מה לעשות אם siloviki מגיע למארח שלך

kdpv - רויטרס

אם אתה שוכר שרת, אז אין לך שליטה מלאה עליו. משמעות הדבר היא שבכל עת אנשים בעלי הכשרה מיוחדת יכולים להגיע למארח ולבקש ממך לספק כל אחד מהנתונים שלך. והמארח יחזיר להם אם הדרישה תתגבש על פי החוק.

אתה באמת לא רוצה שיומני שרת האינטרנט שלך או נתוני משתמש ידלפו לאף אחד אחר. אי אפשר לבנות הגנה אידיאלית. כמעט בלתי אפשרי להגן על עצמך מפני מארח שבבעלותו ה-Hypervisor ומספק לך מכונה וירטואלית. אבל אולי אפשר יהיה לצמצם מעט את הסיכונים. הצפנת רכבים להשכרה אינה חסרת תועלת כפי שהיא נראית במבט ראשון. במקביל, בואו נסתכל על האיומים של חילוץ נתונים משרתים פיזיים.

מודל איום

ככלל, המארח ינסה להגן על האינטרסים של הלקוח ככל שניתן על פי חוק. אם המכתב מהרשויות הרשמיות ביקש רק יומני גישה, המארח לא יספק dump של כל המכונות הווירטואליות שלך עם מסדי נתונים. לפחות לא צריך. אם הם יבקשו את כל הנתונים, המארח יעתיק את הדיסקים הווירטואליים עם כל הקבצים ואתם לא תדעו על כך.

ללא קשר לתרחיש, המטרה העיקרית שלך היא להפוך את ההתקפה לקשה ויקרה מדי. בדרך כלל יש שלוש אפשרויות איום עיקריות.

רשמי

לרוב, מכתב נייר נשלח למשרד הרשמי של המארח עם דרישה למסור את הנתונים הדרושים בהתאם לתקנה הרלוונטית. אם הכל נעשה כהלכה, המארח מספק את יומני הגישה הדרושים ונתונים אחרים לרשויות הרשמיות. בדרך כלל הם פשוט מבקשים ממך לשלוח את הנתונים הדרושים.

מדי פעם, אם יש צורך בהחלט, נציגי רשויות אכיפת החוק מגיעים למרכז הנתונים באופן אישי. לדוגמה, כאשר יש לך שרת ייעודי משלך וניתן לקחת נתונים משם רק פיזית.

בכל המדינות, השגת גישה לרכוש פרטי, ביצוע חיפושים ופעילויות אחרות דורשות ראיות לכך שהנתונים עשויים להכיל מידע חשוב לחקירת פשע. כמו כן, נדרש צו חיפוש המבוצע בהתאם לכל התקנות. ייתכנו ניואנסים הקשורים למוזרויות של החקיקה המקומית. הדבר העיקרי שאתה צריך להבין הוא שאם הנתיב הרשמי נכון, נציגי הדאטה סנטר לא יתנו לאף אחד לעבור את הכניסה.

יתרה מכך, ברוב המדינות אי אפשר פשוט לשלוף ציוד ריצה. לדוגמה, ברוסיה, עד סוף 2018, על פי סעיף 183 של קוד סדר הדין הפלילי של הפדרציה הרוסית, חלק 3.1, הובטח כי במהלך תפיסה, תפיסת אמצעי אחסון אלקטרוניים בוצעה בהשתתפות של מומחה. לבקשת הבעלים החוקיים של אמצעי האחסון האלקטרוני שנתפסו או הבעלים של המידע המצוי בהם, המומחה המשתתף בתפיסה, בנוכחות עדים, מעתיק מידע מאמצעי האחסון האלקטרונים שנתפסו לאמצעי אחסון אלקטרוניים אחרים.

לאחר מכן, למרבה הצער, נקודה זו הוסרה מהמאמר.

סודי ולא רשמי

זה כבר שטח הפעילות של חברים מאומנים במיוחד מה-NSA, FBI, MI5 וארגונים אחרים בני שלוש אותיות. לרוב, החקיקה של מדינות מספקת סמכויות רחבות ביותר למבנים כאלה. יתרה מכך, כמעט תמיד חל איסור חקיקתי על כל חשיפה ישירה או עקיפה של עצם שיתוף הפעולה עם רשויות אכיפת חוק כאלה. יש כאלה ברוסיה תקנות משפטיות.

במקרה של איום כזה על הנתונים שלך, הם יוסרו כמעט בוודאות. יתרה מכך, בנוסף לתפיסה פשוטה, ניתן להשתמש בכל הארסנל הבלתי רשמי של דלתות אחוריות, פגיעויות של יום אפס, חילוץ נתונים מה-RAM של המחשב הווירטואלי שלך והנאות אחרות. במקרה זה, המארח יחויב לסייע למומחי אכיפת החוק ככל האפשר.

עובד חסר מצפון

לא כל האנשים טובים באותה מידה. אחד ממנהלי מרכז הנתונים עשוי להחליט להרוויח כסף נוסף ולמכור את הנתונים שלך. התפתחויות נוספות תלויות בסמכויותיו ובגישה שלו. הדבר המעצבן ביותר הוא שלמנהל מערכת עם גישה לקונסולת הוירטואליזציה יש שליטה מלאה על המכונות שלך. אתה תמיד יכול לצלם תמונת מצב עם כל התוכן של ה-RAM ואז לאט לאט ללמוד אותו.

VDS

אז יש לך מכונה וירטואלית שהמארח נתן לך. איך אתה יכול ליישם הצפנה כדי להגן על עצמך? למעשה, כמעט כלום. יתרה מכך, אפילו שרת ייעודי של מישהו אחר עשוי להיות מכונה וירטואלית שאליו מוכנסים המכשירים הדרושים.

אם המשימה של המערכת המרוחקת היא לא רק לאחסן נתונים, אלא לבצע כמה חישובים, אז האפשרות היחידה לעבוד עם מכונה לא מהימנה תהיה ליישם הצפנה הומומורפית. במקרה זה, המערכת תבצע חישובים ללא יכולת להבין מה בדיוק היא עושה. לרוע המזל, עלויות התקורה להטמעת הצפנה כזו הן כה גבוהות עד שהשימוש המעשי בהן מוגבל כיום למשימות צרות מאוד.

בנוסף, ברגע שבו המכונה הוירטואלית פועלת ומבצעת כמה פעולות, כל אמצעי האחסון המוצפנים נמצאים במצב נגיש, אחרת מערכת ההפעלה פשוט לא תוכל לעבוד איתם. המשמעות היא שעם גישה למסוף הוירטואליזציה, אתה תמיד יכול לצלם תמונת מצב של מכונה פועלת ולחלץ את כל המפתחות מ-RAM.

ספקים רבים ניסו לארגן הצפנת חומרה של זיכרון RAM כך שאפילו למארח אין גישה לנתונים אלו. לדוגמה, טכנולוגיית Intel Software Guard Extensions, המארגנת אזורים במרחב הכתובות הווירטואלי המוגנים מקריאה וכתיבה מחוץ לאזור זה על ידי תהליכים אחרים, כולל ליבת מערכת ההפעלה. למרבה הצער, לא תוכל לסמוך באופן מלא על הטכנולוגיות הללו, מכיוון שאתה תהיה מוגבל למכונה הוירטואלית שלך. בנוסף, דוגמאות מוכנות כבר קיימות התקפה מוצלחת עבור הטכנולוגיה הזו. ובכל זאת, הצפנת מכונות וירטואליות אינה חסרת טעם כפי שהיא עשויה להיראות.

אנו מצפינים נתונים ב-VDS

הרשו לי להסתייג מיד שכל מה שאנו עושים להלן אינו מסתכם בהגנה מן המניין. ההיפרוויזר יאפשר לכם ליצור את ההעתקים הדרושים מבלי להפסיק את השירות וללא שימו לב.

• אם, לפי בקשה, המארח מעביר תמונה "קרה" של המחשב הווירטואלי שלך, אז אתה בטוח יחסית. זהו התרחיש הנפוץ ביותר.
• אם המארח נותן לך תמונת מצב מלאה של מכונה פועלת, אז הכל די גרוע. כל הנתונים יורכבו במערכת בצורה ברורה. בנוסף, ניתן יהיה לחטט ב-RAM בחיפוש אחר מפתחות פרטיים ונתונים דומים.

כברירת מחדל, אם פרסתם את מערכת ההפעלה מתמונת וניל, למארח אין גישת שורש. אתה תמיד יכול להעלות את המדיה עם תמונת ההצלה ולשנות את סיסמת השורש על ידי chroot של סביבת המכונה הווירטואלית. אבל זה ידרוש אתחול מחדש, אשר יורגש. בנוסף, כל המחיצות המוצפנות המותקנות ייסגרו.

עם זאת, אם הפריסה של מכונה וירטואלית לא מגיעה מתמונת וניל, אלא מתמונה שהוכנה מראש, אז המארח יכול לעתים קרובות להוסיף חשבון מיוחס כדי לסייע במצב חירום אצל הלקוח. לדוגמה, כדי לשנות סיסמת שורש שנשכחה.

גם במקרה של תמונת מצב שלמה, לא הכל כל כך עצוב. תוקף לא יקבל קבצים מוצפנים אם העלית אותם ממערכת הקבצים המרוחקת של מחשב אחר. כן, בתיאוריה, אתה יכול לבחור את dump RAM ולחלץ את מפתחות ההצפנה משם. אבל בפועל זה לא מאוד טריוויאלי וזה מאוד לא סביר שהתהליך יעבור מעבר להעברת קבצים פשוטה.

הזמינו רכב

למטרות הבדיקה שלנו, אנו לוקחים מכונה פשוטה סעיף להזמנת שרתים. אנחנו לא צריכים הרבה משאבים, אז נשתמש באפשרות לשלם עבור המגה-הרץ והתעבורה שהושקעה בפועל. מספיק לשחק איתו.

ה-dm-crypt הקלאסי עבור כל המחיצה לא המריא. כברירת מחדל, הדיסק ניתן בחתיכה אחת, עם שורש עבור כל המחיצה. כיווץ מחיצת ext4 במחיצת שורש היא למעשה לבנה מובטחת במקום מערכת קבצים. ניסיתי) הטמבורין לא עזר.

יצירת מיכל קריפטו

לכן, לא נצפין את כל המחיצה, אלא נשתמש בקונטיינרים של קריפטו של קבצים, כלומר VeraCrypt המבוקרת והאמינה. לענייננו זה מספיק. ראשית, אנו שולפים ומתקינים את החבילה עם גרסת CLI מהאתר הרשמי. אתה יכול לבדוק את החתימה באותו זמן.

wget https://launchpad.net/veracrypt/trunk/1.24-update4/+download/veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb
dpkg -i veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb

כעת ניצור את המיכל עצמו איפשהו בבית שלנו כדי שנוכל להרכיב אותו באופן ידני עם אתחול מחדש. באפשרות האינטראקטיבית, הגדר את גודל המיכל, הסיסמה וההצפנה. אתה יכול לבחור את הצופן הפטריוטי Grasshopper ואת פונקציית ה-Hash Stribog.

veracrypt -t -c ~/my_super_secret

עכשיו בואו נתקין את nginx, נעלה את המיכל ונמלא אותו במידע סודי.

mkdir /var/www/html/images
veracrypt ~/my_super_secret /var/www/html/images/
wget https://upload.wikimedia.org/wikipedia/ru/2/24/Lenna.png

בואו נתקן מעט את /var/www/html/index.nginx-debian.html כדי לקבל את הדף הרצוי ותוכל לבדוק אותו.

התחבר ובדוק

המיכל מותקן, הנתונים נגישים ונשלחים.

והנה המכונה לאחר אתחול מחדש. הנתונים מאוחסנים בצורה מאובטחת ב-~/my_super_secret.

אם אתה באמת צריך את זה ורוצה את זה הארדקור, אז אתה יכול להצפין את מערכת ההפעלה כולה כך שכשאתה אתחול מחדש היא דורשת חיבור באמצעות ssh והזנת סיסמה. זה יספיק גם בתרחיש של משיכת "נתונים קרים". כאן הוראות לשימוש ב- Dropbear והצפנת דיסק מרחוק. למרות שבמקרה של VDS זה קשה ומיותר.

מתכת חשופה

זה לא כל כך קל להתקין שרת משלך במרכז נתונים. יתכן שהמסור של מישהו אחר יתברר כמכונה וירטואלית שאליה מועברים כל המכשירים. אבל משהו מעניין מבחינת הגנה מתחיל כשיש לך הזדמנות למקם את השרת הפיזי המהימן שלך במרכז נתונים. כאן אתה כבר יכול להשתמש באופן מלא ב-dm-crypt המסורתי, VeraCrypt או כל הצפנה אחרת לבחירתך.

עליך להבין שאם מיושמת הצפנה מלאה, השרת לא יוכל להתאושש בעצמו לאחר אתחול מחדש. יהיה צורך להעלות את החיבור לממשק IP-KVM המקומי, IPMI או ממשק דומה אחר. לאחר מכן נזין ידנית את מפתח המאסטר. התוכנית נראית כך-כך מבחינת המשכיות וסובלנות לתקלות, אך אין חלופות מיוחדות אם הנתונים כה בעלי ערך.

NCipher nShield F3 מודול אבטחת חומרה

אפשרות רכה יותר מניחה שהנתונים מוצפנים והמפתח ממוקם ישירות על השרת עצמו ב-HSM מיוחד (Hardware Security Module). ככלל, מדובר במכשירים פונקציונליים מאוד שלא רק מספקים קריפטוגרפיה של חומרה, אלא גם בעלי מנגנונים לזיהוי ניסיונות פריצה פיזיים. אם מישהו יתחיל לחטט בשרת שלך עם משחזת זווית, ה-HSM עם ספק כוח עצמאי יאפס את המפתחות שהוא מאחסן בזיכרון שלו. התוקף יקבל את הבשר הטחון המוצפן. במקרה זה, האתחול יכול להתרחש באופן אוטומטי.

הסרת מפתחות היא אופציה הרבה יותר מהירה ואנושית מהפעלת פצצת תרמיט או מעצר אלקטרומגנטי. עבור מכשירים כאלה, אתה תקבל מכות במשך זמן רב מאוד על ידי השכנים שלך ליד המדף במרכז הנתונים. יתר על כן, במקרה של שימוש TCG Opal 2 הצפנה על המדיה עצמה, אתה כמעט ללא תקורה. כל זה קורה בשקיפות למערכת ההפעלה. נכון, במקרה הזה אתה צריך לסמוך על סמסונג המותנית ולקוות שיש לה AES256 כנה, ולא ה-XOR הבנאלי.

יחד עם זאת, אסור לשכוח שכל הפורטים המיותרים חייבים להיות מושבתים פיזית או פשוט למלא במתחם. אחרת, אתה נותן לתוקפים את ההזדמנות לבצע התקפות DMA. אם יש לך PCI Express או Thunderbolt בולט החוצה, כולל USB עם התמיכה שלו, אתה פגיע. תוקף יוכל לבצע תקיפה דרך יציאות אלו ולקבל גישה ישירה לזיכרון באמצעות מפתחות.

בגרסה מתוחכמת מאוד, התוקף יוכל לבצע מתקפת אתחול קר. יחד עם זאת, הוא פשוט שופך חלק ניכר של חנקן נוזלי לשרת שלך, מסיר בגסות את מקלות הזיכרון הקפואים ולוקח מהם מזבלה עם כל המפתחות. לעתים קרובות מספיקים תרסיס קירור רגיל וטמפרטורה של בסביבות -50 מעלות כדי לבצע פיגוע. יש גם אפשרות מדויקת יותר. אם לא השבתת טעינה ממכשירים חיצוניים, האלגוריתם של התוקף יהיה אפילו יותר פשוט:

1. הקפאת מקלות זיכרון מבלי לפתוח את המארז
2. חבר את כונן הבזק מסוג USB הניתן לאתחול
3. השתמש בכלי שירות מיוחדים כדי להסיר נתונים מ-RAM ששרדו את האתחול מחדש עקב הקפאה.

לחלק ולכבוש

בסדר, יש לנו רק מכונות וירטואליות, אבל אני רוצה איכשהו להפחית את הסיכונים של דליפת נתונים.
אתה יכול, באופן עקרוני, לנסות לשנות את הארכיטקטורה ולהפיץ אחסון ועיבוד נתונים על פני תחומי שיפוט שונים. לדוגמה, הקצה הקדמי עם מפתחות ההצפנה הוא מהמארח בצ'כיה, והקצה האחורי עם נתונים מוצפנים נמצא אי שם ברוסיה. במקרה של ניסיון תפיסה סטנדרטי, אין זה סביר ביותר שרשויות אכיפת החוק יוכלו לבצע זאת בו-זמנית בתחומי שיפוט שונים. בנוסף, זה מבטיח אותנו חלקית מפני התרחיש של צילום תמונת מצב.

ובכן, או שאתה יכול לשקול אפשרות טהורה לחלוטין - הצפנה מקצה לקצה. כמובן שהדבר חורג מתחום המפרט ואינו מרמז על ביצוע חישובים בצד המכונה המרוחקת. עם זאת, זוהי אפשרות מקובלת לחלוטין בכל הנוגע לאחסון וסנכרון נתונים. לדוגמה, זה מיושם בצורה נוחה מאוד ב-Nextcloud. יחד עם זאת, סנכרון, ניהול גרסאות ושאר דברים טובים בצד השרת לא ייעלמו.

בסך הכל

אין מערכות מאובטחות לחלוטין. המטרה היא פשוט לגרום להתקפה להיות שווה יותר מהרווח הפוטנציאלי.

ניתן להשיג הפחתה מסוימת בסיכונים של גישה לנתונים באחד וירטואלי על ידי שילוב של הצפנה ואחסון נפרד עם מארחים שונים.

אפשרות אמינה יותר או פחות היא להשתמש בשרת החומרה שלך.

אבל עדיין יהיה צורך לסמוך על המארח בצורה כזו או אחרת. כל התעשייה נשענת על זה.

מקור: www.habr.com