🥇Beth i'w wneud os daw lluoedd diogelwch at eich darparwr cynnal

kdpv — Reuters

Os ydych chi'n rhentu gweinydd, does gennych chi ddim rheolaeth lwyr drosto. Mae hyn yn golygu y gall pobl sydd wedi'u hyfforddi'n arbennig ddod at y darparwr cynnal unrhyw bryd a gofyn am unrhyw un o'ch data. Bydd y darparwr cynnal yn ei drosglwyddo os yw'r cais yn gyfreithiol rwymol.

Dydych chi wir ddim eisiau i logiau eich gweinydd gwe na data defnyddwyr gael eu peryglu. Mae'n amhosibl adeiladu diogelwch perffaith. Mae amddiffyn eich hun rhag y darparwr cynnal sy'n berchen ar y goruchwyliwr ac yn darparu peiriant rhithwir i chi bron yn amhosibl. Ond efallai y byddwch chi'n gallu lliniaru'r risgiau rhywfaint. Nid yw amgryptio peiriannau rhent mor ddiwerth ag y mae'n ymddangos. Gadewch i ni hefyd edrych ar fygythiadau hidlo data o weinyddion ffisegol.

Model bygythiad

Fel rheol, bydd y darparwr cynnal yn ymdrechu i amddiffyn buddiannau'r cleient i'r graddau mwyaf posibl yn gyfreithiol. Os mai dim ond logiau mynediad y mae'r awdurdodau swyddogol yn eu gofyn, ni fydd y darparwr cynnal yn darparu dympiau o'ch holl beiriannau rhithwir gyda chronfeydd data. O leiaf, ni ddylent. Os ydynt yn gofyn am yr holl ddata, bydd y darparwr cynnal yn copïo'r disgiau rhithwir gyda'r holl ffeiliau, ac ni fyddwch hyd yn oed yn gwybod amdano.

Waeth beth fo'r senario, eich prif nod yw gwneud yr ymosodiad yn rhy anodd ac yn rhy ddrud. Yn nodweddiadol, mae tri phrif senario bygythiad.

Swyddogol

Yn amlaf, anfonir llythyr papur at swyddfa swyddogol y darparwr cynnal yn gofyn am y data angenrheidiol yn unol â'r rheoliad perthnasol. Os yw popeth wedi'i gwblhau'n gywir, mae'r darparwr cynnal yn darparu'r logiau mynediad gofynnol a data arall i'r awdurdodau. Fel arfer, dim ond gofyn am y data gofynnol y maent yn ei wneud.

O bryd i'w gilydd, os yw'n gwbl angenrheidiol, bydd swyddogion gorfodi'r gyfraith yn ymweld â'r ganolfan ddata yn bersonol. Gallai hyn fod yn wir, er enghraifft, os oes gennych eich gweinydd pwrpasol eich hun a dim ond yn gorfforol y gellir adfer y data.

Ym mhob gwlad, mae mynediad i eiddo preifat, chwiliadau, a gweithgareddau eraill yn gofyn am brawf y gallai'r data gynnwys gwybodaeth sy'n hanfodol i ymchwiliad troseddol. Ar ben hynny, mae angen gwarant chwilio a weithredwyd yn unol â'r holl reoliadau. Gall fod gwahaniaethau yma oherwydd deddfwriaeth leol. Y prif beth i'w ddeall yw, hyd yn oed os dilynwch y llwybr swyddogol, na fydd cynrychiolwyr canolfannau data yn caniatáu i unrhyw un fynd heibio'r giât ddiogelwch.

Ar ben hynny, yn y rhan fwyaf o wledydd, nid yw'n bosibl tynnu offer gweithredu allan yn syml. Er enghraifft, yn Rwsia, tan ddiwedd 2018, roedd Erthygl 183, Adran 3.1 o God Gweithdrefn Droseddol Rwsia yn gwarantu, yn ystod atafaelu, y byddai cyfryngau storio electronig yn cael eu hatafaelu gyda chyfranogiad arbenigwr. Ar gais perchennog cyfreithiol y cyfryngau storio electronig a atafaelwyd neu ddeiliad y wybodaeth sydd ynddynt, mae'r arbenigwr sy'n cymryd rhan yn yr atafaelu, ym mhresenoldeb tystion, yn copïo'r wybodaeth o'r cyfryngau storio electronig a atafaelwyd i gyfryngau storio electronig eraill.

Yn anffodus, yn ddiweddarach, tynnwyd y pwynt hwn o'r erthygl.

Cyfrinachol ac answyddogol

Dyma faes asiantau sydd wedi'u hyfforddi'n arbennig o'r NSA, yr FBI, MI5, a sefydliadau tair llythyren eraill. Yn amlaf, mae deddfwriaeth genedlaethol yn darparu pwerau eang iawn i strwythurau o'r fath. Ar ben hynny, mae gwaharddiad cyfreithiol bron bob amser ar unrhyw ddatgeliad uniongyrchol neu anuniongyrchol o ffaith cydweithredu ag asiantaethau gorfodi'r gyfraith o'r fath. Mae gan Rwsia sefydliadau tebyg. normau cyfreithiol.

Os yw eich data dan fygythiad fel hyn, mae bron yn sicr y bydd yn cael ei ddwyn. Yn ogystal ag alldithio syml, gallant ddefnyddio arsenal cyfan o ddrysau cefn answyddogol, gwendidau diwrnod sero, echdynnu data o RAM eich peiriant rhithwir, a thriciau eraill. Bydd y darparwr cynnal yn rhwymedig i gynorthwyo swyddogion gorfodi'r gyfraith cymaint â phosibl.

Gweithiwr anonest

Nid yw pawb yn cael eu creu'n gyfartal. Efallai y bydd un o weinyddion y ganolfan ddata yn penderfynu gwneud arian a gwerthu eich data. Mae'r hyn sy'n digwydd nesaf yn dibynnu ar eu hawdurdod a'u mynediad. Y peth gwaethaf yw bod gan weinyddwr sydd â mynediad i'r consol rhithwiroli reolaeth lwyr dros eich peiriannau. Gallwch chi bob amser dynnu ciplun o'ch data, gan gynnwys holl gynnwys RAM, ac yna ei archwilio'n hamddenol.

VDS

Felly, mae gennych chi beiriant rhithwir wedi'i aseinio i chi gan eich darparwr cynnal. Sut allwch chi sefydlu amgryptio i'ch amddiffyn eich hun? Y gwir yw, does dim ffordd bron. Ar ben hynny, gallai hyd yn oed gweinydd pwrpasol rhywun arall ddod i ben yn beiriant rhithwir gyda'r dyfeisiau angenrheidiol wedi'u porthi iddo.

Os nad storio data yn unig yw tasg y system o bell, ond cyflawni rhai cyfrifiadau, yna'r unig opsiwn ar gyfer gweithio gyda pheiriant di-ymddiried fydd y gweithrediad amgryptio homomorffigAr ben hynny, bydd y system yn cynnal cyfrifiadau heb unrhyw ffordd o ddeall beth yn union y mae'n ei wneud. Yn anffodus, mae cost gweithredu amgryptio o'r fath mor uchel fel bod ei gymhwysiad ymarferol ar hyn o bryd wedi'i gyfyngu i dasgau penodol iawn.

Yn ogystal, pan fydd y peiriant rhithwir yn rhedeg ac yn cyflawni unrhyw gamau gweithredu, mae'r holl gyfrolau wedi'u hamgryptio ar gael; fel arall, ni fyddai'r system weithredu yn gallu eu cyrchu. Mae hyn yn golygu, gyda mynediad i'r consol rhithwiroli, y gallwch chi bob amser dynnu ciplun o'r peiriant sy'n rhedeg a thynnu'r holl allweddi o'r RAM.

Mae llawer o werthwyr wedi ceisio gweithredu amgryptio RAM sy'n seiliedig ar galedwedd i atal hyd yn oed y gwesteiwr rhag cael mynediad at y data hwn. Er enghraifft, technoleg Intel Software Guard Extensions, sy'n creu ardaloedd o'r gofod cyfeiriadau rhithwir sydd wedi'u diogelu rhag darllen ac ysgrifennu y tu allan i'r ardal hon gan brosesau eraill, gan gynnwys cnewyllyn y system weithredu. Yn anffodus, ni fyddwch yn gallu dibynnu'n llawn ar y technolegau hyn, gan y byddwch yn gyfyngedig i'ch peiriant rhithwir. Ar ben hynny, mae enghreifftiau parod eisoes yn bodoli. ymosodiad llwyddiannus ar y dechnoleg hon. Ac eto, nid yw amgryptio peiriannau rhithwir mor ddibwrpas ag y gallai ymddangos.

Amgryptio data ar VDS

Gadewch i mi egluro ar unwaith nad yw popeth a wnawn isod yn gyfystyr â diogelwch llawn. Bydd yr hypervisor yn caniatáu ichi wneud y copïau angenrheidiol heb amharu ar y gwasanaeth a heb i chi wybod.

Os yw'r darparwr cynnal yn darparu delwedd oer o'ch peiriant rhithwir ar gais, rydych chi'n gymharol ddiogel. Dyma'r senario mwyaf cyffredin.
Os yw'r darparwr cynnal yn darparu ciplun cyflawn o beiriant sy'n rhedeg, mae pethau'n eithaf difrifol. Bydd yr holl ddata yn cael ei osod yn y system mewn testun clir. Ar ben hynny, bydd yn bosibl chwilio trwy RAM i chwilio am allweddi preifat a data tebyg.

Yn ddiofyn, os gwnaethoch chi ddefnyddio'r system weithredu o ddelwedd fanila, nid oes gan y darparwr cynnal mynediad gwraidd. Gallwch chi bob amser osod y gyriant delwedd achub a newid y cyfrinair gwraidd trwy chrootio i'r amgylchedd peiriant rhithwir. Fodd bynnag, bydd hyn yn gofyn am ailgychwyn, a fydd yn cael ei sylwi. Yn ogystal, bydd pob rhaniad wedi'i amgryptio sydd wedi'i osod yn cael ei gloi.

Fodd bynnag, os nad o ddelwedd fanila y caiff peiriant rhithwir ei ddefnyddio, ond o un sydd wedi'i pharatoi ymlaen llaw, gall y darparwr cynnal ychwanegu cyfrif breintiedig yn aml i gynorthwyo mewn sefyllfa argyfwng i'r cleient. Er enghraifft, i newid cyfrinair gwraidd sydd wedi'i anghofio.

Hyd yn oed gyda chiplun llawn, nid yw pethau mor ddifrifol. Ni fydd ymosodwr yn gallu cael ffeiliau wedi'u hamgryptio os ydych chi wedi'u gosod o system ffeiliau o bell ar beiriant arall. Ydy, mewn theori, mae'n bosibl dadbacio dymp RAM ac echdynnu allweddi amgryptio o'r fan honno. Ond yn ymarferol, mae hyn ymhell o fod yn ddibwys, ac mae'n annhebygol iawn y bydd y broses yn mynd y tu hwnt i drosglwyddo ffeiliau syml.

Rydym yn archebu car

At ein dibenion profi rydym yn cymryd peiriant syml i mewn adran ar gyfer archebu gweinyddionDydyn ni ddim angen llawer o adnoddau, felly byddwn ni'n mynd gyda'r opsiwn talu-fesul-defnydd ar gyfer y megahertz a'r lled band a ddefnyddir mewn gwirionedd. Digon o amser i chwarae o gwmpas.

Ni weithiodd dm-crypt clasurol ar gyfer y rhaniad cyfan. Yn ddiofyn, mae'r ddisg wedi'i dyrannu mewn un darn, o'r cyfeiriadur gwreiddiau i'r rhaniad cyfan. Mae lleihau rhaniad ext4 gyda'r cyfeiriadur gwreiddiau wedi'i osod bron yn sicr o fricsio'r system ffeiliau. Rwyf wedi rhoi cynnig arni. Ni helpodd Tambourine.

Creu cynhwysydd crypto

Felly, ni fyddwn yn amgryptio'r rhaniad cyfan, ond byddwn yn defnyddio cynwysyddion wedi'u hamgryptio sy'n seiliedig ar ffeiliau, yn benodol y VeraCrypt dibynadwy sydd wedi'i archwilio. Mae hyn yn ddigonol at ein dibenion ni. Yn gyntaf, lawrlwythwch a gosodwch y pecyn fersiwn CLI o'r wefan swyddogol. Gallwch hefyd wirio'r llofnod.

wget https://launchpad.net/veracrypt/trunk/1.24-update4/+download/veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb
dpkg -i veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb

Nawr byddwn yn creu'r cynhwysydd ei hun yn rhywle yn ein cyfeiriadur cartref fel y gallwn ei osod â llaw wrth ailgychwyn. Yn y modd rhyngweithiol, gosodwch faint y cynhwysydd, y cyfrinair, ac algorithmau amgryptio. Gallwch ddewis y seiffr gwladgarol Kuznechik a'r swyddogaeth hash Stribog.

veracrypt -t -c ~/my_super_secret

Nawr gadewch i ni osod nginx, gosod y cynhwysydd ac uwchlwytho gwybodaeth gyfrinachol iddo.

mkdir /var/www/html/images
veracrypt ~/my_super_secret /var/www/html/images/
wget https://upload.wikimedia.org/wikipedia/ru/2/24/Lenna.png

Gadewch i ni drwsio /var/www/html/index.nginx- ychydigdebian.html i gael y dudalen a ddymunir a gallwch ei gwirio.

Gadewch i ni gysylltu a gwirio

Mae'r cynhwysydd wedi'i osod, mae'r data ar gael ac yn cael ei drosglwyddo.

A dyma'r peiriant ar ôl ailgychwyn. Mae'r data wedi'i storio'n ddiogel yn ~/my_super_secret.

Os oes ei angen arnoch chi wir ac eisiau mynd yn galed iawn, gallwch chi amgryptio'r system weithredu gyfan fel bod angen cysylltiad SSH a chyfrinair ar ôl ailgychwyn. Bydd hyn hefyd yn ddigonol ar gyfer senario echdynnu data oer syml. Dyma sut Cyfarwyddiadau Dropbear ac amgryptio disg o bell. Er, yn achos VDS, mae hyn yn gymhleth ac yn ddiangen.

Metel noeth

Nid yw'n hawdd gosod eich gweinydd eich hun mewn canolfan ddata. Gallai gweinydd pwrpasol rhywun arall fod yn beiriant rhithwir gyda'r holl ddyfeisiau wedi'u cysylltu. Ond mae'r hwyl diogelwch go iawn yn dechrau pan gewch y cyfle i gynnal eich gweinydd ffisegol dibynadwy eich hun mewn canolfan ddata. Yma, gallwch ddefnyddio dm-crypt traddodiadol, VeraCrypt, neu unrhyw ddull amgryptio arall o'ch dewis yn llawn.

Mae'n bwysig deall, gydag amgryptio llwyr, na fydd y gweinydd yn gallu ailgychwyn yn awtomatig ar ôl ailgychwyn. Bydd angen sefydlu cysylltiad â rhyngwyneb IP-KVM, IPMI, neu ryngwyneb tebyg lleol. Ar ôl hynny, rydym yn nodi'r allwedd meistr â llaw. Mae'r gosodiad hwn yn edrych yn wael o ran parhad a goddefgarwch namau, ond nid oes llawer o ddewisiadau eraill os yw'r data mor werthfawr.

Modiwl Diogelwch Caledwedd NCipher nShield F3

Mae opsiwn mwy ysgafn yn cynnwys amgryptio'r data, a storio'r allwedd yn uniongyrchol ar y gweinydd ei hun mewn HSM (Modiwl Diogelwch Caledwedd) pwrpasol. Fel arfer, mae'r rhain yn ddyfeisiau galluog iawn sydd nid yn unig yn darparu cryptograffeg caledwedd ond sydd hefyd â mecanweithiau i ganfod ymdrechion hacio corfforol. Os bydd rhywun yn dechrau hacio'ch gweinydd gyda grinder, bydd yr HSM, gyda'i gyflenwad pŵer annibynnol, yn ailosod yr allweddi sydd wedi'u storio yn ei gof. Bydd yr ymosodwr yn cael y data wedi'i amgryptio. Gall ailgychwyn ddigwydd yn awtomatig hefyd.

Mae tynnu allweddi allan yn opsiwn llawer cyflymach a mwy dyngarol na gweithredu bom thermit neu ryddhawr electromagnetig. Bydd cymdogion eich canolfan ddata yn eich aflonyddu am ddyfeisiau o'r fath am amser hir. Yn enwedig gan, os cânt eu defnyddio, Opal TCG 2 Gyda amgryptio ar y gyriannau eu hunain, nid oes fawr ddim gorbenion i chi. Mae'r cyfan yn digwydd yn dryloyw i'r system weithredu. Fodd bynnag, mae'n rhaid i chi ymddiried, dyweder, yn Samsung, a gobeithio ei fod yn defnyddio amgryptio AES256 gonest, nid dim ond XOR plaen.

Mae'n bwysig cofio bod rhaid analluogi pob porthladd diangen yn gorfforol neu eu selio â chyfansoddyn. Fel arall, rydych chi'n rhoi cyfle i ymosodwyr gyflawni Ymosodiadau DMAOs oes gennych borthladd PCI Express neu Thunderbolt agored, gan gynnwys USB sy'n ei gefnogi, rydych chi'n agored i niwed. Gallai ymosodwr ddefnyddio'r porthladdoedd hyn i gynnal ymosodiad a chael mynediad uniongyrchol i'r cof sy'n cynnwys yr allweddi.

Gallai ymosodwr mwy soffistigedig gyflawni ymosodiad cychwyn oer. Mae hyn yn syml yn cynnwys tywallt swm hael o nitrogen hylif i'ch gweinydd, tynnu'r modiwlau cof wedi'u rhewi allan yn fras, a'u dympio gyda'r holl allweddi. Yn aml, mae chwistrell oeri syml a thymheredd o tua -50 gradd Celsius yn ddigonol ar gyfer yr ymosodiad. Mae yna opsiwn mwy cynnil hefyd. Os nad ydych wedi analluogi cychwyn o ddyfeisiau allanol, mae algorithm yr ymosodwr hyd yn oed yn symlach:

Rhewi modiwlau cof heb agor y cas
Cysylltwch eich gyriant fflach USB bootable
Defnyddiwch gyfleustodau arbennig i gael gwared ar ddata o RAM a oroesodd yr ailgychwyn oherwydd rhewi.

Rhannwch a choncro

Iawn, dim ond peiriannau rhithwir sydd gennym ni, ond rydyn ni eisiau o leiaf rywsut leihau'r risg o ollyngiadau data.
Mewn egwyddor, gallem geisio ailystyried y bensaernïaeth a dosbarthu storio a phrosesu data ar draws gwahanol awdurdodaethau. Er enghraifft, gallai'r pen blaen gydag allweddi amgryptio gael ei gynnal gan westeiwr yn y Weriniaeth Tsiec, tra gallai'r pen ôl gyda data wedi'i amgryptio gael ei leoli yn rhywle yn Rwsia. Pe bai ymgais safonol i atafaelu data, mae'n annhebygol iawn y byddai asiantaethau gorfodi'r gyfraith yn gallu cynnal y llawdriniaeth ar yr un pryd mewn gwahanol awdurdodaethau. Byddai hyn hefyd yn ein hyswirio'n rhannol yn erbyn senario ciplun.

Neu gallem ystyried opsiwn cwbl bur—amgryptio o'r dechrau i'r diwedd. Wrth gwrs, mae hyn y tu hwnt i gwmpas y fanyleb ac nid yw'n cynnwys perfformio cyfrifiadau ar y peiriant o bell. Fodd bynnag, mae'n opsiwn cwbl dderbyniol o ran storio a chydamseru data. Er enghraifft, mae gan Nextcloud weithrediad cyfleus iawn o hyn. Mae cydamseru, fersiynau, a nodweddion ochr y gweinydd eraill yn parhau.

Yn gyfan gwbl

Nid oes systemau cwbl ddiogel. Y nod yn syml yw gwneud ymosodiad yn fwy costus na'r enillion posibl.

Gellir cyflawni rhywfaint o ostyngiad yn y risg o gael mynediad at ddata ar beiriant rhithwir trwy gyfuno amgryptio a storio ar wahân gyda gwahanol ddarparwyr cynnal.

Opsiwn mwy neu lai dibynadwy yw defnyddio'ch gweinydd caledwedd eich hun.

Ond mae'n rhaid i chi ymddiried yn y darparwr cynnal mewn un ffordd neu'r llall o hyd. Dyna beth mae'r diwydiant cyfan yn dibynnu arno.