Sanal makinelerde entropi

Bildiğiniz gibi sanal bir makinede "normal" bir bilgisayarda olduğu gibi entropi oluşturmak kolay değildir. Sanal makinede gpg anahtarı oluşturmak, doğru araçlarla bile biraz zaman alabilir.

Orada gpg kadar entropi farkında olmayan çok daha fazla kripto fonksiyonu var.

Kriptografinin sanal bir makinede daha az güvenli olduğunu söyleyebilir miyiz?

Her şeyden önce, bir güvenlik uzmanı olmadığımı söyleyeyim.

Gpg anahtar oluşturma /dev/randomrastgele sayı üreteci olarak kullandığından, gerçek bir makinede olduğu gibi sanal bir makinede de güvenlidir.
/dev/randombir engelleme aracıdır ve kullanılabilir miktarın ötesinde herhangi bir rasgele dağıtım yapmayı durdurur. Mevcut rastgelelik durumunuzu
cat /proc/sys/kernel/random/entropy_avail( 2000 civarında olmalıdır ) kontrol edebilirsiniz.

Bir sanal makinede, donanıma erişim eksikliği nedeniyle mevcut rastgelelik gerçek bir makineden daha düşüktür.
Entropiyi örneğin entropi anahtarları uygulayarak ve / veya sanallaştırılmamış bir makineye geçerek artırabilirsiniz .

Bir yoktur güzel makale sanal makinelerde entropi geçerli. Ne yazık ki makalenin her iki kısmı da şu anda yalnızca Google önbelleğinde kullanılabilir.

Entropinin ssl / tls şifrelemesi üzerinde daha fazla etkisi vardır. Bu nedenle, /dev/urandomveya gerçekte rastgele olmayan herhangi bir kaynak kullanmak , uygulamalarınızın güvenliği üzerinde gerçekten bir etkiye sahiptir .

/dev/urandomGerçek rastgelelikle karşılaştırıldığında ne kadar güvenilir olduğu;
Sana orada iyi bir cevap veremiyorum, üzgünüm.

Bu konu hakkında daha fazla bilgi için http://security.stackexchange.com adresine gidebilir ve / veya okuyabilirsiniz. bu gönderi

Evet, çoğu durumda kriptografi sanal bir makinede "gerçek" bir sunucudan daha az güvenlidir.

İkincisi en azından bazı gerçek donanımlardan entropi toplayabilir. Aslında, bir HW parçasının çalışması - çoğu durumda - tüm hesaplar tarafından rastgele, her zaman küçük varyasyonlara tabi olan bazı fiziksel fenomenlere bağlıdır. Sunucular genellikle sıfırlama olmadan çok uzun süre çalıştığından, sonuçta ortaya çıkan entropi havuzu sonunda yeterli kalitede olacaktır.

Sanal makineler üç sorundan muzdariptir.

1. Gördükleri donanım gerçek değildir ve bu nedenle herhangi bir fiziksel olaydan neredeyse hiç etkilenmez. Entropiyi çok daha yavaş toplayabilirler.
2. VM'ler gerçek sunuculardan çok daha sık sıfırlanır ve yeterli entropiyi toplamak için bile zamanları olmayabilir (bu nedenle kapanırken mevcut entropi durumunu kaydetmek ve yeniden başlatma sırasında entropi havuzunu beslemek için kullanmak iyidir).
3. Gerçek bir sunucu iken edebilir kötü bir entropi havuzu ile uğraşıyor belirlemek için bazı şansı, sanal makine daha kolay, ama HW olduğunu bilmeden onu HW toplanan çünkü entropi havuzu (iyi izlenimi altında faaliyet gösterecek gerçek değil), oysa aslında kötüdür.

En iyi çözüm, VM'nin gördüğü HW'nin kötü bir entropi kaynağı olduğunu bırakıp fark etmesini sağlamaktır. Ardından, yüksek kaliteli entropinin dağıtılması için yerel bir ağ hizmeti ayarlayın (bkz. Entropy Broker ). "Entropi sunucusu", genel HW'den (bu durumda yeterli bir süre boyunca çalışması ve iyi bir işletim sistemine sahip olması gerekir) veya belirli bir kripto HW'den (bir TPM yongası, bir VIA Asma Kilit yongası vb.)

Böyle bir hizmeti kullanan bir sanal makine, henüz yeni başlatılan "gerçek" bir sunucudan daha güvenli (kriptografik olarak) olabilir.