kdpv - Reuters
Yen sampeyan nyewa server, sampeyan ora duwe kontrol lengkap. Iki tegese sawayah-wayah wong sing dilatih khusus bisa teka menyang hoster lan njaluk sampeyan nyedhiyakake data sampeyan. Lan hoster bakal menehi maneh yen panjaluk wis resmi miturut hukum.
Sampeyan pancene ora pengin log server web utawa data pangguna bocor menyang wong liya. Ora mungkin mbangun pertahanan sing becik. Meh mokal kanggo nglindhungi dhewe saka hoster sing ndarbeni hypervisor lan nyedhiyani sampeyan karo mesin virtual. Nanging mbok menawa bakal bisa nyuda resiko sethithik. Encrypting mobil rental ora minangka guna minangka misale jek ing kawitan marketing. Ing wektu sing padha, ayo goleki ancaman ekstraksi data saka server fisik.
Model ancaman
Minangka aturan, hoster bakal nyoba kanggo nglindhungi kapentingan klien sabisa dening hukum. Yen layang saka panguwasa resmi mung njaluk log akses, hoster ora bakal nyedhiyani dumps kabeh mesin virtual karo database. Paling ora kudu. Yen padha takon kabeh data, hoster bakal nyalin disk virtual karo kabeh file lan sampeyan ora bakal ngerti.
Preduli saka skenario, tujuan utama sampeyan yaiku nggawe serangan kasebut angel banget lan larang. Biasane ana telung opsi ancaman utama.
Resmi
Paling asring, surat kertas dikirim menyang kantor resmi hoster kanthi syarat kanggo nyedhiyakake data sing dibutuhake miturut peraturan sing relevan. Yen kabeh wis rampung kanthi bener, hoster nyedhiyakake log akses sing dibutuhake lan data liyane menyang panguwasa resmi. Biasane mung njaluk sampeyan ngirim data sing dibutuhake.
Kadhangkala, yen pancen perlu, wakil saka lembaga penegak hukum teka menyang pusat data kanthi pribadi. Contone, yen sampeyan duwe server darmabakti dhewe lan data saka ing kono mung bisa dijupuk kanthi fisik.
Ing kabeh negara, entuk akses menyang properti pribadi, nindakake telusuran lan kegiatan liyane mbutuhake bukti yen data kasebut bisa ngemot informasi penting kanggo investigasi kejahatan. Kajaba iku, surat perintah telusuran sing ditindakake miturut kabeh peraturan dibutuhake. Bisa uga ana nuansa sing ana gandhengane karo kekhasan peraturan lokal. Wangsulan utama sing kudu dingerteni yaiku yen dalan resmi bener, wakil pusat data ora bakal nglilani sapa wae ngliwati lawang.
Kajaba iku, ing pirang-pirang negara sampeyan ora bisa mung narik peralatan sing mlaku. Contone, ing Rusia, nganti pungkasan taun 2018, miturut Artikel 183 saka Code of Criminal Procedure of the Russian Federation, part 3.1, dijamin yen sajrone penyitaan, penyitaan media panyimpenan elektronik ditindakake kanthi partisipasi. saka spesialis. Ing panjalukan saka pemilik legal media panyimpenan elektronik sing dicekel utawa sing nduweni informasi sing ana ing kono, spesialis sing melu penyitaan, ing ngarsane saksi, nyalin informasi saka media panyimpenan elektronik sing dicekel menyang media panyimpenan elektronik liyane.
Banjur, sayangΓ©, titik iki dibusak saka artikel.
Rahasia lan ora resmi
Iki wis dadi wilayah aktivitas kanca-kanca sing dilatih khusus saka NSA, FBI, MI5 lan organisasi telung huruf liyane. Paling asring, undang-undang negara nyedhiyakake kekuwatan sing wiyar banget kanggo struktur kasebut. Kajaba iku, meh tansah ana larangan legislatif babagan pambocoran langsung utawa ora langsung saka kasunyatan kerjasama karo lembaga penegak hukum kasebut. Ana sing padha ing Rusia .
Yen ana ancaman kanggo data sampeyan, mesthine bakal dicopot. Kajaba iku, saliyane penyitaan sing gampang, kabeh arsenal lawang mburi sing ora resmi, kerentanan nol dina, ekstraksi data saka RAM mesin virtual sampeyan, lan kabungahan liyane bisa digunakake. Ing kasus iki, hoster bakal diwajibake kanggo mbantu spesialis penegak hukum sabisa-bisa.
Karyawan sing ora sopan
Ora kabeh wong podo apik. Salah sawijining pangurus pusat data bisa mutusake nggawe dhuwit ekstra lan adol data sampeyan. Perkembangan luwih akeh gumantung marang kekuwatan lan aksese. Sing paling ngganggu yaiku administrator sing duwe akses menyang konsol virtualisasi duwe kontrol lengkap ing mesin sampeyan. Sampeyan bisa tansah njupuk gambar asli seko bebarengan karo kabeh isi RAM banjur alon sinau.
VDS
Dadi sampeyan duwe mesin virtual sing diwenehake hoster. Kepiye carane sampeyan bisa ngetrapake enkripsi kanggo nglindhungi dhewe? Nyatane, ora ana apa-apa. Kajaba iku, malah server darmabakti wong liya bisa dadi mesin virtual ing ngendi piranti sing dibutuhake dilebokake.
Yen tugas saka sistem remot ora mung kanggo nyimpen data, nanging kanggo nindakake sawetara petungan, banjur mung pilihan kanggo nggarap mesin untrusted bakal kanggo ngleksanakake. . Ing kasus iki, sistem bakal nindakake petungan tanpa kemampuan kanggo ngerti apa persis apa. Sayange, biaya nduwur sirah kanggo ngleksanakake enkripsi kuwi dhuwur banget sing panggunaan praktis saiki diwatesi kanggo tugas-tugas sing sempit.
Kajaba iku, nalika mesin virtual mlaku lan nindakake sawetara tumindak, kabeh volume sing dienkripsi ing negara sing bisa diakses, yen ora, OS ora bakal bisa digunakake. Iki tegese duwe akses menyang console virtualisasi, sampeyan bisa tansah njupuk gambar asli saka mesin mlaku lan extract kabeh tombol saka RAM.
Akeh vendor wis nyoba kanggo ngatur enkripsi hardware RAM supaya malah hoster ora duwe akses kanggo data iki. Contone, teknologi Intel Software Guard Extensions, sing ngatur wilayah ing papan alamat virtual sing dilindhungi saka maca lan nulis saka njaba wilayah iki dening proses liyane, kalebu kernel sistem operasi. Sayange, sampeyan ora bakal bisa ngandelake teknologi kasebut, amarga sampeyan bakal diwatesi ing mesin virtual sampeyan. Kajaba iku, conto sing wis siap wis ana kanggo teknologi iki. Isih, enkripsi mesin virtual ora ana gunane kaya sing katon.
We encrypt data ing VDS
Ayo kula nggawe reservasi langsung yen kabeh sing ditindakake ing ngisor iki ora ana pangayoman lengkap. Hypervisor bakal ngidini sampeyan nggawe salinan sing dibutuhake tanpa mandhegake layanan lan tanpa digatekake.
- Yen panyuwunan, hoster nransfer gambar "kadhemen" mesin virtual sampeyan, mula sampeyan aman. Iki minangka skenario sing paling umum.
- Yen hoster menehi gambar lengkap saka mesin mlaku, banjur kabeh iku cantik ala. Kabeh data bakal dipasang ing sistem ing wangun cetha. Kajaba iku, iku bakal bisa kanggo rummage liwat RAM kanggo nggoleki tombol pribadi lan data padha.
Kanthi gawan, yen sampeyan masang OS saka gambar vanilla, hoster ora duwe akses root. Sampeyan bisa tansah masang media karo gambar ngluwari lan ngganti tembung sandhi ROOT dening chroot lingkungan mesin virtual. Nanging iki bakal mbutuhake urip maneh, sing bakal katon. Kajaba iku, kabeh partisi ndhelik sing dipasang bakal ditutup.
Nanging, yen panyebaran mesin virtual ora teka saka gambar vanilla, nanging saka sing wis disiapake, banjur hoster bisa asring nambah akun hak istimewa kanggo bantuan ing kahanan darurat ing klien. Contone, kanggo ngganti sandhi root lali.
Malah ing kasus snapshot lengkap, ora kabeh dadi sedih. Penyerang ora bakal nampa file sing dienkripsi yen dipasang saka sistem file remot ing mesin liyane. Ya, kanthi teori, sampeyan bisa milih dump RAM lan ngekstrak kunci enkripsi saka kana. Nanging ing laku iki ora banget sepele lan iku banget dipercaya sing proses bakal ngluwihi transfer file prasaja.
Mesen mobil
Kanggo tujuan tes, kita njupuk mesin sing gampang . Kita ora butuh akeh sumber daya, mula kita bakal njupuk pilihan kanggo mbayar megahertz lan lalu lintas sing bener. Cukup kanggo muter-muter.
Dm-crypt klasik kanggo kabeh partisi ora mandheg. Kanthi gawan, disk diwenehi ing siji Piece, karo ROOT kanggo kabeh partisi. Nyilikake partisi ext4 ing partisi sing dipasang ing oyod praktis minangka bata sing dijamin tinimbang sistem file. Aku nyoba) Rebana ora mbantu.
Nggawe wadhah crypto
Mulane, kita ora bakal ngenkripsi kabeh partisi, nanging bakal nggunakake file crypto containers, yaiku VeraCrypt sing diaudit lan dipercaya. Kanggo tujuan kita iki cukup. Pisanan, kita narik lan nginstal paket kasebut kanthi versi CLI saka situs web resmi. Sampeyan bisa mriksa tandha tangan ing wektu sing padha.
wget https://launchpad.net/veracrypt/trunk/1.24-update4/+download/veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb
dpkg -i veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb
Saiki kita bakal nggawe wadhah kasebut ing endi wae ing omah supaya bisa dipasang kanthi manual nalika urip maneh. Ing pilihan interaktif, nyetel ukuran wadhah, sandi lan algoritma enkripsi. Sampeyan bisa milih Grasshopper cipher patriotik lan fungsi hash Stribog.
veracrypt -t -c ~/my_super_secretSaiki ayo nginstal nginx, pasang wadhah kasebut lan isi karo informasi rahasia.
mkdir /var/www/html/images
veracrypt ~/my_super_secret /var/www/html/images/
wget https://upload.wikimedia.org/wikipedia/ru/2/24/Lenna.pngAyo rada mbenerake /var/www/html/index.nginx-debian.html kanggo entuk kaca sing dikarepake lan sampeyan bisa mriksa.
Sambungake lan mriksa
Wadhah wis dipasang, data bisa diakses lan dikirim.
Lan iki mesin sawise urip maneh. Data disimpen kanthi aman ing ~/my_super_secret.
Yen sampeyan pancene mbutuhake lan pengin hardcore, sampeyan bisa ngenkripsi kabeh OS supaya nalika sampeyan urip maneh mbutuhake nyambungake liwat ssh lan ngetik sandhi. Iki uga bakal cukup ing skenario mung mbatalake "data kadhemen". kene lan enkripsi disk remot. Senajan ing cilik saka VDS iku angel lan keluwih.
Metal gundhul
Iku ora supaya gampang kanggo nginstal server dhewe ing pusat data. Wong liya sing darmabakti bisa dadi mesin virtual sing kabeh piranti ditransfer. Nanging ana sing menarik babagan perlindungan diwiwiti nalika sampeyan duwe kesempatan kanggo nyelehake server fisik sing dipercaya ing pusat data. Ing kene sampeyan wis bisa nggunakake dm-crypt tradisional, VeraCrypt utawa enkripsi liyane sing sampeyan pilih.
Sampeyan kudu ngerti yen enkripsi total dileksanakake, server ora bakal bisa pulih dhewe sawise urip maneh. Sampeyan kudu ngunggahake sambungan menyang IP-KVM lokal, IPMI utawa antarmuka sing padha. Sawise kita ngetik tombol master kanthi manual. Skema kasebut katon kaya-kaya ing babagan kontinuitas lan toleransi kesalahan, nanging ora ana alternatif khusus yen data kasebut dadi terkenal.
NCipher nShield F3 Hardware Modul Keamanan
Pilihan sing luwih alus nganggep yen data kasebut ndhelik lan kunci kasebut langsung ana ing server kasebut ing HSM khusus (Modul Keamanan Hardware). Minangka aturan, iki minangka piranti sing fungsional banget sing ora mung nyedhiyakake kriptografi hardware, nanging uga duwe mekanisme kanggo ndeteksi upaya hacking fisik. Yen ana wong sing miwiti ngubengi server sampeyan kanthi gilingan sudut, HSM kanthi sumber daya independen bakal ngreset tombol sing disimpen ing memori. Penyerang bakal entuk mincemeat sing dienkripsi. Ing kasus iki, urip maneh bisa kedadeyan kanthi otomatis.
Mbusak tombol minangka pilihan sing luwih cepet lan luwih manusiawi tinimbang ngaktifake bom thermite utawa arrester elektromagnetik. Kanggo piranti kasebut, sampeyan bakal diantemi nganti suwe dening tanggane ing rak ing pusat data. Menapa malih, ing kasus nggunakake enkripsi ing media dhewe, sampeyan nemu sakbenere ora nduwur sirah. Kabeh iki kedadeyan kanthi transparan ing OS. Bener, ing kasus iki sampeyan kudu dipercaya Samsung saratipun lan pangarep-arep sing wis AES256 jujur, lan ora XOR banal.
Ing wektu sing padha, kita kudu ora lali yen kabeh port sing ora perlu kudu dipateni sacara fisik utawa mung diisi senyawa. Yen ora, sampeyan menehi panyerang kesempatan kanggo nindakake . Yen sampeyan duwe PCI Express utawa Thunderbolt tancep metu, kalebu USB karo support, sampeyan ngrugekke. Panyerang bakal bisa nindakake serangan liwat port kasebut lan entuk akses langsung menyang memori kanthi tombol.
Ing versi sing canggih banget, panyerang bakal bisa nindakake serangan boot kadhemen. Ing wektu sing padha, iku mung pour bagean apik saka nitrogen Cairan menyang server, kira-kira mbusak stik memori beku lan njupuk dump saka wong-wong mau karo kabeh tombol. Asring, semprotan cooling biasa lan suhu watara -50 derajat cukup kanggo nindakake serangan. Ana uga pilihan sing luwih akurat. Yen sampeyan durung mateni loading saka piranti eksternal, algoritma panyerang bakal luwih gampang:
- Beku memori teken tanpa mbukak kasus
- Sambungake bootable USB flash drive
- Gunakake utilitas khusus kanggo mbusak data saka RAM sing bisa urip maneh amarga beku.
Dibagi lan digdaya
Ok, kita mung duwe mesin virtual, nanging aku pengin ngurangi risiko kebocoran data.
Sampeyan bisa, ing asas, nyoba kanggo mbenakake arsitektur lan disebarakΓ© panyimpenan lan pangolahan data antarane yuridiksi beda. Contone, frontend karo kunci enkripsi saka hoster ing Republik Ceko, lan backend karo data ndhelik nang endi wae ing Rusia. Ing kasus upaya penyitaan standar, ora mungkin yen lembaga penegak hukum bakal bisa nindakake iki bebarengan ing yurisdiksi sing beda-beda. Kajaba iku, iki sebagian njamin kita nglawan skenario njupuk gambar.
Ya, utawa sampeyan bisa nimbang pilihan sing murni - enkripsi End-to-End. Mesthi, iki ngluwihi orane katrangan saka specification lan ora ateges nindakake petungan ing sisih mesin remot. Nanging, iki minangka pilihan sing bisa ditampa nalika nyimpen lan nyinkronake data. Contone, iki ditrapake kanthi gampang ing Nextcloud. Ing wektu sing padha, sinkronisasi, versi lan barang sisih server liyane ora bakal ilang.
Total
Ora ana sistem sing aman banget. Tujuane mung kanggo nggawe serangan luwih akeh tinimbang keuntungan potensial.
Sawetara nyuda risiko ngakses data ing situs virtual bisa digayuh kanthi nggabungake enkripsi lan panyimpenan sing kapisah karo hoster sing beda.
Pilihan sing luwih dipercaya yaiku nggunakake server hardware sampeyan dhewe.
Nanging hoster isih kudu dipercaya kanthi cara liya. Kabèh industri dumunung ing iki.
Source: www.habr.com