Çfarë duhet të bësh nëse silovikët i shkojnë hostit tënd

kdpv — Reuters

Nëse keni marrë me qira një server, atëherë kontrolli juaj mbi të nuk është i plotë. Kjo do të thotë se në çdo moment, ofruesit të shërbimit mund t’i paraqiten njerëz të trajnuar dhe t’i kërkojnë të dhënat tuaja. Dhe ofruesi do t’i japë ato nëse kërkesa është e dokumentuar sipas ligjit.

Ju nuk dëshironi aspak që log-et e serverit tuaj web ose të dhënat e përdoruesve të përfundojnë tek dikush tjetër. E përsosur mbrojtja nuk është e mundur të ndërtohet. Mbrojtja nga ofruesi i shërbimit që zotëron hipervizorin dhe ju ofron një makinë virtuale pothuajse është e pamundur. Megjithatë, ndoshta është e mundur të ulni pak rrezikun. Enkriptimi i makinave të marrë me qira nuk është aq i padobishëm sa duket në fillim. Njëkohësisht, do të hedhim një vështrim në kërcënimet e nxjerrjes së të dhënave nga serverët fizikë.

Modeli i kërcënimeve

Në përgjithësi, host-i do të përpiqet të mbrojë sa më shumë interesat e klientit, saqë është e mundur sipas ligjit. Nëse një shkresë nga organet zyrtare kërkon vetëm log-et e aksesit, host-i nuk do të dorëzojë kopjet e të gjitha makinave virtuale me bazat e të dhënave. Nuk duhet, të paktën. Nëse kërkohet të dhëna të plota, host-i do të kopjojë disqet virtuale me të gjitha skedarët dhe ju nuk do të merrni vesh për këtë.

Pavarësisht skenarit të zhvillimit të ngjarjeve, detyra juaj kryesore është të bëni që sulmi të jetë shumë i zakonshëm dhe i kushtueshëm. Rreth tri opsione kryesore për kërcënimin janë zakonisht.

Zyrtare

Më shpesh, në zyrën zyrtare të host-it dërgohet një letër me kërkesën për të siguruar të dhënat e nevojshme sipas një vendimi përkatës. Nëse gjithçka është e rregullt, host-i ofron log-et e nevojshme dhe të dhëna të tjera për organet zyrtare. Zakonisht thjesht kërkohet të dërgohen të dhënat e nevojshme.

Herë pas here, nëse është e nevojshme, përfaqësues të organeve të zbatimit të ligjit vizitojnë personalisht Qendrën e të Dhënave. Për shembull, kur keni një server të dedikuar dhe të dhënat nga aty mund të merren vetëm fizikisht.

Në të gjitha vendet, për të siguruar qasje në territorin privat, për të kryer kërkime dhe aktivitete të tjera, kërkohet të ketë prova që këto të dhëna mund të përmbajnë informacion të rëndësishëm për hetimin e një krimi. Për më tepër, kërkohet një urdhër kërkimi i hartuar sipas të gjitha rregullave. Këtu mund të ketë nuanca që lidhen me veçoritë e legjislacionit vendas. E rëndësishme është të kuptohet se, në rastin e një rrugëzimi të duhur zyrtar, përfaqësuesit e Qendrës së të Dhënave nuk do të lejojnë askënd të kalojë më tej te hyrja.

Më tepër, në shumicën e vendeve nuk është e mundur thjesht të hiqet pajisja që funksionon. Për shembull, në Rusi deri në fund të vitit 2018, sipas nenit 183 të Kodit të Procedurës Penale të RF, pjesa 3.1, garantoheshin që gjatë kryerjes së konfiskimit, heqja e mediave elektronike të informacionit të bëhej me pjesëmarrjen e një specialisti. Me kërkesën e pronarit ligjor të mediave elektronike që konfiskohen ose të mbajtësit të informacionit që ndodhet në to, specialisti që merr pjesë në konfiskim, në prani të dëshmitarëve, kryen kopjimin e informacionit nga mediat elektronike në media të tjera elektronike.

Pastaj, fatkeqësisht, ky pikë është hequr nga neni.

Të fshehta dhe jozyrtare

Kjo është tashmë territori i veprimtarisë së shokëve të trajnuar nga NSA, FBI, MI5 dhe organizata të tjera me tre shkronja. Çdoherë, ligjëria e vendeve parashikon kompetenca shumë të gj ширa për këto struktura. Më shumë se kaq, pothuajse gjithmonë ekziston një ndalim ligjor për çdo shpërndarje direkte dhe indirekte të vetë faktit të bashkëpunimit me këto institucione force. Në Rusi ekzistojnë norma të ngjashme juridike.

Në rast se ka një kërcënim të tillë për të dhënat tuaja, ato me siguri do të nxirren. Përveç thjesht nxjerrjes, mund të përdoren edhe të gjitha mjetet jozyrtare të backdoor-it, vulnerabilitetet e ditës zero, nxjerrja e të dhënave nga memoria RAM e makinës tuaj virtuale dhe kënaqësitë e tjera. Hosting provider-i do të jetë i detyruar të ndihmojë maksimalisht specialistët e autoriteteve.

Punonjësi i pandershëm

Nuk janë të gjithë njerëzit të njëjtë. Disa nga administratorët e Qendrës së të Dhënave mund të vendosin të fitojnë ndonjë para dhe të shesin të dhënat tuaja. Zhvillimi i mëtejshëm i ngjarjeve varet nga pushtetet dhe akseset e tij. E keqja më e madhe është se një administrator me akses në konsolën e virtualizimit ka kontroll të plotë mbi makinat tuaja. Gjithmonë është e mundur të bëhet një snapshot me të gjitha përmbajtjet e memories RAM dhe më pas ta studiojmë atë pa ngut.

VDS

Kështu, ju keni një makinë virtuale që ju është dhënë nga hosting provider-i. Si mund ta organizoni enkriptimin për të mbrojtur veten? Në të vërtetë, thuajse asnjë mënyrë. Për më tepër, edhe një server i dedikuar i huaj mund të përfundojë si një makinë virtuale, në të cilën janë lidhur pajisjet e nevojshme.

Nëse qëllimi i sistemit të largët nuk është vetëm ruajtja e të dhënave, por edhe kryerja e disa llogaritjeve, atëherë opsioni i vetëm për të punuar me një makinë të pabesueshme do të jetë zbatimi i kriptimit homomorfik. Këtu, sistemi do të kryejë llogaritjet pa mundësi për të kuptuar se çfarë saktësisht po bën. Fatkeqësisht, shpenzimet për zbatimin e këtij kriptimi janë aq të mëdha, saqë aplikimi i tij në praktikë në këtë moment është i kufizuar në disa detyra shumë të ngushta.

Për më tepër, në momentin kur makina virtuale është e aktivizuar dhe po kryen disa veprime, të gjitha volumet e kriptuara janë në një gjendje të aksesueshme, përndryshe OS thjesht nuk do të mund të punojë me to. Kjo do të thotë se duke pasur akses në konsolën e virtualizimit, gjithmonë mund të bëni një snapshot të makinës në punë dhe të nxirrni të gjitha çelësat nga memoria e përkohshme.

Shumë ofrues shërbimesh kanë ndërmarrë përpjekje për të organizuar shkallëzimin e harduerit RAM, në mënyrë që asnjë hoster të mos ketë akses në këto të dhëna. Për shembull, teknologjia Intel Software Guard Extensions krijon zona në hapësirën virtuale adresuese, të mbrojtura nga leximet dhe shkrimet nga proceset e tjera, përfshirë bërthamën e sistemit operativ. Fatkeqësisht, nuk do të mund të besoni plotësisht këto teknologji, pasi do të jeni të kufizuar në makinën tuaj virtuale. Për më tepër, tashmë ekzistojnë shembuj të gatshëm të një sulmi në këtë teknologji. Megjithatë, enkriptimi i makinave virtuale nuk është aq i pavlerë sa mund të dukej.

Enkriptimi i të dhënave në VDS

Menjëherë duhet të përmend se gjithçka që ne bëjmë më poshtë nuk do ta ofrojë mbrojtjen e plotë. Hipervizori do të lejojë krijimin e kopjeve të nevojshme pa ndalur shërbimin dhe pa u vënë re nga ju.

• Nëse hoster-i transferon një imazh 'të ftohtë' të makinës tuaj virtuale sipas kërkesës, atëherë ju do të jeni në një siguri relative. Kjo është skenari më i zakonshëm.
• Nëse hosti ofron një snapshot të plotë të një makine në funksion, gjërat janë shumë të këqija. Të gjitha të dhënat do të montoheshin në sistem në formë të hapur. Për më tepër, do të kishte mundësi për të hulumtuar në RAM për të gjetur çelësa privatë dhe të dhëna të ngjashme.

Për default, nëse keni implementuar një sistem operativ nga një imazh të pastër, hosti nuk ka akses root. Gjithmonë është e mundur të montoni një media me një imazh rescue dhe të ndryshoni fjalëkalimin e root, duke bërë chroot në mjedisin e makinës virtuale. Por kjo do të kërkonte një rinisje, që do të vihej re. Plus, të gjitha ndarjet e montuara të enkriptuara do të ishin të mbyllura.

Megjithatë, nëse implementimi i makinës virtuale nuk bëhet nga një imazh të pastër, por nga një të përgatitur paraprakisht, hosti shpesh mund të shtojë një llogari me privilegje për të ndihmuar në një situatë emergjente për klientin. Për shembull, për të ndryshuar një fjalëkalim të harruar të root.

Edhe në rastin e një snapshoti të plotë, nuk është gjithçka aq keq. Sulmuesi nuk do të marrë skedarët e enkriptuar nëse i keni montuar ata nga një sistem të largët të skedarëve të një makine tjetër. Po, teorikisht është e mundur të shkërmoqni dump-in e memories dhe të nxirrni çelësat e enkriptuar nga aty. Por në praktikë, ky proces është shumë kompleks dhe është shumë e dyshimtë që ai të shkojë përtej thjesht kalimit të skedarëve.

Kërkojmë një makinë

Për qëllimet tona testuese, marrim një makinë të thjeshtë në seksioni për porosinë e serverëve. Nuk na duhen shumë resurse, prandaj do të zgjedhim opsionin me pagesë për megahercët dhe trafikun e konsumuar. Mjafton për të luajtur pak.

Klasikja dm-crypt e tërë ndarjes nuk funksionoi. Disku, me të drejtë, jepet si një copë e vetme, me root në të gjithë ndarjen. Të zvogëlosh ndarjen me ext4 mbi root të montuar — është praktikisht një garanci për të pasur një mur në vend të sistemit të skedarëve. E provojta) Buben nuk ndihmoi.

Krijojmë një kriptokontainer

Prandaj, nuk do ta kodojmë tërë seksionin, por do të përdorim kontejnerë të koduar të skedarëve, sidomos VeraCrypt që ka kaluar audite dhe është i besueshëm. Kjo është e mjaftueshme për ne. Fillimisht, tërheqim dhe instalojmë paketën me versionin CLI nga faqja zyrtare. Mund ta kontrolloni edhe nënshkrimin.

wget https://launchpad.net/veracrypt/trunk/1.24-update4/+download/veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb
dpkg -i veracrypt-console-1.24-Update4-Ubuntu-18.04-amd64.deb

Tani do të krijojmë vetë kontejnerin diku në home tonë, për ta montuar manualisht pas rinisjes. Në variantin interaktiv, caktoni madhësinë e kontejnerit, fjalëkalimin dhe algoritmet e enkriptimit. Mund të zgjidhni enkriptimin patriotik Kuznechik dhe funksionin hash Stribog.

veracrypt -t -c ~/my_super_secret

Tani le të instalojmë nginx, të montojmë kontejnerin dhe të ngarkojmë informacionin sekret brenda tij.

mkdir /var/www/html/images
veracrypt ~/my_super_secret /var/www/html/images/
wget https://upload.wikimedia.org/wikipedia/ru/2/24/Lenna.png

Le të rregullojmë /var/www/html/index.nginx-debian.html për të marrë faqen e dëshiruar dhe mund të fillojmë verifikimin.

Lidhemi dhe verifikojmë

Konteineri është montuar, të dhënat janë të aksesueshme dhe ofrohen.

Dhe këtu është makina pas rinisjes. Të dhënat janë të siguruara në ~/my_super_secret.

Nëse keni shumë nevojë dhe dëshironi hardcore, mund të enkriptoni tërë OS-në, në mënyrë që gjatë rindezjes të kërkojë lidhje përmes ssh dhe futjen e fjalëkalimit. Kjo do të jetë e mjaftueshme edhe në skenarin e tërheqjes së "të dhënave të ftohta". Ja udhëzimi me përdorimin e dropbear dhe enkriptimin e tij të largët të disqeve. Megjithatë, në rastin e VDS, kjo është e komplikuar dhe e tepruar.

Bare metal

Nuk është aq e lehtë të vendosni një server të vetin në data center. Një dedicated tjetër mund të rezultojë të jetë një makinë virtuale, ku janë lidhur të gjitha pajisjet. Por diçka interesante në aspektin e mbrojtjes fillon kur keni mundësinë të vendosni një server fizik të besueshëm në data center. Këtu është e mundur të shfrytëzoni plotësisht dm-crypt, VeraCrypt ose çdo enkriptim tjetër sipas zgjedhjes suaj.

Duhet të kuptohet se gjatë realizimit të enkriptimit total, serveri nuk do të mund të ngrihet vetë pas rinisjes. Do të nevojitet të ngrihet lidhja me ndërfaqen lokale IP-KVM, IPMI ose ndonjë ekvivalent tjetër të ngjashëm. Pas kësaj, ne do të futim manualisht çelësin kryesor. Skema duket kështu me rëndësi për vazhdimësinë dhe qëndrueshmërinë, por nuk ka shumë alternativa këtu, nëse të dhënat janë kaq të çmuara.

NCipher nShield F3 Hardware Security Module

Një variant më i butë supozon se të dhënat janë të enkriptuara, ndërsa çelësi gjendet drejtpërdrejt në server në një HSM (Hardware Security Module) të veçantë. Në përgjithësi, këto janë pajisje shumë funksionale që jo vetëm ofrojnë kriptografi harduerike, por gjithashtu kanë mekanizma për zbulimin e përpjekjeve të thyerjes fizike. Nëse dikush fillon të shqetësojë serverin tuaj me një bulgar, atëherë HSM me një burim të pavarur energjie do të fshijë çelësat që ruan në kujtesën e tij. Sulmuesi do të marrë një përzierje të enkriptuar. Në këtë rast, rinisja mund të ndodhë automatikisht.

Shkëputja e çelësave është një alternativë shumë më e shpejtë dhe humane, krahasuar me aktivizimin e një fishe teremonte ose shkarkuesit elektromagnetik. Për këto pajisje, fqinjët tuaj në qendrën e të dhënave do t'ju rrahin për një kohë të gjatë. Aq më tepër, në rastin e përdorimit TCG Opal 2 të enkriptimit në vetë media, ju praktikisht nuk përjetoni asnjë mbingarkesë. E gjithë kjo ndodh në mënyrë transparente për sistemin operativ. Megjithatë, në këtë rast duhet t'i besoni një kompani si Samsung dhe të shpresoni se atje ka një AES256 të sinqertë, e jo një XOR të zakonshëm.

Gjithashtu, nuk duhet të harrohet se të gjithë portet e panevojshme duhet të jenë të çaktivizuara fizikisht ose thjesht të mbulohen me kompaund. Ndryshe, ju krijoni mundësi për sulmuesit të kryejnë sulme DMA. Nëse keni një PCI Express ose Thunderbolt të mbetjeve jashtë, duke përfshirë USB me mbështetje për të — ju jeni të pambrojtur. Sulmuesi mund të kryejë një sulm përmes këtyre porteve dhe të fitojë qasje të drejtpërdrejtë në memorinë me çelësat.

Në një version shumë të sofistikuar, sulmuesi mund të kryejë një sulm cold boot. Në këtë rast, ai thjesht derdh një sasi të madhe lëngu azoti në serverin tuaj, nxjerr në mënyrë brutale shiritat e ngrihjes së memories dhe merr një dump me të gjitha çelësat. shpesh, për të kryer sulmin mjafton një sprej i zakonshëm ndihmës dhe temperatura rreth -50 gradë. Ka edhe një variant më të kujdesshëm. Nëse nuk e keni çaktivizuar ngarkimin nga pajisjet e jashtme, algoritmi i sulmuesit do të jetë edhe më i thjeshtë:

1. Të ngrijmë shiritat e memories pa hapur kabinetin
2. Të lidhem me flash-in time të ngarkimit
3. Të përdorim mjete speciale për të nxjerrë të dhënat nga memoria operuese, të cilat kanë mbijetuar rinisjen falë ngrirjes.

Përçaj dhe sundo

Ok, kemi vetëm virtualizime, por duam të ulim ndonjëherë rrezikun e rrjedhjes së të dhënave.
Në parim, mund të shqyrtojmë arkitekturën dhe të ndajmë ruajtjen e të dhënave dhe përpunimin në juridiksione të ndryshme. Për shembull, frontend me çelësat e kodimit te hosti në Çeki, dhe backend me të dhëna të koduara diku në Rusi. Në rastin e një përpjekjeje standarde për konfiskim, është jashtëzakonisht e pamundur që autoritetet të mund të kryejnë këtë njëkohësisht në juridiksione të ndryshme. Për më tepër, kjo na siguron pjesërisht nga skenari i marrjes së snapshot-it.

Ose mund të shqyrtojmë një variant krejtësisht të pastër — Enkriptim End-to-End. Sigurisht, kjo del jashtë kornizës së kërkesave dhe nuk nënkupton kryerjen e llogaritjeve në makinat e largëta. Megjithatë, është një variant krejt i pranueshëm nëse bëhet fjalë për ruajtjen dhe sinkronizimin e të dhënave. Për shembull, kjo është realisht e implementuar shumë mirë në Nextcloud. Ndërkohë, sinkronizimi, versionimi dhe karakteristika të tjera të pjesës server do të mbeten gjithmonë.

Në përfundim

Nuk ka sisteme të përsosura të mbrojtura. Qëllimi është vetëm të bëhet një sulm më i shtrenjtë se përfitimi potencial.

Një reduktim të disa rreziqeve për aksesin në të dhëna në serverin virtual mund të arrihet duke kombinuar enkriptimin dhe ruajtjen e ndarë te hosterë të ndryshëm.

Një opsion relativisht i besueshëm është përdorimi i një serveri të dedikuar.

Por, ndërsa hosti do t'ju duhet ndonjëherë të besoni. Kjo është baza e të gjithë industrisë.

Burimi: habr.com