Fiziksel erişime maruz kalan uzaktan dağıtılan sunucularda veri hırsızlığını önleme [kapalı]

13

Fiziksel erişime maruz kalan Linux sunucularını güvenli hale getirmenin bir yolunu düşünmeye çalışıyorum. Özel platformum, bir PC Engines markası alix2d13 anakart üzerindeki küçük form faktörlü Linux sunuculardır . Küçük boyut, bir saldırgan tarafından tesisten çıkarılma riskini artırır.

Sunucuya fiziksel erişim olduğunu varsayarsak:

1) KÖK ŞİFRE: Sunucuya bir konsol kablosu bağlarsınız ve parola girmeniz istenir. Parolayı bilmiyorsanız, makineyi tek kullanıcı modunda yeniden başlatabilir ve parolayı sıfırlayabilirsiniz. Voilà, root erişimine sahipsin.

Yukarıdakileri güvence altına almak için GRUB menüsüne bir şifre girersiniz, böylece sunucu tek kullanıcı moduna girmek için yeniden başlatıldığında GRUB şifresini girmeniz gerekir.

2) GRUB_PASSWORD. Makineyi kapatırsanız, sabit sürücüyü çıkarıp başka bir iş istasyonuna monte /bootederseniz, GRUB şifresini bulabileceğiniz grub.cfg dosyasını içeren dizine göz atabilirsiniz . GRUB şifresini değiştirebilir veya silebilirsiniz.

Açıkçası büyük üretim makineleri hakkında konuştuğumuzda büyük olasılıkla herhangi bir fiziksel erişim olmayacak ve bunun dışında, birisi sunucuya fiziksel erişim elde etse bile kapatmayacak.

Fiziksel olarak çalması kolay olan sunucularda veri hırsızlığını önlemek için olası çözümler nelerdir?

Gördüğüm şekilde, içerilen verilere bir şekilde veya başka bir erişim elde edilebilir.

linux  security 
— giomanda
kaynak
3
Her açılışında bir şifre çözme şifresi girmek istemiyorsanız, yapabileceğiniz çok şey yoktur. Şifre çözme, yalnızca uygun ağda olduğu sürece kullanılabilen bir şebeke servisi ile iletişim kurularak yapılabilir. Bu çok güvenli değil, ancak hırsızın yerindeyken verilere erişmeye çalışmadığı durumu kapsamak için yeterli. Ancak hedeflenen bir saldırgan, makineyi kapatmadan bile çalabilir. Sanırım birkaç dakika güçte kalmasını sağlamak için çok fazla pil kapasitesi gerekmiyor.
— kasperd
12
Betona gömün. Bu kesinlikle hırsızlığı önleyecektir!
— Michael Hampton
14
Tehdit modelinin ne olduğu tam olarak belli değil. Fiziksel uzlaşmaya karşı savunmasız bir cihaz mı istiyorsunuz? Bu çok karmaşık ve pahalı olacak. Bilgisayarlar kasa değildir. Bir kasa istiyorsanız, bir kasaya ihtiyacınız vardır.
— David Schwartz
3
@BlueCompute Soru profesyonel bir ortamda da ortaya çıkabilir, bu yüzden burada kalmalıdır.
— Nils
3
@giomanda Ve 's "threa t modeli". Bunun anlamı, neyi ve neyi güvence altına aldığınızı tam olarak anlamanız gerektiğidir. El Kaide'den Fort Knox'u savunmak için SEAL Team Six'i kullanabilirsiniz, ancak yeni plazma TV'nizi mahalle hırsızlarından korumak için kullanamazsınız.
— David Schwartz

Yanıtlar:

18

Her zaman çalıştığım kural, bir saldırganın ana makinenize fiziksel erişimi olduğunda, sonunda içine girebilirler - kasperd'un dediği gibi, bir önyükleme parolası ile güçlü tüm disk şifrelemesi kullanmazsanız ve orada her zaman ev sahibi çizme girmek için.

— Andrew Schulman
kaynak
14
Ve o zaman bile, fiziksel erişime sahip bir kişi, önyükleme parolasını girmek ve böylece parolayı öğrenmek için kullanılan klavyenin yerini alabilir ...
— Hagen von Eitzen
2
@HagenvonEitzen çözümü: kendi klavyenizi taşıyın ve kutudaki fiziksel USB (veya PS / 2) bağlantı noktasını kurcalamaya karşı koruyun.
— Jules
10
@JulesMazur Kontratak: Yerleşik Hizmetçi yerleşik bellenimi tekrar yanıp sönüyor.
— CVn
1
@ MichaelKjörling Savunma: bellenim şifresi, fiziksel, sağlam kilitli sunucu kutusu.
— Jules
6
@ MichaelKjörling klavyeyi ve / veya bellenimi kaçırmak kötü hizmetçi fitil çeteleri ile asla çok güvenli olamaz
— Jules
10

Farkında olduğum çözüm diski şifrelemek ve bir TPM: Güvenilir Platform Modülü kullanmaktır

Bu şekilde sabit sürücünün şifresini şu şekilde çözebilirsiniz:

Tam disk şifreleme uygulamaları [...] bilgisayarın sabit disklerini şifrelemek ve güvenilir bir önyükleme yolu (örneğin BIOS, önyükleme sektörü, vb.) İçin bütünlük doğrulaması sağlamak için kullanılan anahtarları korumak için bu teknolojiyi [TPM] kullanabilir. üçüncü taraf tam disk şifreleme ürünleri de TPM'yi destekler. Ancak TrueCrypt bunu kullanmamaya karar verdi. - Wikipedia

Tabii ki yanlış olabilirim ve TPM kolayca kırılabilir veya başka çözümler bilmiyor olabilirim.

— ColOfAbRiX
kaynak
Doğru. Bir TPM, şifreli bir sürücü ve UEFI imzalama ile, bir yabancının sürücüyü okuması veya şifrelemeyi atlatmak için önyükleyiciyi değiştirmesi imkansızdır.
— longneck
Bu özelliği herhangi bir bilgisayara eklemek için bir TPM ile USB kalem olup olmadığını bilmek ilginç olacaktır.
— ColOfAbRiX
1
Hayır, çünkü bios tpm'yi yönetmek zorunda.
— longneck
3
Fiziksel erişim sayesinde TPM bile fazla bir şey yapmaz ... makine önyüklenirken verileri TPM çipinden kolayca koklayabilir veya bilgisayar fark etmeden bilgisayarın tüm belleğine erişebilirsiniz (ve böylece TPM " "anahtar gayet iyi).
2
TPM, veriyolundaki PCI numaralandırmasına yanıt vermeyen ancak daha sonra DMA aracılığıyla işletim sisteminin üzerine yazan bir PCI aygıtına düşecektir.
— joshudson
7

Tam disk şifreleme, dizüstü bilgisayarlar ve küçük ev sunucuları için iyi bir fikirdir.

Tam disk şifrelemesi TPM gerektirmez. Bir TPM bile sizi karmaşık bir kötü hizmetçi saldırısına karşı koruyamaz . Bu nedenle, küçük ev Linux sunucunuzu (veya bir veri merkezini) gerçekten korumak için uygun diğer fiziksel karşı önlemlere ihtiyacınız vardır.

Ev kullanım durumunuz için bazı yaratıcı DIY donanımlarını yüklemek yeterli olabilir:

  1. geri döndüğünüzde herhangi bir fiziksel saldırıya izin vermenizi sağlar ve
  2. herhangi bir fiziksel izinsiz giriş denemesinde bilgisayarınızın güç kaynağını keser.

Bazı büyük şirketlerin veya güçlü devlet kurumlarının düşmanları olarak karşılaştığı gazeteciler ve düdük üfleyiciler için bu muhtemelen yeterince güvenli değildir. Bu üç harfli ajanslar, gücü kapattıktan birkaç dakika sonra bile RAM'den net metin kurtarmak için gereken adli ekipmana sahip olabilir .

— pefu
kaynak
7

İşte basit bir çözüm: tek kullanıcı modu olmadan çekirdeği yeniden oluşturun!

Daha uygun bir ifadeyle, kullandığınız linux çekirdeğini düzenleyerek S modunun varsayılan modunuz ne olursa olsun yeniden eşleşmesini sağlayın (3,4,5). Bu şekilde, tek kullanıcı moduna önyükleme girişimi sistemi normal şekilde başlatır. Başlangıç ​​komut dosyalarında da aynı şeyi yapabilirsiniz. Bu şekilde, şifreyi bilmeden sisteme girmenin özel bir yolu olmazdı.

— Arkain
kaynak
Hala grub istemine erişebilirsem hala çekirdek parametrelerini olarak değiştirebilirim init=/bin/bash. Bu sizi daha sonra monte edebileceğiniz bir kök bash kabuğuna önyükleyecektir /.
— Jens Timmerman
Grub her zaman kabuğuna erişime izin vermeyecek şekilde yapılandırılabilir.
— Arkain
Zaten bu sorunun diğer cevaplarında işaret edildiği gibi: Eğer yetenekli bir saldırgan bilgisayara fiziksel erişim elde ederse, o zaman yeniden inşa çekirdeğiniz değerli gizli veri mücevherlerinizi içeren mezar yolunda eski bir örümcek ağından başka bir şey değildir. :-)
— pefu
3

Gidin ve Elektronik sitesinde sorun. Her şeyi şifreleyen gömülü SOC tasarımları olduğundan eminim ve bir kez kaynaştırdığınızda, mühendisleri tersine çevirmek imkansızdır.

Bununla birlikte, ekibin tam olarak nasıl ayırdıklarını gösterdiği bir DefCon sunumundaydım. Birçok durumda, yongalar kaynaşmamıştı veya yonga tasarımı aptalca bağlı olmayan bir hata ayıklama portu içeriyordu. Diğerlerinde çip katmanlarını kimyasal olarak çıkardılar ve çipi elektron mikroskop taramasıyla okudular. Gerçekten adanmış bilgisayar korsanlarından asla güvende olmayacaksınız.

— Zan Lynx
kaynak
1

Eğer yıkıcı önleyici tedbirleri dikkate almak istiyorsanız, farklı bir yaklaşım sunmak istiyorum. Kurcalama tespiti (yöntem / sensörler karar verirseniz) tahrip verilerini deşarj olan hdd ve ram'ınıza büyük kapasiteli bir kapasitör lehimlemeyi düşünün.

Bu, daha sonra hiç kimsenin sisteme erişemeyeceği boş anlamdaki erişimi "önler". Bu yüzden, muhtemelen niyetinizi tamamen kaçırırken soruyu kelimesi kelimesine cevaplıyor.

Bir kapasitör sadece bir örnektir. Başka olasılıklar da var. Sorun, cihazın hava tahribatı (veya en azından içerdiği verilerin) kabul edilebilir olmasıdır.

Zamanlayıcı tabanlı çözüm de mümkündür - cihaz birkaç dakikada bir / saatte bir ping atmadığı sürece ... kendini yok eder. Bu tema boyunca birçok farklı olasılık.

— Dani_l
kaynak
En azından bir dönel HDD, plakalarını başka bir aynı model sürücüye nakledebilir ve PCB tamamen yok edilmiş olsa bile iyi okuyacaktır. (SSD'lerden emin değilim, ama bu kadar zor olmasına güvenmem.) Bu, veri kurtarma şirketlerinin her zaman yaptığı bir şey. Böyle bir şeyi makul derecede kesin bir şekilde yapacaksanız (yine de kesin olarak olmasa da), sürücünün bağırsaklarına küçük bir patlayıcı koyun. SSD'lerde, amaçlanan yıkıcı kuvvetle ilgisi olmayan nedenlerden dolayı dönel HDD'lerden daha iyi çalışır.
— CVn
@ MichaelKjörling Thermite gidilecek yoldur. Bir hdd'deki patlayıcılar, verileri gerçekten yok etmek için nispeten büyük bir patlama gerektirir. Patlayıcı aslında olup olmadığını üst tabağı yok edeceğiz de sürücüye ancak sürücü plakaları onlar patlayıcının oldukça güvensiz miktarda olmadan sadece incinerate gidiş değildir, oldukça iri bulunmaktadır. Thermite metal ile oldukça güzel yanıyor.
— DanielST
1

Potansiyel bir çözüm, tam disk şifrelemesi kullanmak, anahtarı bir USB çubuğuna / bellek kartına koymak ve bilgisayarı, bazı çevresel sensörlerle birlikte bir açma anahtarına sahip tek bir kapıyla metal bir kutuya koymak olabilir.

USB sürücüsünü bağlantı noktasına ("kasanın" dışına) yerleştirdikten sonra cihazı önyüklemek için FDE anahtarını oradan okur ve sistemi başlatır. "Kasa" hiç açılmışsa, açma anahtarı sistemi sıfırlar ve anahtarı bellekten siler.

Ortam izin veriyorsa, sıcaklık, hızlanma, nem, vb. cebinde, tüm kablolarından ayırmadan önce sıfırlanmış olacak.

Sitemizi kullandığınızda şunları okuyup anladığınızı kabul etmiş olursunuz: Çerez Politikası ve Gizlilik Politikası.
Licensed under cc by-sa 3.0 with attribution required.