اگر siloviki به میزبان شما آمد چه باید کرد؟

kdpv - رویترز

اگر سروری را اجاره می کنید، کنترل کاملی روی آن ندارید. این بدان معنی است که در هر زمان افراد آموزش دیده ویژه می توانند به میزبان مراجعه کنند و از شما بخواهند که هر یک از داده های خود را ارائه دهید. و در صورت رسمی شدن تقاضا طبق قانون، میزبان آنها را پس می دهد.

شما واقعاً نمی‌خواهید گزارش‌های وب سرور یا داده‌های کاربر شما به دیگران درز کند. ساخت یک دفاع ایده آل غیرممکن است. تقریباً غیرممکن است که از خود در برابر میزبانی که مالک هایپروایزر است و ماشین مجازی در اختیار شما قرار می دهد محافظت کنید. اما شاید بتوان خطرات را اندکی کاهش داد. رمزگذاری خودروهای اجاره ای آنقدرها هم که در نگاه اول به نظر می رسد بی فایده نیست. در عین حال، بیایید به تهدیدات استخراج داده از سرورهای فیزیکی نگاه کنیم.

مدل تهدید

به عنوان یک قاعده، میزبان سعی می کند تا حد امکان طبق قانون از منافع مشتری محافظت کند. اگر نامه مقامات رسمی فقط گزارش های دسترسی را درخواست کرده باشد، میزبان همه ماشین های مجازی شما را با پایگاه داده روگرفت. حداقل نباید. اگر آنها تمام داده ها را بخواهند، میزبان دیسک های مجازی را با تمام فایل ها کپی می کند و شما از آن خبر نخواهید داشت.

صرف نظر از سناریو، هدف اصلی شما این است که حمله را بیش از حد دشوار و پرهزینه کنید. معمولاً سه گزینه اصلی تهدید وجود دارد.

رسمی

اغلب، نامه کاغذی به دفتر رسمی میزبان ارسال می شود که باید اطلاعات لازم را مطابق با مقررات مربوطه ارائه کند. اگر همه چیز به درستی انجام شود، میزبان گزارش های دسترسی لازم و سایر داده ها را در اختیار مقامات رسمی قرار می دهد. معمولا آنها فقط از شما می خواهند که داده های لازم را ارسال کنید.

گهگاه، در صورت لزوم، نمایندگان سازمان های مجری قانون شخصاً به مرکز داده مراجعه می کنند. به عنوان مثال، زمانی که شما سرور اختصاصی خود را دارید و داده ها از آنجا فقط به صورت فیزیکی قابل برداشت هستند.

در همه کشورها، دستیابی به اموال خصوصی، انجام جستجو و سایر فعالیت ها مستلزم شواهدی است که نشان دهد داده ها ممکن است حاوی اطلاعات مهمی برای تحقیق در مورد جرم باشند. علاوه بر این، صدور حکم بازرسی مطابق با کلیه مقررات مورد نیاز است. ممکن است تفاوت های ظریف مربوط به ویژگی های قانون محلی وجود داشته باشد. نکته اصلی که باید بدانید این است که اگر مسیر رسمی درست باشد، نمایندگان مرکز داده به کسی اجازه عبور از ورودی را نمی دهند.

علاوه بر این، در بیشتر کشورها نمی‌توانید به سادگی تجهیزات در حال اجرا را بیرون بکشید. به عنوان مثال، در روسیه، تا پایان سال 2018، طبق ماده 183 قانون آیین دادرسی کیفری فدراسیون روسیه، قسمت 3.1، تضمین شد که در حین توقیف، توقیف رسانه ذخیره سازی الکترونیکی با مشارکت انجام شده است. از یک متخصص به درخواست صاحب قانونی رسانه ذخیره الکترونیکی توقیف شده یا صاحب اطلاعات موجود در آنها، متخصص شرکت کننده در توقیف، در حضور شاهدان، اطلاعات رسانه های ذخیره الکترونیکی توقیف شده را در سایر رسانه های ذخیره الکترونیکی کپی می کند.

سپس متاسفانه این نکته از مقاله حذف شد.

سری و غیر رسمی

این در حال حاضر قلمرو فعالیت رفقای آموزش دیده ویژه از NSA، FBI، MI5 و سایر سازمان های سه نامه ای است. اغلب، قوانین کشورها اختیارات بسیار گسترده ای را برای چنین ساختارهایی فراهم می کند. علاوه بر این، تقریباً همیشه یک ممنوعیت قانونی برای افشای مستقیم یا غیرمستقیم واقعیت همکاری با چنین سازمان‌های مجری قانون وجود دارد. مشابه آن در روسیه وجود دارد هنجارهای قانونی.

در صورت وجود چنین تهدیدی برای داده های شما، تقریباً مطمئناً آنها حذف خواهند شد. علاوه بر این، علاوه بر ضبط ساده، می توان از کل زرادخانه غیررسمی درهای پشتی، آسیب پذیری های روز صفر، استخراج داده ها از رم ماشین مجازی شما و سایر لذت ها استفاده کرد. در این صورت میزبان موظف است تا حد امکان به متخصصان نیروی انتظامی کمک کند.

کارمند بی وجدان

همه مردم به یک اندازه خوب نیستند. یکی از مدیران مرکز داده ممکن است تصمیم بگیرد که پول بیشتری کسب کند و داده های شما را بفروشد. تحولات بیشتر به قدرت و دسترسی او بستگی دارد. آزاردهنده ترین چیز این است که یک مدیر با دسترسی به کنسول مجازی سازی، کنترل کاملی بر دستگاه های شما دارد. همیشه می توانید یک عکس فوری به همراه تمام محتویات رم بگیرید و سپس به آرامی آن را مطالعه کنید.

VDS

بنابراین شما یک ماشین مجازی دارید که میزبان به شما داده است. چگونه می توانید رمزگذاری را برای محافظت از خود پیاده سازی کنید؟ در واقع، عملا هیچ چیز. علاوه بر این، حتی سرور اختصاصی شخص دیگری نیز ممکن است به یک ماشین مجازی تبدیل شود که دستگاه های لازم در آن قرار داده شده است.

اگر وظیفه سیستم راه دور فقط ذخیره داده ها نیست، بلکه انجام برخی محاسبات است، تنها گزینه کار با یک ماشین غیرقابل اعتماد، پیاده سازی است. رمزگذاری همومورفیک. در این حالت، سیستم محاسبات را بدون توانایی درک اینکه دقیقاً چه کاری انجام می دهد، انجام می دهد. متأسفانه، هزینه های سربار برای اجرای چنین رمزگذاری به قدری زیاد است که استفاده عملی از آنها در حال حاضر به کارهای بسیار محدود محدود شده است.

به علاوه، در لحظه ای که ماشین مجازی در حال اجرا است و برخی از اقدامات را انجام می دهد، تمام حجم های رمزگذاری شده در حالت قابل دسترسی هستند، در غیر این صورت سیستم عامل به سادگی قادر به کار با آنها نخواهد بود. این بدان معناست که با دسترسی به کنسول مجازی سازی، همیشه می توانید یک عکس فوری از یک ماشین در حال اجرا بگیرید و تمام کلیدها را از RAM استخراج کنید.

بسیاری از فروشندگان تلاش کرده اند تا رمزگذاری سخت افزاری RAM را سازماندهی کنند تا حتی میزبان به این داده ها دسترسی نداشته باشد. به عنوان مثال، فناوری Intel Software Guard Extensions، که مناطقی را در فضای آدرس مجازی سازماندهی می کند که از خواندن و نوشتن خارج از این منطقه توسط فرآیندهای دیگر، از جمله هسته سیستم عامل محافظت می شود. متأسفانه، شما نمی توانید به طور کامل به این فناوری ها اعتماد کنید، زیرا به ماشین مجازی خود محدود خواهید شد. علاوه بر این، نمونه های آماده از قبل وجود دارد حمله موفق برای این فناوری با این حال، رمزگذاری ماشین های مجازی آنقدرها هم که به نظر می رسد بی معنی نیست.

ما داده ها را روی VDS رمزگذاری می کنیم

اجازه دهید فوراً رزرو کنم که هر کاری که در زیر انجام می دهیم به منزله محافظت کامل نیست. هایپروایزر به شما این امکان را می دهد که بدون توقف سرویس و بدون توجه شما، کپی های لازم را تهیه کنید.

• اگر در صورت درخواست، میزبان تصویری «سرد» از ماشین مجازی شما را منتقل کند، پس شما نسبتاً ایمن هستید. این رایج ترین سناریو است.
• اگر میزبان یک عکس کامل از یک ماشین در حال اجرا به شما بدهد، پس همه چیز خیلی بد است. تمام داده ها به صورت واضح در سیستم سوار می شوند. علاوه بر این، جستجو در رم برای جستجوی کلیدهای خصوصی و داده های مشابه امکان پذیر خواهد بود.

به طور پیش فرض، اگر سیستم عامل را از یک تصویر وانیلی مستقر کرده باشید، میزبان دسترسی ریشه ندارد. همیشه می توانید رسانه را با تصویر نجات سوار کنید و رمز عبور ریشه را با کروت کردن محیط ماشین مجازی تغییر دهید. اما این به راه اندازی مجدد نیاز دارد که مورد توجه قرار خواهد گرفت. به علاوه، تمام پارتیشن های رمزگذاری شده نصب شده بسته خواهند شد.

با این حال، اگر استقرار یک ماشین مجازی از یک تصویر وانیلی نباشد، بلکه از یک تصویر از پیش آماده شده باشد، میزبان اغلب می‌تواند یک حساب کاربری ممتاز برای کمک در شرایط اضطراری به مشتری اضافه کند. به عنوان مثال، برای تغییر رمز عبور فراموش شده root.

حتی در مورد یک عکس فوری کامل، همه چیز آنقدر غم انگیز نیست. اگر شما آنها را از سیستم فایل راه دور دستگاه دیگری نصب کرده باشید، مهاجم فایل های رمزگذاری شده را دریافت نخواهد کرد. بله، در تئوری، می‌توانید حافظه RAM را انتخاب کنید و کلیدهای رمزگذاری را از آنجا استخراج کنید. اما در عمل این خیلی پیش پا افتاده نیست و بسیار بعید است که این فرآیند فراتر از انتقال ساده فایل باشد.

ماشین سفارش دهید

برای اهداف آزمایشی ما، یک ماشین ساده را وارد می کنیم بخش سفارش سرور. ما به منابع زیادی نیاز نداریم، بنابراین گزینه پرداخت مگاهرتز و ترافیک واقعی را در نظر می گیریم. فقط کافیه باهاش ​​بازی کنی

dm-crypt کلاسیک برای کل پارتیشن انجام نشد. به طور پیش فرض، دیسک به صورت یک تکه داده می شود، با ریشه برای کل پارتیشن. کوچک کردن یک پارتیشن ext4 بر روی یک پارتیشن روت، عملاً به جای یک سیستم فایل، یک آجر تضمینی است. من سعی کردم) تنبور کمکی نکرد.

ایجاد یک کانتینر رمزنگاری

بنابراین، ما کل پارتیشن را رمزگذاری نمی کنیم، بلکه از کانتینرهای رمزنگاری فایل، یعنی VeraCrypt حسابرسی شده و قابل اعتماد استفاده می کنیم. برای اهداف ما این کافی است. ابتدا بسته را با نسخه CLI از وب سایت رسمی خارج کرده و نصب می کنیم. می توانید همزمان امضا را بررسی کنید.

wget https://launchpad.net/veracrypt/trunk/1.24-update4/+download/veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb
dpkg -i veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb

اکنون خود ظرف را در جایی در خانه خود ایجاد می کنیم تا بتوانیم آن را به صورت دستی در هنگام راه اندازی مجدد نصب کنیم. در گزینه تعاملی، اندازه کانتینر، رمز عبور و الگوریتم های رمزگذاری را تنظیم کنید. می توانید رمز میهن پرستانه Grasshopper و تابع هش Stribog را انتخاب کنید.

veracrypt -t -c ~/my_super_secret

حالا بیایید nginx را نصب کنیم، ظرف را سوار کنیم و آن را با اطلاعات مخفی پر کنیم.

mkdir /var/www/html/images
veracrypt ~/my_super_secret /var/www/html/images/
wget https://upload.wikimedia.org/wikipedia/ru/2/24/Lenna.png

بیایید /var/www/html/index.nginx-debian.html را کمی تصحیح کنیم تا صفحه مورد نظر به دست آید و بتوانید آن را بررسی کنید.

وصل کنید و بررسی کنید

ظرف نصب شده است، داده ها قابل دسترسی و ارسال هستند.

و در اینجا دستگاه پس از راه اندازی مجدد است. داده ها به طور ایمن در ~/my_super_secret ذخیره می شوند.

اگر واقعاً به آن نیاز دارید و آن را هاردکور می‌خواهید، می‌توانید کل سیستم‌عامل را رمزگذاری کنید تا هنگام راه‌اندازی مجدد، نیاز به اتصال از طریق ssh و وارد کردن رمز عبور داشته باشد. این همچنین در سناریوی صرفاً برداشتن "داده های سرد" کافی خواهد بود. اینجا دستورالعمل استفاده از dropbear و رمزگذاری دیسک از راه دور. اگرچه در مورد VDS دشوار و زائد است.

فلز لخت

نصب سرور خود در یک مرکز داده چندان آسان نیست. ممکن است دستگاه اختصاصی شخص دیگری یک ماشین مجازی باشد که همه دستگاه ها به آن منتقل می شوند. اما چیزی جالب از نظر محافظت زمانی شروع می شود که شما فرصت دارید سرور فیزیکی مورد اعتماد خود را در یک مرکز داده قرار دهید. در اینجا می توانید به طور کامل از dm-crypt سنتی، VeraCrypt یا هر رمزگذاری دیگری که انتخاب می کنید استفاده کنید.

باید بدانید که اگر رمزگذاری کامل اجرا شود، سرور به تنهایی پس از راه‌اندازی مجدد قادر به بازیابی نخواهد بود. لازم است اتصال به IP-KVM محلی، IPMI یا سایر رابط های مشابه افزایش یابد. پس از آن به صورت دستی کلید اصلی را وارد می کنیم. این طرح از نظر تداوم و تحمل خطا بسیار به نظر می رسد، اما اگر داده ها بسیار ارزشمند باشند، جایگزین خاصی وجود ندارد.

ماژول امنیتی سخت افزار NCipher nShield F3

یک گزینه نرم‌تر فرض می‌کند که داده‌ها رمزگذاری شده است و کلید مستقیماً روی خود سرور در یک HSM ویژه (ماژول امنیتی سخت‌افزار) قرار دارد. به عنوان یک قاعده، اینها دستگاه های بسیار کاربردی هستند که نه تنها رمزنگاری سخت افزاری را ارائه می دهند، بلکه مکانیسم هایی برای شناسایی تلاش های هک فیزیکی نیز دارند. اگر شخصی شروع به گشت و گذار در اطراف سرور شما با یک آسیاب زاویه ای کند، HSM با منبع تغذیه مستقل کلیدهایی را که در حافظه خود ذخیره می کند مجددا تنظیم می کند. مهاجم گوشت چرخ کرده رمزگذاری شده را دریافت خواهد کرد. در این مورد، راه اندازی مجدد می تواند به طور خودکار رخ دهد.

برداشتن کلیدها یک گزینه بسیار سریعتر و انسانی تر از فعال کردن بمب ترمیت یا برقگیر الکترومغناطیسی است. برای چنین دستگاه هایی، شما برای مدت طولانی توسط همسایگان خود در رک در مرکز داده مورد ضرب و شتم قرار خواهید گرفت. علاوه بر این، در مورد استفاده از TCG Opal 2 با رمزگذاری روی خود رسانه، تقریباً هیچ هزینه ای را تجربه نمی کنید. همه اینها به طور شفاف برای سیستم عامل اتفاق می افتد. درست است، در این مورد باید به سامسونگ مشروط اعتماد کنید و امیدوار باشید که AES256 صادقانه داشته باشد و نه XOR پیش پا افتاده.

در عین حال، ما نباید فراموش کنیم که همه پورت های غیر ضروری باید از نظر فیزیکی غیرفعال شوند یا به سادگی با ترکیب پر شوند. در غیر این صورت، به مهاجمان فرصت انجام این کار را می دهید حملات DMA. اگر PCI Express یا Thunderbolt از جمله USB با پشتیبانی از آن بیرون زده است، آسیب پذیر هستید. مهاجم می تواند از طریق این پورت ها حمله ای را انجام دهد و با کلیدها به حافظه دسترسی مستقیم پیدا کند.

در یک نسخه بسیار پیچیده، مهاجم قادر به انجام یک حمله با بوت سرد خواهد بود. در همان زمان، به سادگی بخش خوبی از نیتروژن مایع را به سرور شما می‌ریزد، حافظه‌های یخ‌زده را تقریباً جدا می‌کند و با تمام کلیدها از آنها خالی می‌کند. اغلب، یک اسپری خنک کننده معمولی و دمای حدود -50 درجه برای انجام یک حمله کافی است. گزینه دقیق تری نیز وجود دارد. اگر بارگیری از دستگاه های خارجی را غیرفعال نکرده باشید، الگوریتم مهاجم حتی ساده تر خواهد بود:

1. مموری استیک ها را بدون باز کردن قاب فریز کنید
2. درایو فلش USB قابل بوت خود را وصل کنید
3. از ابزارهای ویژه برای حذف داده هایی از RAM استفاده کنید که به دلیل انجماد از راه اندازی مجدد جان سالم به در برده اند.

تقسیم و تسخیر کنید

خوب، ما فقط ماشین های مجازی داریم، اما من می خواهم به نحوی خطرات نشت داده ها را کاهش دهم.
در اصل، می توانید سعی کنید معماری را اصلاح کنید و ذخیره سازی و پردازش داده ها را در حوزه های قضایی مختلف توزیع کنید. به عنوان مثال، قسمت جلویی با کلیدهای رمزگذاری متعلق به میزبان در جمهوری چک است و نسخه پشتیبان با داده های رمزگذاری شده در جایی در روسیه است. در مورد تلاش برای تشنج استاندارد، بسیار بعید است که سازمان های مجری قانون بتوانند این کار را به طور همزمان در حوزه های قضایی مختلف انجام دهند. به علاوه، این تا حدی ما را در برابر سناریوی گرفتن عکس فوری بیمه می کند.

خوب، یا می توانید یک گزینه کاملاً خالص را در نظر بگیرید - رمزگذاری End-to-End. البته، این فراتر از محدوده مشخصات است و به معنای انجام محاسبات در کنار دستگاه از راه دور نیست. با این حال، این یک گزینه کاملا قابل قبول برای ذخیره و همگام سازی داده ها است. به عنوان مثال، این بسیار راحت در Nextcloud پیاده سازی می شود. در عین حال، همگام‌سازی، نسخه‌سازی و سایر ویژگی‌های سمت سرور از بین نمی‌روند.

در کل

هیچ سیستم کاملا امنی وجود ندارد. هدف صرفاً این است که ارزش حمله بیشتر از سود بالقوه باشد.

کاهش خطرات دسترسی به داده ها در یک سایت مجازی را می توان با ترکیب رمزگذاری و ذخیره سازی جداگانه با میزبان های مختلف به دست آورد.

یک گزینه کم و بیش قابل اعتماد استفاده از سرور سخت افزاری خود است.

اما هنوز هم باید به میزبان اعتماد کرد. کل صنعت بر این استوار است.

منبع: www.habr.com