რა უნდა გააკეთოთ, თუ სილოვიკი თქვენს ჰოსტერთან მოვა

kdpv - Reuters

თუ თქვენ იქირავებთ სერვერს, მაშინ მასზე სრული კონტროლი არ გაქვთ. ეს ნიშნავს, რომ ნებისმიერ დროს შეუძლიათ სპეციალურად მომზადებული ადამიანები მივიდნენ ჰოსტერთან და გთხოვონ, რომ მიაწოდოთ თქვენი ნებისმიერი მონაცემი. და მასპინძელი მათ უკან დააბრუნებს, თუ მოთხოვნა დაფორმდება კანონის შესაბამისად.

თქვენ ნამდვილად არ გსურთ თქვენი ვებ სერვერის ჟურნალები ან მომხმარებლის მონაცემები ვინმეს გაჟონოს. იდეალური თავდაცვის აშენება შეუძლებელია. თითქმის შეუძლებელია დაიცვა თავი ჰოსტერისგან, რომელიც ფლობს ჰიპერვიზორს და გაძლევთ ვირტუალურ მანქანას. მაგრამ, ალბათ, შესაძლებელი იქნება რისკების ოდნავ შემცირება. დაქირავებული მანქანების დაშიფვრა არც ისე უსარგებლოა, როგორც ერთი შეხედვით ჩანს. ამავდროულად, მოდით შევხედოთ ფიზიკური სერვერებიდან მონაცემების მოპოვების საფრთხეებს.

საფრთხის მოდელი

როგორც წესი, მასტერი შეეცდება კანონით მაქსიმალურად დაიცვას კლიენტის ინტერესები. თუ ოფიციალური ხელისუფლების წერილმა მოითხოვა მხოლოდ წვდომის ჟურნალები, ჰოსტერი არ მოგაწვდის ყველა თქვენი ვირტუალური აპარატის ნაგავსაყრელს მონაცემთა ბაზებით. მაინც არ უნდა. თუ ისინი ითხოვენ ყველა მონაცემს, ჰოსტერი დააკოპირებს ვირტუალურ დისკებს ყველა ფაილით და თქვენ ამის შესახებ არ იცით.

სცენარის მიუხედავად, თქვენი მთავარი მიზანია შეტევა ძალიან რთული და ძვირი გახადოთ. როგორც წესი, არსებობს სამი ძირითადი საფრთხის ვარიანტი.

ოფიციალური

ყველაზე ხშირად, ქაღალდის წერილი იგზავნება ჰოსტერის ოფიციალურ ოფისში შესაბამისი რეგულაციის შესაბამისად საჭირო მონაცემების მიწოდების მოთხოვნით. თუ ყველაფერი სწორად გაკეთდა, ჰოსტერი აწვდის აუცილებელ წვდომის ჟურნალებს და სხვა მონაცემებს ოფიციალურ ორგანოებს. ჩვეულებრივ, ისინი უბრალოდ გთხოვენ საჭირო მონაცემების გაგზავნას.

ზოგჯერ, აუცილებლობის შემთხვევაში, ძალოვანი სტრუქტურების წარმომადგენლები პირადად მოდიან მონაცემთა ცენტრში. მაგალითად, როდესაც თქვენ გაქვთ საკუთარი გამოყოფილი სერვერი და იქიდან მონაცემების მიღება შესაძლებელია მხოლოდ ფიზიკურად.

ყველა ქვეყანაში, კერძო საკუთრებაზე წვდომის მოპოვება, ჩხრეკა და სხვა აქტივობები მოითხოვს მტკიცებულებებს, რომ მონაცემები შეიძლება შეიცავდეს მნიშვნელოვან ინფორმაციას დანაშაულის გამოძიებისთვის. გარდა ამისა, საჭიროა ყველა რეგლამენტის შესაბამისად შესრულებული ჩხრეკის ორდერი. შესაძლოა არსებობდეს ნიუანსები, რომლებიც დაკავშირებულია ადგილობრივი კანონმდებლობის თავისებურებებთან. მთავარი, რაც უნდა გესმოდეთ, არის ის, რომ თუ ოფიციალური გზა სწორია, მონაცემთა ცენტრის წარმომადგენლები არავის გაუშვებენ შესასვლელთან.

უფრო მეტიც, უმეტეს ქვეყნებში თქვენ არ შეგიძლიათ უბრალოდ ამოიღოთ გაშვებული აღჭურვილობა. მაგალითად, რუსეთში, 2018 წლის ბოლომდე, რუსეთის ფედერაციის სისხლის სამართლის საპროცესო კოდექსის 183-ე მუხლის 3.1 ნაწილის თანახმად, გარანტირებული იყო, რომ ყადაღის დროს ელექტრონული საცავის საშუალებების ამოღება განხორციელდა მონაწილეობით. სპეციალისტის. ამოღებული ელექტრონული საცავის მედიის კანონიერი მფლობელის ან მათზე არსებული ინფორმაციის მფლობელის მოთხოვნით, ამოღებაში მონაწილე სპეციალისტი მოწმეების თანდასწრებით აკოპირებს ინფორმაციას ამოღებული ელექტრონული საცავის მედიიდან სხვა ელექტრონულ საშუალებებზე.

შემდეგ, სამწუხაროდ, ეს პუნქტი ამოიღეს სტატიიდან.

საიდუმლო და არაოფიციალური

ეს უკვე არის NSA-ს, FBI-ს, MI5-ის და სხვა სამწერილიანი ორგანიზაციების სპეციალურად მომზადებული თანამებრძოლების საქმიანობის ტერიტორია. ყველაზე ხშირად, ქვეყნების კანონმდებლობა ასეთ სტრუქტურებს უაღრესად ფართო უფლებამოსილებებს აძლევს. უფრო მეტიც, თითქმის ყოველთვის არის საკანონმდებლო აკრძალვა მსგავს სამართალდამცავ უწყებებთან თანამშრომლობის ფაქტის პირდაპირი თუ ირიბი გამჟღავნების შესახებ. რუსეთშიც არის მსგავსი სამართლებრივი ნორმები.

თქვენს მონაცემებზე ასეთი საფრთხის შემთხვევაში, ისინი თითქმის ამოღებულნი იქნებიან. უფრო მეტიც, მარტივი ამოღების გარდა, შეგიძლიათ გამოიყენოთ უკანა კარების მთელი არაოფიციალური არსენალი, ნულოვანი დღის დაუცველობა, მონაცემთა ამოღება თქვენი ვირტუალური აპარატის ოპერატიული მეხსიერებიდან და სხვა სიხარული. ამ შემთხვევაში მასპინძელი ვალდებული იქნება შეძლებისდაგვარად დაეხმაროს სამართალდამცავ სპეციალისტებს.

არაკეთილსინდისიერი თანამშრომელი

ყველა ადამიანი ერთნაირად კარგი არ არის. მონაცემთა ცენტრის ერთ-ერთმა ადმინისტრატორმა შეიძლება გადაწყვიტოს დამატებითი ფულის გამომუშავება და თქვენი მონაცემების გაყიდვა. შემდგომი განვითარება დამოკიდებულია მის უფლებამოსილებებსა და ხელმისაწვდომობაზე. ყველაზე შემაშფოთებელი ის არის, რომ ვირტუალიზაციის კონსოლზე წვდომის მქონე ადმინისტრატორს აქვს სრული კონტროლი თქვენს მანქანებზე. თქვენ ყოველთვის შეგიძლიათ გადაიღოთ სნეფშოტი RAM-ის ყველა შინაარსთან ერთად და შემდეგ ნელა შეისწავლოთ იგი.

VDS

ასე რომ, თქვენ გაქვთ ვირტუალური მანქანა, რომელიც ჰოსტერმა მოგცა. როგორ შეგიძლიათ განახორციელოთ დაშიფვრა საკუთარი თავის დასაცავად? ფაქტობრივად, პრაქტიკულად არაფერი. უფრო მეტიც, სხვისი გამოყოფილი სერვერიც კი შეიძლება გახდეს ვირტუალური მანქანა, რომელშიც ჩასმულია საჭირო მოწყობილობები.

თუ დისტანციური სისტემის ამოცანაა არა მხოლოდ მონაცემების შენახვა, არამედ გარკვეული გამოთვლების შესრულება, მაშინ არასანდო მანქანასთან მუშაობის ერთადერთი ვარიანტი იქნება განხორციელება. ჰომორფული დაშიფვრა. ამ შემთხვევაში, სისტემა განახორციელებს გამოთვლებს იმის გაგების გარეშე, თუ რას აკეთებს. სამწუხაროდ, ასეთი დაშიფვრის განხორციელების ხარჯები იმდენად მაღალია, რომ მათი პრაქტიკული გამოყენება ამჟამად შემოიფარგლება ძალიან ვიწრო ამოცანებით.

გარდა ამისა, იმ მომენტში, როდესაც ვირტუალური მანქანა მუშაობს და ასრულებს გარკვეულ მოქმედებებს, ყველა დაშიფრული ტომი ხელმისაწვდომ მდგომარეობაშია, წინააღმდეგ შემთხვევაში OS უბრალოდ ვერ შეძლებს მათთან მუშაობას. ეს ნიშნავს, რომ ვირტუალიზაციის კონსოლზე წვდომით, ყოველთვის შეგიძლიათ გადაიღოთ გაშვებული აპარატის სურათი და ამოიღოთ ყველა გასაღები RAM-დან.

ბევრი გამყიდველი ცდილობდა მოეწყო RAM-ის აპარატურის დაშიფვრა ისე, რომ ჰოსტერსაც კი არ ჰქონდეს წვდომა ამ მონაცემებზე. მაგალითად, Intel Software Guard Extensions ტექნოლოგია, რომელიც აწყობს უბნებს ვირტუალურ მისამართთა სივრცეში, რომლებიც დაცულია ამ ტერიტორიის გარედან წაკითხვისა და წერისგან სხვა პროცესებით, მათ შორის ოპერაციული სისტემის ბირთვით. სამწუხაროდ, თქვენ ვერ შეძლებთ სრულად ენდოთ ამ ტექნოლოგიებს, რადგან შემოიფარგლებით თქვენი ვირტუალური მანქანით. გარდა ამისა, უკვე არსებობს მზა მაგალითები წარმატებული შეტევა ამ ტექნოლოგიისთვის. და მაინც, ვირტუალური მანქანების დაშიფვრა არც ისე უაზროა, როგორც ეს შეიძლება ჩანდეს.

ჩვენ ვშიფრავთ მონაცემებს VDS-ზე

ნება მომეცით დაუყოვნებლივ გავაკეთო დათქმა, რომ ყველაფერი, რასაც ქვემოთ ვაკეთებთ, არ წარმოადგენს სრულ დაცვას. ჰიპერვიზორი საშუალებას მოგცემთ გააკეთოთ საჭირო ასლები სერვისის შეწყვეტისა და თქვენი შენიშვნის გარეშე.

• თუ მოთხოვნის საფუძველზე ჰოსტერი გადასცემს თქვენი ვირტუალური მანქანის „ცივ“ სურათს, მაშინ შედარებით უსაფრთხო ხართ. ეს ყველაზე გავრცელებული სცენარია.
• თუ ჰოსტერი გაშვებული აპარატის სრულ სურათს მოგცემთ, მაშინ ყველაფერი საკმაოდ ცუდია. ყველა მონაცემი დამონტაჟდება სისტემაში მკაფიო ფორმით. გარდა ამისა, შესაძლებელი იქნება ოპერატიული მეხსიერების დათვალიერება პირადი გასაღებების და მსგავსი მონაცემების მოსაძებნად.

ნაგულისხმევად, თუ თქვენ განათავსეთ OS ვანილის სურათიდან, ჰოსტერს არ აქვს root წვდომა. თქვენ ყოველთვის შეგიძლიათ დააინსტალიროთ მედია სამაშველო სურათით და შეცვალოთ root პაროლი ვირტუალური მანქანის გარემოს ქროუტირებით. მაგრამ ამას დასჭირდება გადატვირთვა, რაც შესამჩნევი იქნება. გარდა ამისა, ყველა დამონტაჟებული დაშიფრული დანაყოფი დაიხურება.

თუმცა, თუ ვირტუალური აპარატის განლაგება მოდის არა ვანილის სურათიდან, არამედ წინასწარ მომზადებულიდან, მაშინ მასტერს ხშირად შეუძლია დაამატოს პრივილეგირებული ანგარიში კლიენტის საგანგებო სიტუაციებში დასახმარებლად. მაგალითად, დავიწყებული root პაროლის შეცვლა.

სრული კადრის შემთხვევაშიც კი, ყველაფერი ასე სევდიანი არ არის. თავდამსხმელი არ მიიღებს დაშიფრულ ფაილებს, თუ თქვენ დაამონტაჟებთ მათ სხვა აპარატის დისტანციური ფაილური სისტემიდან. დიახ, თეორიულად, შეგიძლიათ აირჩიოთ ოპერატიული მეხსიერება და ამოიღოთ დაშიფვრის გასაღებები. მაგრამ პრაქტიკაში ეს არ არის ძალიან ტრივიალური და ნაკლებად სავარაუდოა, რომ პროცესი გასცდეს მარტივი ფაილის გადაცემას.

შეუკვეთე მანქანა

ჩვენი სატესტო მიზნებისთვის, ჩვენ ვიღებთ მარტივ მანქანას განყოფილება სერვერების შეკვეთისთვის. ჩვენ არ გვჭირდება ბევრი რესურსი, ამიტომ ჩვენ ვიყენებთ გადახდის ვარიანტს მეგაჰერცისა და რეალურად დახარჯული ტრაფიკისთვის. საკმარისია სათამაშოდ.

კლასიკური dm-crypt მთელი დანაყოფისთვის არ აფრინდა. ნაგულისხმევად, დისკი მოცემულია ერთ ნაწილად, ფესვით მთელი დანაყოფისთვის. ext4 დანაყოფის შემცირება root-დამონტაჟებულზე, პრაქტიკულად გარანტირებული აგურია ფაილური სისტემის ნაცვლად. ვცადე) ტამბურმა არ უშველა.

კრიპტო კონტეინერის შექმნა

ამიტომ, ჩვენ არ დავშიფრავთ მთელ დანაყოფის, არამედ გამოვიყენებთ ფაილების კრიპტო კონტეინერებს, კერძოდ, აუდიტირებულ და საიმედო VeraCrypt-ს. ჩვენი მიზნებისთვის ეს საკმარისია. პირველ რიგში, ჩვენ ამოვიღებთ და ვაინსტალირებთ პაკეტს CLI ვერსიით ოფიციალური ვებსაიტიდან. თქვენ შეგიძლიათ შეამოწმოთ ხელმოწერა ამავე დროს.

wget https://launchpad.net/veracrypt/trunk/1.24-update4/+download/veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb
dpkg -i veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb

ახლა ჩვენ თავად შევქმნით კონტეინერს სადმე ჩვენს სახლში, რათა შევძლოთ მისი ხელით დამონტაჟება გადატვირთვისას. ინტერაქტიულ ვარიანტში დააყენეთ კონტეინერის ზომა, პაროლი და დაშიფვრის ალგორითმები. თქვენ შეგიძლიათ აირჩიოთ პატრიოტული შიფრი Grasshopper და Stribog ჰეშის ფუნქცია.

veracrypt -t -c ~/my_super_secret

ახლა მოდით დავაყენოთ nginx, დავამაგროთ კონტეინერი და შევავსოთ იგი საიდუმლო ინფორმაციით.

mkdir /var/www/html/images
veracrypt ~/my_super_secret /var/www/html/images/
wget https://upload.wikimedia.org/wikipedia/ru/2/24/Lenna.png

მოდით ოდნავ შევასწოროთ /var/www/html/index.nginx-debian.html რომ მივიღოთ სასურველი გვერდი და შეგიძლიათ შეამოწმოთ იგი.

შეაერთეთ და შეამოწმეთ

კონტეინერი დამონტაჟებულია, მონაცემები ხელმისაწვდომი და გაგზავნილია.

და აქ არის მანქანა გადატვირთვის შემდეგ. მონაცემები უსაფრთხოდ ინახება ~/my_super_secret-ში.

თუ თქვენ ნამდვილად გჭირდებათ და გსურთ ის მყარი, მაშინ შეგიძლიათ დაშიფროთ მთელი OS ისე, რომ გადატვირთვისას ის მოითხოვს ssh-ით დაკავშირებას და პაროლის შეყვანას. ეს ასევე საკმარისი იქნება „ცივი მონაცემების“ უბრალოდ ამოღების სცენარში. Აქ dropbear-ის გამოყენების ინსტრუქცია და დისტანციური დისკის დაშიფვრა. თუმცა VDS-ის შემთხვევაში ეს რთული და ზედმეტია.

შიშველი ლითონი

არც ისე ადვილია საკუთარი სერვერის დაყენება მონაცემთა ცენტრში. სხვისი მიძღვნილი შეიძლება აღმოჩნდეს ვირტუალური მანქანა, რომელშიც ყველა მოწყობილობა გადადის. მაგრამ დაცვის კუთხით რაღაც საინტერესო იწყება, როდესაც გექნებათ შესაძლებლობა განათავსოთ თქვენი სანდო ფიზიკური სერვერი მონაცემთა ცენტრში. აქ უკვე შეგიძლიათ სრულად გამოიყენოთ ტრადიციული dm-crypt, VeraCrypt ან თქვენი არჩევანის ნებისმიერი სხვა დაშიფვრა.

თქვენ უნდა გესმოდეთ, რომ თუ მთლიანი დაშიფვრა განხორციელდება, სერვერი ვერ შეძლებს დამოუკიდებლად აღდგენას გადატვირთვის შემდეგ. საჭირო იქნება კავშირის ამაღლება ადგილობრივ IP-KVM, IPMI ან სხვა მსგავს ინტერფეისთან. რის შემდეგაც ჩვენ ხელით შევიყვანთ მთავარ კლავიშს. სქემა ასე გამოიყურება უწყვეტობისა და ხარვეზების ტოლერანტობის თვალსაზრისით, მაგრამ არ არსებობს სპეციალური ალტერნატივები, თუ მონაცემები ასე ღირებულია.

NCipher nShield F3 აპარატურის უსაფრთხოების მოდული

უფრო რბილი ვარიანტი ვარაუდობს, რომ მონაცემები დაშიფრულია და გასაღები მდებარეობს უშუალოდ სერვერზე სპეციალურ HSM-ში (Hardware Security Module). როგორც წესი, ეს არის ძალიან ფუნქციონალური მოწყობილობები, რომლებიც არა მხოლოდ უზრუნველყოფენ ტექნიკის კრიპტოგრაფიას, არამედ აქვთ მექანიზმები ფიზიკური ჰაკერების მცდელობების გამოსავლენად. თუ ვინმე დაიწყებს თქვენს სერვერზე ტრიალს კუთხის საფქვავით, HSM დამოუკიდებელი კვების წყაროს საშუალებით აღადგენს კლავიშებს, რომლებსაც ის ინახავს თავის მეხსიერებაში. თავდამსხმელი მიიღებს დაშიფრულ ფარშს. ამ შემთხვევაში, გადატვირთვა შეიძლება ავტომატურად მოხდეს.

გასაღებების ამოღება ბევრად უფრო სწრაფი და ჰუმანური ვარიანტია, ვიდრე თერმიტის ბომბის ან ელექტრომაგნიტური დამჭერის გააქტიურება. ასეთი მოწყობილობებისთვის მეზობლები ძალიან დიდხანს მოგცემენ მონაცემთა ცენტრის თაროზე. უფრო მეტიც, გამოყენების შემთხვევაში TCG Opal 2 დაშიფვრა თავად მედიაზე, თქვენ პრაქტიკულად არ განიცდით ზედმეტ ხარჯებს. ეს ყველაფერი გამჭვირვალედ ხდება OS-ისთვის. მართალია, ამ შემთხვევაში თქვენ უნდა ენდოთ პირობით სამსუნგს და იმედი გქონდეთ, რომ მას აქვს პატიოსანი AES256 და არა ბანალური XOR.

ამავე დროს, არ უნდა დაგვავიწყდეს, რომ ყველა არასაჭირო პორტი უნდა იყოს ფიზიკურად გამორთული ან უბრალოდ შევსებული ნაერთით. წინააღმდეგ შემთხვევაში, თქვენ აძლევთ თავდამსხმელებს განხორციელების შესაძლებლობას DMA შეტევები. თუ თქვენ გაქვთ PCI Express ან Thunderbolt გამოსული, მათ შორის USB მისი მხარდაჭერით, თქვენ დაუცველი ხართ. თავდამსხმელს შეეძლება განახორციელოს თავდასხმა ამ პორტების მეშვეობით და მოიპოვოს პირდაპირი წვდომა მეხსიერებაზე გასაღებებით.

ძალიან დახვეწილი ვერსიით, თავდამსხმელი შეძლებს ცივი ჩექმის შეტევის განხორციელებას. ამავდროულად, ის უბრალოდ ასხამს თხევადი აზოტის დიდ ნაწილს თქვენს სერვერზე, უხეშად აშორებს გაყინულ მეხსიერების ჩხირებს და აშორებს მათგან ნაგავსაყრელს ყველა გასაღებით. ხშირად შეტევის განსახორციელებლად საკმარისია რეგულარული გაგრილების სპრეი და დაახლოებით -50 გრადუსი ტემპერატურა. ასევე არის უფრო ზუსტი ვარიანტი. თუ არ გამორთული გაქვთ გარე მოწყობილობებიდან ჩატვირთვა, მაშინ თავდამსხმელის ალგორითმი კიდევ უფრო მარტივი იქნება:

1. გაყინეთ მეხსიერების ჩხირები კორპუსის გახსნის გარეშე
2. შეაერთეთ თქვენი ჩამტვირთავი USB ფლეშ დრაივი
3. გამოიყენეთ სპეციალური კომუნალური პროგრამები RAM-დან მონაცემების ამოსაღებად, რომლებიც გადაურჩა გადატვირთვას გაყინვის გამო.

გაყოფა და დაპყრობა

კარგი, ჩვენ გვაქვს მხოლოდ ვირტუალური მანქანები, მაგრამ მინდა როგორმე შევამცირო მონაცემთა გაჟონვის რისკი.
თქვენ შეგიძლიათ, პრინციპში, სცადოთ არქიტექტურის გადახედვა და მონაცემთა შენახვისა და დამუშავების განაწილება სხვადასხვა იურისდიქციებში. მაგალითად, წინა ნაწილი დაშიფვრის გასაღებებით არის ჩეხეთის რესპუბლიკის ჰოსტერიდან, ხოლო დაშიფრული მონაცემებით ბექენდი არის სადღაც რუსეთში. სტანდარტული ჩამორთმევის მცდელობის შემთხვევაში, ძალზე ნაკლებად სავარაუდოა, რომ სამართალდამცავმა უწყებებმა შეძლებენ ამის განხორციელებას ერთდროულად სხვადასხვა იურისდიქციებში. გარდა ამისა, ეს ნაწილობრივ გვაზღვევს სნეფშოტის გადაღების სცენარისგან.

კარგად, ან შეგიძლიათ განიხილოთ სრულიად სუფთა ვარიანტი - End-to-End დაშიფვრა. რა თქმა უნდა, ეს სცილდება სპეციფიკაციის ფარგლებს და არ გულისხმობს გამოთვლების შესრულებას დისტანციური აპარატის მხარეს. თუმცა, ეს არის სრულიად მისაღები ვარიანტი, როდესაც საქმე ეხება მონაცემთა შენახვას და სინქრონიზაციას. მაგალითად, ეს ძალიან მოხერხებულად არის დანერგილი Nextcloud-ში. ამავდროულად, სინქრონიზაცია, ვერსიები და სერვერის მხარის სხვა სიკეთეები არ გაქრება.

საერთო ჯამში

არ არსებობს სრულიად უსაფრთხო სისტემები. მიზანია უბრალოდ შეტევა უფრო ღირებული გახადო, ვიდრე პოტენციური მოგება.

ვირტუალურ საიტზე მონაცემების წვდომის რისკების გარკვეული შემცირება შეიძლება მიღწეული იყოს დაშიფვრისა და ცალკე შენახვის სხვადასხვა ჰოსტერებთან კომბინაციით.

მეტ-ნაკლებად საიმედო ვარიანტია საკუთარი ტექნიკის სერვერის გამოყენება.

მაგრამ მასტერს მაინც მოუწევს ამა თუ იმ გზით ნდობა. მთელი ინდუსტრია ეყრდნობა ამას.

წყარო: www.habr.com