ddata. Efallai y bydd peiriant ymroddedig rhywun arall yn troi allan i fod yn beiriant rhithwir y mae pob dyfais yn cael ei drosglwyddo iddo. Ond mae rhywbeth diddorol o ran amddiffyniad yn dechrau pan fyddwch chi'n cael y cyfle i osod eich gweinydd corfforol dibynadwy mewn canolfan ddata. Yma gallwch chi eisoes ddefnyddio'n llawn dm-crypt traddodiadol, VeraCrypt neu unrhyw amgryptio arall o'ch dewis.
Mae angen i chi ddeall, os gweithredir amgryptio llwyr, ni fydd y gweinydd yn gallu adfer ar ei ben ei hun ar ôl ailgychwyn. Bydd angen codi'r cysylltiad â'r IP-KVM lleol, IPMI neu ryngwyneb tebyg arall. Ar ôl hynny rydyn ni'n mynd i mewn i'r prif allwedd â llaw. Mae'r cynllun yn edrych mor dda o ran parhad a goddefgarwch o ddiffygion, ond nid oes unrhyw ddewisiadau eraill arbennig os yw'r data mor werthfawr.
Modiwl Diogelwch Caledwedd NCipher nShield F3
Mae opsiwn meddalach yn tybio bod y data wedi'i amgryptio a bod yr allwedd wedi'i leoli'n uniongyrchol ar y gweinydd ei hun mewn HSM arbennig (Modiwl Diogelwch Caledwedd). Fel rheol, mae'r rhain yn ddyfeisiau swyddogaethol iawn sydd nid yn unig yn darparu cryptograffeg caledwedd, ond sydd hefyd â mecanweithiau ar gyfer canfod ymdrechion hacio corfforol. Os bydd rhywun yn dechrau procio o amgylch eich gweinydd gyda grinder ongl, bydd yr HSM gyda chyflenwad pŵer annibynnol yn ailosod yr allweddi y mae'n eu storio yn ei gof. Bydd yr ymosodwr yn cael y briwgig wedi'i amgryptio. Yn yr achos hwn, gall yr ailgychwyn ddigwydd yn awtomatig.
Mae cael gwared ar allweddi yn opsiwn llawer cyflymach a mwy trugarog nag actifadu bom thermite neu ataliwr electromagnetig. Ar gyfer dyfeisiau o'r fath, byddwch yn cael eich curo am amser hir iawn gan eich cymdogion ar y rac yn y ganolfan ddata. Ar ben hynny, yn achos defnyddio amgryptio ar y cyfryngau ei hun, nid ydych yn profi fawr ddim gorbenion. Mae hyn i gyd yn digwydd yn dryloyw i'r OS. Yn wir, yn yr achos hwn mae'n rhaid i chi ymddiried yn y Samsung amodol a gobeithio bod ganddo AES256 onest, ac nid yr XOR banal.
Ar yr un pryd, rhaid inni beidio ag anghofio bod yn rhaid i bob porthladd diangen fod yn anabl yn gorfforol neu'n syml wedi'i lenwi â chyfansawdd. Fel arall, rydych chi'n rhoi cyfle i ymosodwyr gyflawni . Os oes gennych PCI Express neu Thunderbolt yn glynu, gan gynnwys USB gyda'i gefnogaeth, rydych chi'n agored i niwed. Bydd ymosodwr yn gallu ymosod trwy'r porthladdoedd hyn a chael mynediad uniongyrchol i'r cof gydag allweddi.
Mewn fersiwn soffistigedig iawn, bydd yr ymosodwr yn gallu cynnal ymosodiad cist oer. Ar yr un pryd, yn syml, mae'n arllwys cyfran dda o nitrogen hylifol i'ch gweinydd, yn tynnu'r cofbinnau wedi'u rhewi yn fras ac yn cymryd dymp oddi wrthynt gyda'r holl allweddi. Yn aml, mae chwistrell oeri rheolaidd a thymheredd o tua -50 gradd yn ddigon i gynnal ymosodiad. Mae yna opsiwn mwy cywir hefyd. Os nad ydych wedi analluogi llwytho o ddyfeisiau allanol, yna bydd algorithm yr ymosodwr hyd yn oed yn symlach:
- Rhewi ffyn cof heb agor y cas
- Cysylltwch eich gyriant fflach USB bootable
- Defnyddiwch gyfleustodau arbennig i dynnu data o RAM a oroesodd yr ailgychwyn oherwydd rhewi.
Rhannwch a choncro
Iawn, dim ond peiriannau rhithwir sydd gennym, ond hoffwn rywsut leihau'r risgiau o ollwng data.
Gallwch, mewn egwyddor, geisio adolygu'r bensaernïaeth a dosbarthu storio a phrosesu data ar draws gwahanol awdurdodaethau. Er enghraifft, mae'r frontend gydag allweddi amgryptio yn dod o'r gwesteiwr yn y Weriniaeth Tsiec, ac mae'r backend gyda data wedi'i amgryptio rhywle yn Rwsia. Yn achos ymgais atafaelu safonol, mae'n annhebygol iawn y bydd asiantaethau gorfodi'r gyfraith yn gallu gwneud hyn ar yr un pryd mewn gwahanol awdurdodaethau. Hefyd, mae hyn yn ein hyswirio'n rhannol yn erbyn y senario o gymryd ciplun.
Wel, neu gallwch chi ystyried opsiwn hollol bur - amgryptio o'r diwedd i'r diwedd. Wrth gwrs, mae hyn yn mynd y tu hwnt i gwmpas y fanyleb ac nid yw'n awgrymu perfformio cyfrifiadau ar ochr y peiriant anghysbell. Fodd bynnag, mae hwn yn opsiwn hollol dderbyniol o ran storio a chydamseru data. Er enghraifft, mae hyn yn cael ei weithredu'n gyfleus iawn yn Nextcloud. Ar yr un pryd, ni fydd cydamseru, fersiynau a nwyddau eraill ar ochr y gweinydd yn diflannu.
Yn gyfan gwbl
Nid oes unrhyw systemau cwbl ddiogel. Y nod yn syml yw gwneud yr ymosodiad yn werth mwy na'r enillion posibl.
Gellir cyflawni rhywfaint o ostyngiad yn y risgiau o gael mynediad at ddata ar un rhithwir trwy gyfuno amgryptio a storfa ar wahân gyda gwahanol westeion.
Opsiwn mwy neu lai dibynadwy yw defnyddio'ch gweinydd caledwedd eich hun.
Ond bydd yn rhaid ymddiried yn y gwesteiwr un ffordd neu'r llall o hyd. Mae'r diwydiant cyfan yn dibynnu ar hyn.
Ffynhonnell: hab.com