kdpv - Reuters
Jekk tikri server, allura ma jkollokx kontroll sħiħ fuqu. Dan ifisser li fi kwalunkwe ħin nies imħarrġa b'mod speċjali jistgħu jiġu għand il-hoster u jistaqsuk biex tipprovdi kwalunkwe data tiegħek. U l-hoster jagħtihom lura jekk it-talba tiġi formalizzata skont il-liġi.
Int verament ma tridx li z-zkuk tas-server tal-web tiegħek jew id-dejta tal-utent inixxu lil ħaddieħor. Huwa impossibbli li tinbena difiża ideali. Huwa kważi impossibbli li tipproteġi lilek innifsek minn hoster li għandu l-hypervisor u jipprovdilek magna virtwali. Imma forsi jkun possibbli li r-riskji jitnaqqsu ftit. Il-kriptaġġ tal-karozzi tal-kiri mhuwiex inutli daqs kemm jidher mal-ewwel daqqa t'għajn. Fl-istess ħin, ejja nħarsu lejn it-theddid ta 'estrazzjoni tad-dejta minn servers fiżiċi.
Mudell tat-theddida
Bħala regola, l-hoster jipprova jipproteġi l-interessi tal-klijent kemm jista 'jkun bil-liġi. Jekk l-ittra mill-awtoritajiet uffiċjali talbet biss zkuk tal-aċċess, il-hoster mhux se jipprovdi miżbliet tal-magni virtwali kollha tiegħek b'databases. Mill-inqas m'għandux. Jekk jitolbu d-dejta kollha, il-hoster jikkopja d-diski virtwali bil-fajls kollha u ma tkunx taf biha.
Irrispettivament mix-xenarju, l-għan ewlieni tiegħek huwa li tagħmel l-attakk diffiċli u għali wisq. Normalment ikun hemm tliet għażliet ewlenin ta 'theddid.
Uffiċjali
Ħafna drabi, ittra karta tintbagħat lill-uffiċċju uffiċjali tal-hoster bil-ħtieġa li tipprovdi d-dejta meħtieġa skont ir-regolament rilevanti. Jekk kollox isir b'mod korrett, il-hoster jipprovdi r-reġistri ta 'aċċess meħtieġa u data oħra lill-awtoritajiet uffiċjali. Normalment jitolbuk biss tibgħat id-dejta meħtieġa.
Kultant, jekk assolutament meħtieġ, rappreżentanti tal-aġenziji tal-infurzar tal-liġi jiġu personalment fiċ-ċentru tad-dejta. Pereżempju, meta jkollok is-server iddedikat tiegħek stess u d-dejta minn hemm tista' tittieħed biss fiżikament.
Fil-pajjiżi kollha, il-kisba ta' aċċess għal proprjetà privata, it-twettiq ta' tfittxijiet u attivitajiet oħra jeħtieġu evidenza li d-dejta jista' jkun fiha informazzjoni importanti għall-investigazzjoni ta' reat. Barra minn hekk, hemm bżonn ta’ mandat ta’ tfittxija esegwit skont ir-regolamenti kollha. Jista' jkun hemm sfumaturi relatati mal-partikolaritajiet tal-leġiżlazzjoni lokali. Il-ħaġa prinċipali li trid tifhem hija li jekk it-triq uffiċjali hija korretta, ir-rappreżentanti taċ-ċentru tad-dejta ma jħallu lil ħadd jgħaddi mid-daħla.
Barra minn hekk, fil-biċċa l-kbira tal-pajjiżi ma tistax sempliċement tiġbed it-tagħmir tal-ġiri. Pereżempju, fir-Russja, sal-aħħar tal-2018, skont l-Artikolu 183 tal-Kodiċi tal-Proċedura Kriminali tal-Federazzjoni Russa, parti 3.1, kien garantit li waqt qbid, il-qbid ta 'midja elettronika ta' ħażna twettaq bil-parteċipazzjoni. ta’ speċjalista. Fuq talba tas-sid legali tal-midja tal-ħażna elettronika maqbuda jew is-sid tal-informazzjoni li tinsab fuqhom, l-ispeċjalista li jipparteċipa fil-qbid, fil-preżenza tax-xhieda, jikkopja informazzjoni mill-midja tal-ħażna elettronika maqbuda għal mezzi ta 'ħażna elettroniċi oħra.
Imbagħad, sfortunatament, dan il-punt tneħħa mill-artiklu.
Sigriet u mhux uffiċjali
Dan diġà huwa t-territorju ta 'attività ta' sħabi mħarrġa apposta mill-NSA, FBI, MI5 u organizzazzjonijiet oħra ta 'tliet ittri. Ħafna drabi, il-leġiżlazzjoni tal-pajjiżi tipprovdi setgħat estremament wesgħin għal tali strutturi. Barra minn hekk, kważi dejjem hemm projbizzjoni leġiżlattiva fuq kwalunkwe żvelar dirett jew indirett tal-fatt stess ta' kooperazzjoni ma' tali aġenziji tal-infurzar tal-liġi. Hemm oħrajn simili fir-Russja .
F'każ ta' theddida bħal din għad-data tiegħek, kważi ċertament se jitneħħew. Barra minn hekk, minbarra l-qbid sempliċi, l-armament mhux uffiċjali kollu ta 'backdoors, vulnerabbiltajiet zero-day, estrazzjoni tad-dejta mir-RAM tal-magna virtwali tiegħek, u ferħ ieħor jistgħu jintużaw. F'dan il-każ, il-hoster ikun obbligat jassisti speċjalisti tal-infurzar tal-liġi kemm jista 'jkun.
Impjegat bla skrupli
Mhux in-nies kollha huma tajbin bl-istess mod. Wieħed mill-amministraturi taċ-ċentru tad-dejta jista’ jiddeċiedi li jagħmel flus żejda u jbigħ id-dejta tiegħek. Aktar żviluppi jiddependu fuq is-setgħat u l-aċċess tiegħu. L-iktar ħaġa tedjanti hija li amministratur b'aċċess għall-console tal-virtwalizzazzjoni għandu kontroll sħiħ fuq il-magni tiegħek. Dejjem tista 'tieħu snapshot flimkien mal-kontenut kollu tar-RAM u mbagħad tistudjaha bil-mod.
VDS
Allura għandek magna virtwali li l-hoster tak. Kif tista' timplimenta l-kriptaġġ biex tipproteġi lilek innifsek? Fil-fatt, prattikament xejn. Barra minn hekk, anke s-server dedikat ta 'xi ħadd ieħor jista' jispiċċa jkun magna virtwali li fiha jiddaħħlu l-apparati meħtieġa.
Jekk il-kompitu tas-sistema remota mhuwiex biss li taħżen id-dejta, iżda li twettaq xi kalkoli, allura l-unika għażla biex taħdem ma 'magna mhux fdata tkun li timplimenta . F'dan il-każ, is-sistema se twettaq kalkoli mingħajr il-kapaċità li tifhem x'qed tagħmel eżattament. Sfortunatament, l-ispejjeż ġenerali għall-implimentazzjoni ta' kriptaġġ bħal dan huma tant għoljin li l-użu prattiku tagħhom bħalissa huwa limitat għal ħidmiet dojoq ħafna.
Barra minn hekk, fil-mument meta l-magna virtwali tkun qed taħdem u twettaq xi azzjonijiet, il-volumi kollha kriptati huma fi stat aċċessibbli, inkella l-OS sempliċement ma jkunx jista 'jaħdem magħhom. Dan ifisser li jekk ikollok aċċess għall-console tal-virtwalizzazzjoni, tista 'dejjem tieħu stampa ta' magna li taħdem u tiġbed iċ-ċwievet kollha mir-RAM.
Bosta bejjiegħa ppruvaw jorganizzaw il-kriptaġġ tal-hardware tar-RAM sabiex anki l-hoster ma jkollux aċċess għal din id-dejta. Pereżempju, it-teknoloġija Intel Software Guard Extensions, li torganizza żoni fl-ispazju tal-indirizz virtwali li huma protetti mill-qari u l-kitba minn barra din iż-żona minn proċessi oħra, inkluż il-kernel tas-sistema operattiva. Sfortunatament, ma tkunx tista' tafda bis-sħiħ dawn it-teknoloġiji, peress li tkun limitata għall-magna virtwali tiegħek. Barra minn hekk, diġà jeżistu eżempji lesti għal din it-teknoloġija. Xorta waħda, il-kriptaġġ tal-magni virtwali mhuwiex inutli daqs kemm jista' jidher.
Aħna kriptaġġ data fuq VDS
Ħa nagħmel riżerva mill-ewwel li dak kollu li nagħmlu hawn taħt ma jammontax għal protezzjoni sħiħa. L-hypervisor jippermettilek li tagħmel il-kopji meħtieġa mingħajr ma twaqqaf is-servizz u mingħajr ma tinduna.
- Jekk, fuq talba, l-hoster jittrasferixxi immaġni "kiesħa" tal-magna virtwali tiegħek, allura inti relattivament sigur. Dan huwa l-aktar xenarju komuni.
- Jekk il-hoster jagħtik stampa sħiħa ta 'magna li taħdem, allura kollox huwa pjuttost ħażin. Id-dejta kollha se tkun immuntata fis-sistema f'forma ċara. Barra minn hekk, se jkun possibbli li jħarbtu r-RAM fit-tfittxija ta 'ċwievet privati u data simili.
B'mod awtomatiku, jekk skjerat l-OS minn immaġni tal-vanilla, il-hoster m'għandux aċċess għall-għeruq. Dejjem tista 'timmonta l-midja bl-immaġni ta' salvataġġ u tibdel il-password ta 'l-għerq billi tagħmel chrooting l-ambjent tal-magna virtwali. Iżda dan se jeħtieġ reboot, li se jiġi nnutat. Barra minn hekk, il-ħitan kollha kkodifikati immuntati se jingħalqu.
Madankollu, jekk l-iskjerament ta 'magna virtwali ma jiġix minn immaġni tal-vanilla, iżda minn waħda ppreparata minn qabel, allura l-hoster spiss jista' jżid kont privileġġjat biex jassisti f'sitwazzjoni ta 'emerġenza fil-klijent. Per eżempju, biex tibdel password ta 'l-għeruq minsija.
Anke fil-każ ta 'snapshot kompluta, mhux kollox huwa daqshekk imdejjaq. Attakkant mhux se jirċievi fajls encrypted jekk inti mmuntathom mis-sistema ta 'fajls remoti ta' magna oħra. Iva, fit-teorija, tista 'tagħżel id-dump tar-RAM u tiġbed iċ-ċwievet ta' encryption minn hemm. Iżda fil-prattika dan mhuwiex trivjali ħafna u huwa improbabbli ħafna li l-proċess imur lil hinn minn sempliċi trasferiment ta 'fajls.
Ordna karozza
Għall-finijiet tat-test tagħna, nieħdu magna sempliċi . M'għandniex bżonn ħafna riżorsi, għalhekk se nieħdu l-għażla li nħallsu għall-megahertz u t-traffiku li fil-fatt jintefaq. Biss biżżejjed biex tilgħab.
Il-klassika dm-crypt għall-partizzjoni kollha ma telaqx. B'mod awtomatiku, id-diska tingħata f'biċċa waħda, bl-għerq għall-partizzjoni kollha. It-tnaqqis ta 'partizzjoni ext4 fuq waħda immuntata bl-għeruq hija prattikament briks garantit minflok sistema ta' fajls. Ippruvajt) It-tamburin ma għenx.
Ħolqien ta 'kontenitur kripto
Għalhekk, aħna mhux se nikkriptaw il-partizzjoni kollha, iżda se nużaw kontenituri kripto tal-fajls, jiġifieri VeraCrypt awditjat u affidabbli. Għall-iskopijiet tagħna dan huwa biżżejjed. L-ewwel, aħna iġbed u ninstallaw il-pakkett bil-verżjoni CLI mill-websajt uffiċjali. Tista' tiċċekkja l-firma fl-istess ħin.
wget https://launchpad.net/veracrypt/trunk/1.24-update4/+download/veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb
dpkg -i veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb
Issa se noħolqu l-kontenitur innifsu x'imkien fid-dar tagħna sabiex inkunu nistgħu nimmontah manwalment malli terġa 'tibda. Fl-għażla interattiva, issettja d-daqs tal-kontenitur, il-password u l-algoritmi tal-kriptaġġ. Tista 'tagħżel iċ-ċifra patrijottika Grasshopper u l-funzjoni Stribog hash.
veracrypt -t -c ~/my_super_secretIssa ejja ninstallaw nginx, immuntaw il-kontenitur u imlewh b'informazzjoni sigrieta.
mkdir /var/www/html/images
veracrypt ~/my_super_secret /var/www/html/images/
wget https://upload.wikimedia.org/wikipedia/ru/2/24/Lenna.pngEjja tikkoreġi ftit /var/www/html/index.nginx-debian.html biex tikseb il-paġna mixtieqa u tista 'tiċċekkjaha.
Qabbad u ċċekkja
Il-kontenitur huwa mmuntat, id-data hija aċċessibbli u mibgħuta.
U hawn hija l-magna wara reboot. Id-dejta hija maħżuna b'mod sigur f'~/my_super_secret.
Jekk tassew għandek bżonnha u tridha iebsa, tista' tikkriptaġġa l-OS kollu sabiex meta terġa 'tibda teħtieġ konnessjoni permezz ta' ssh u ddaħħal password. Dan ikun biżżejjed ukoll fix-xenarju ta' sempliċi rtirar ta' "data kiesħa". Hawn u encryption disk remot. Għalkemm fil-każ ta 'VDS huwa diffiċli u żejda.
Metall vojt
Mhuwiex daqshekk faċli li tinstalla s-server tiegħek f'ċentru tad-dejta. Id-dedikat ta 'xi ħadd ieħor jista' jirriżulta li jkun magna virtwali li fiha jiġu trasferiti l-apparati kollha. Iżda xi ħaġa interessanti f'termini ta 'protezzjoni tibda meta jkollok l-opportunità li tpoġġi s-server fiżiku fdat tiegħek f'ċentru tad-dejta. Hawnhekk diġà tista 'tuża bis-sħiħ dm-crypt tradizzjonali, VeraCrypt jew kwalunkwe encryption oħra tal-għażla tiegħek.
Trid tifhem li jekk l-encryption totali tiġi implimentata, is-server ma jkunx jista 'jirkupra waħdu wara reboot. Ikun meħtieġ li titqajjem il-konnessjoni mal-IP-KVM lokali, IPMI jew interface ieħor simili. Wara dan aħna nidħlu manwalment iċ-ċavetta prinċipali. L-iskema tidher daqshekk hekk f'termini ta 'kontinwità u tolleranza għall-ħsarat, iżda m'hemm l-ebda alternattiva speċjali jekk id-dejta tkun daqshekk siewja.
NCipher nShield F3 Modulu tas-Sigurtà tal-Hardware
Għażla aktar artab tassumi li d-dejta hija encrypted u ċ-ċavetta tinsab direttament fuq is-server innifsu f'HSM speċjali (Modulu tas-Sigurtà tal-Ħardware). Bħala regola, dawn huma apparati funzjonali ħafna li mhux biss jipprovdu kriptografija tal-ħardwer, iżda għandhom ukoll mekkaniżmi biex jiskopru tentattivi fiżiċi ta 'hacking. Jekk xi ħadd jibda jħaffef is-server tiegħek bi angle grinder, l-HSM bi provvista ta 'enerġija indipendenti se jerġa' jsettja ċ-ċwievet li jaħżen fil-memorja tiegħu. L-attakkant se jikseb il-kappuljat encrypted. F'dan il-każ, ir-reboot jista 'jseħħ awtomatikament.
It-tneħħija taċ-ċwievet hija għażla ħafna aktar mgħaġġla u aktar umana milli l-attivazzjoni ta 'bomba termita jew arrester elettromanjetiku. Għal apparati bħal dawn, inti tkun imsawwat għal żmien twil ħafna mill-ġirien tiegħek fir-rack fiċ-ċentru tad-dejta. Barra minn hekk, fil-każ ta 'użu encryption fuq il-midja nnifisha, inti tesperjenza prattikament l-ebda overhead. Dan kollu jiġri b'mod trasparenti għall-OS. Veru, f'dan il-każ trid tafda s-Samsung kondizzjonali u tittama li għandu AES256 onest, u mhux l-XOR banali.
Fl-istess ħin, ma rridux ninsew li l-portijiet kollha mhux meħtieġa għandhom ikunu fiżikament diżattivati jew sempliċiment mimlija bil-kompost. Inkella, tagħti lill-attakkanti l-opportunità li jwettqu . Jekk għandek PCI Express jew Thunderbolt tispiċċa, inkluż USB bl-appoġġ tagħha, int vulnerabbli. Attakkant ikun jista 'jwettaq attakk minn dawn il-portijiet u jikseb aċċess dirett għall-memorja biċ-ċwievet.
F'verżjoni sofistikata ħafna, l-attakkant ikun jista 'jwettaq attakk cold boot. Fl-istess ħin, sempliċement tferra porzjon tajjeb ta 'nitroġenu likwidu fis-server tiegħek, bejn wieħed u ieħor tneħħi l-bsaten tal-memorja ffriżati u tieħu dump minnhom biċ-ċwievet kollha. Ħafna drabi, sprej li jkessaħ regolari u temperatura ta 'madwar -50 grad huma biżżejjed biex iwettqu attakk. Hemm ukoll għażla aktar preċiża. Jekk ma ddiżattivajtx it-tagħbija minn apparati esterni, allura l-algoritmu tal-attakkant ikun saħansitra aktar sempliċi:
- Iffriża stikek tal-memorja mingħajr ma tiftaħ il-każ
- Qabbad tiegħek USB flash drive bootable
- Uża utilitajiet speċjali biex tneħħi d-dejta mir-RAM li baqgħu ħajjin mir-reboot minħabba l-iffriżar.
Aqsam u tirbaħ
Ok, għandna biss magni virtwali, imma nixtieq inaqqas b'xi mod ir-riskji ta 'tnixxija tad-dejta.
Tista', fil-prinċipju, tipprova tirrevedi l-arkitettura u tqassam il-ħażna u l-ipproċessar tad-dejta f'ġurisdizzjonijiet differenti. Pereżempju, il-frontend b'ċwievet ta 'kodifikazzjoni huwa mill-hoster fir-Repubblika Ċeka, u l-backend b'dejta kodifikata huwa x'imkien fir-Russja. Fil-każ ta' attentat standard ta' qbid, huwa estremament improbabbli li l-aġenziji tal-infurzar tal-liġi jkunu jistgħu jwettqu dan simultanjament f'ġurisdizzjonijiet differenti. Barra minn hekk, dan jassigurana parzjalment kontra x-xenarju li nieħdu snapshot.
Ukoll, jew tista 'tikkunsidra għażla kompletament pura - End-to-End encryption. Naturalment, dan imur lil hinn mill-ambitu tal-ispeċifikazzjoni u ma jimplikax it-twettiq ta 'kalkoli fuq in-naħa tal-magna remota. Madankollu, din hija għażla perfettament aċċettabbli meta niġu għall-ħażna u s-sinkronizzazzjoni tad-data. Pereżempju, dan huwa implimentat b'mod konvenjenti ħafna f'Nextcloud. Fl-istess ħin, is-sinkronizzazzjoni, il-verżjoni u goodies oħra fuq in-naħa tas-server mhux se jmorru.
B'kollox
M'hemm l-ebda sistemi perfettament siguri. L-għan huwa sempliċement li l-attakk jiswa aktar mill-qligħ potenzjali.
Xi tnaqqis fir-riskji ta’ aċċess għad-dejta fuq sit virtwali jista’ jinkiseb billi tgħaqqad l-encryption u l-ħażna separata ma’ hosters differenti.
Għażla aktar jew inqas affidabbli hija li tuża s-server tal-hardware tiegħek stess.
Iżda l-hoster xorta se jkollu jiġi fdat b'xi mod jew ieħor. L-industrija kollha tistrieħ fuq dan.
Sors: www.habr.com