Mencegah pencurian data pada server yang ditempatkan dari jarak jauh yang terkena akses fisik [ditutup]

13

Saya mencoba memikirkan cara untuk mengamankan server Linux yang terkena akses fisik. Platform spesifik saya adalah server Linux faktor bentuk kecil pada papan induk merek PC Engines alix2d13 . Ukurannya yang kecil menghadirkan risiko tambahan dikeluarkan dari tempat oleh penyerang.

Dengan asumsi ada akses fisik ke server:

1) ROOT-PASSWORD: Anda menghubungkan kabel konsol ke server dan Anda mendapatkan prompt untuk kata sandi. Jika Anda tidak tahu kata sandi, Anda dapat menghidupkan ulang mesin dalam mode satu pengguna dan mengatur ulang kata sandi. Voa, Anda mendapatkan akses root.

Untuk mengamankan hal di atas, Anda memasukkan kata sandi pada menu GRUB sehingga ketika server dihidupkan ulang untuk masuk ke mode pengguna tunggal, Anda harus memberikan kata sandi GRUB.

2) GRUB_PASSWORD. Jika Anda mematikan mesin, keluarkan hard drive dan pasang di workstation lain, Anda akan dapat menelusuri /bootdirektori yang berisi file grub.cfg di dalamnya Anda dapat menemukan kata sandi GRUB. Anda dapat mengubah kata sandi GRUB atau menghapusnya.

Jelas ketika kita berbicara tentang mesin produksi besar kemungkinan besar tidak akan ada akses fisik dan selain itu, bahkan jika seseorang mendapatkan akses fisik ke server dia tidak akan mematikannya.

Apa solusi yang mungkin untuk mencegah pencurian data pada server yang secara fisik mudah dicuri?

Cara saya melihatnya, satu atau lain cara akses ke data yang terkandung dapat diperoleh.

linux security

— giomanda
sumber

3

Kecuali Anda ingin berada di sekitar untuk memasukkan kata sandi dekripsi setiap kali boot, tidak banyak yang dapat Anda lakukan. Dekripsi dapat dilakukan dengan berkomunikasi dengan layanan jaringan yang hanya tersedia selama berada di jaringan yang tepat. Itu tidak terlalu aman, tetapi cukup untuk menutupi kasus di mana pencuri tidak mencoba mengakses data saat di lokasi. Tapi penyerang yang ditargetkan bahkan bisa mencuri mesin tanpa mematikannya. Saya kira itu tidak akan mengambil banyak kapasitas baterai untuk tetap bertenaga selama beberapa menit.

— kasperd

12

Menguburnya dalam beton. Itu pasti akan mencegah pencurian!

— Michael Hampton

14

Tidak begitu jelas apa model ancamannya. Anda ingin perangkat yang kebal terhadap kompromi fisik? Itu akan menjadi sangat kompleks dan mahal. Komputer bukan kubah. Jika Anda ingin lemari besi, Anda perlu lemari besi.

— David Schwartz

3

@BlueCompute Pertanyaannya dapat muncul di lingkungan profesional juga, jadi harus tetap di sini.

— Nils

3

@giomanda Dan itu " model t " ". Dan bagian dari artinya adalah bahwa Anda harus benar-benar memahami apa yang Anda dapatkan dan dari mana Anda mengamankannya. Anda mungkin menggunakan SEAL Tim Enam untuk mempertahankan Fort Knox dari Al Qaeda, tetapi tidak untuk membela TV plasma baru Anda dari pencuri lingkungan.

— David Schwartz

18

Aturan saya selalu bekerja adalah bahwa begitu seorang penyerang memiliki akses fisik ke host Anda, mereka akhirnya dapat membobolnya - kecuali, seperti kata kasperd, Anda menggunakan enkripsi semua-disk yang kuat dengan kata sandi boot, dan bersedia menjadi di sana untuk memasukinya setiap kali host melakukan boot.

— Andrew Schulman
sumber

14

Dan bahkan kemudian, seseorang dengan akses fisik dapat mengganti keyboard yang digunakan untuk memasukkan kata sandi boot dan dengan demikian mempelajari kata sandi ...

— Hagen von Eitzen

2

Solusi @HagenvonEitzen: bawa keyboard Anda sendiri dan periksa port USB (atau PS / 2) fisik pada kotak.

— Jules

10

@JulesMazur Counterattack: Evil Maid menginstal ulang firmware bawaan.

— CVn

1

@ MichaelKjörling Defense: kata sandi firmware, kotak server yang terkunci secara fisik dan kuat.

— Jules

6

@ MichaelKjörling Anda tidak akan pernah terlalu aman dengan menjelajahi gerombolan pelayan jahat yang membajak keyboard dan / atau firmware

— Jules

10

Solusi yang saya ketahui adalah mengenkripsi disk dan menggunakan TPM: Trusted Platform Module

Dengan cara ini sekarang ada cara mendekripsi hard drive sebagai:

Aplikasi enkripsi disk penuh [...] dapat menggunakan teknologi ini [TPM] untuk melindungi kunci yang digunakan untuk mengenkripsi hard disk komputer dan memberikan otentikasi integritas untuk jalur boot yang tepercaya (misalnya BIOS, sektor boot, dll.) Sejumlah produk enkripsi disk penuh pihak ketiga juga mendukung TPM. Namun, TrueCrypt memutuskan untuk tidak menggunakannya. - Wikipedia

Tentu saja saya mungkin salah dan TPM dapat dengan mudah retak atau saya mungkin tidak tahu solusi lain.

— ColOfAbRiX
sumber

Ini benar. Dengan TPM, drive terenkripsi dan penandatanganan UEFI, tidak mungkin bagi orang luar untuk membaca drive, atau memodifikasi bootloader untuk menghindari enkripsi.

— longneck

Akan menarik untuk mengetahui apakah pena USB ada dengan TPM untuk menambahkan fitur ini ke komputer mana pun.

— ColOfAbRiX

1

Tidak, karena bios harus mengelola tpm.

— longneck

3

Dengan akses fisik bahkan TPM tidak akan berbuat banyak ... Anda dapat dengan mudah mengendus data dari chip TPM ketika mesin sedang boot, atau memiliki akses ke seluruh memori komputer tanpa memperhatikan komputer (dan dengan demikian TPM akan "membuka segel" "Kuncinya baik-baik saja).

2

TPM akan jatuh ke perangkat PCI di bus yang tidak menanggapi enumerasi PCI tetapi menimpa OS melalui DMA nanti.

— joshudson

7

Enkripsi disk lengkap adalah ide yang bagus untuk laptop dan server rumah kecil.

Enkripsi disk penuh tidak memerlukan TPM. Dan bahkan TPM tidak dapat melindungi Anda dari serangan pelayan jahat yang canggih . Jadi untuk benar-benar melindungi server Linux rumahan kecil Anda (atau pusat data), Anda perlu langkah-langkah balasan fisik lain yang sesuai.

Untuk case penggunaan di rumah Anda mungkin cukup untuk menginstal beberapa perangkat keras DIY kreatif yang:

memungkinkan Anda untuk mengenali gangguan fisik ketika Anda kembali dan
interupts catu daya komputer Anda pada setiap upaya intrusi fisik.

Bagi wartawan dan peluit peluit yang menghadapi beberapa perusahaan besar atau agen pemerintah yang perkasa sebagai musuh mereka, ini mungkin masih belum cukup aman. Tiga agen surat ini mungkin memiliki peralatan forensik yang diperlukan untuk menyelamatkan teks yang jelas dari RAM bahkan beberapa menit setelah daya mati .

— pefu
sumber

7

Inilah solusi sederhana: membangun kembali kernel tanpa mode satu pengguna!

Lebih tepatnya, edit kernel linux yang Anda gunakan sehingga mode S dipetakan ulang ke mode default Anda (3,4,5). Dengan begitu, segala upaya untuk mem-boot ke mode pengguna-tunggal memulai sistem secara normal. Anda mungkin bisa melakukan hal yang sama di skrip init. Dengan begitu tidak akan ada cara khusus untuk memasuki sistem tanpa mengetahui kata sandi.

— Arkain
sumber

Jika saya masih bisa mendapatkan akses ke prompt grub saya masih bisa mengubah parameter kernel ke init=/bin/bash. Ini akan mem-boot Anda ke root bash shell, tempat Anda kemudian bisa memasang /.

— Jens Timmerman

Grub selalu dapat dikonfigurasi untuk tidak mengizinkan akses ke cangkangnya.

— Arkain

Seperti yang telah ditunjukkan dalam jawaban lain untuk pertanyaan ini: Jika seorang penyerang yang terampil mendapatkan akses fisik ke komputer maka kernel yang Anda bangun kembali tidak lebih dari sebuah jaring laba-laba lama dalam perjalanan ke dalam makam yang berisi perhiasan data rahasia berharga Anda. :-)

— pefu

3

Pergi dan tanyakan di situs Elektronik. Saya cukup yakin ada desain SOC tertanam yang mengenkripsi semuanya dan begitu Anda memadukannya, adalah "mustahil" untuk melakukan reverse engineering.

Yang mengatakan, saya berada di presentasi DefCon di mana tim menunjukkan dengan tepat bagaimana mereka memisahkannya. Dalam banyak kasus, chip tidak menyatu, atau desain chip dengan bodohnya menyertakan port debug yang tidak terhubung. Pada yang lain mereka menghapus lapisan chip secara kimia dan membaca chip dengan pemindaian mikroskop elektron. Anda tidak akan pernah aman dari peretas yang benar-benar berdedikasi.

— Zan Lynx
sumber

1

Saya ingin menawarkan pendekatan yang berbeda, jika Anda mau mempertimbangkan tindakan pencegahan yang merusak. Pertimbangkan menyolder kapasitor kapasitas besar ke hdd dan ram Anda, yang pada deteksi tamper (Anda memutuskan metode / sensor) melepaskan data yang merusak.

Ini "mencegah" akses dalam arti kosong tidak ada yang dapat mengakses sistem sesudahnya. Jadi itu menjawab pertanyaan kata demi kata, sementara mungkin sepenuhnya kehilangan niat Anda.

Kapasitor hanyalah sebuah contoh. Kemungkinan lain ada. Masalahnya adalah penghancuran cuaca perangkat (atau setidaknya data yang dikandungnya) dapat diterima.

Solusi berbasis waktu juga dimungkinkan - kecuali perangkat dapat melakukan ping ke rumah setiap beberapa menit / jam / ... itu merusak diri sendiri. Banyak kemungkinan berbeda sepanjang tema ini.

— Dani_l
sumber

Setidaknya HDD rotasi dapat memiliki piringan-piringannya ditransplantasikan ke drive lain dengan model yang sama, dan mereka akan membaca dengan baik walaupun PCB hancur total. (Tidak yakin tentang SSD, tapi saya tidak akan menganggapnya lebih sulit.) Ini adalah sesuatu yang dilakukan perusahaan pemulihan data sepanjang waktu. Jika Anda akan melakukan sesuatu seperti ini dengan tingkat kepastian yang masuk akal (meskipun masih belum pasti!), Letakkan ledakan kecil di dalam perut drive. Bekerja lebih baik dengan SSD daripada dengan HDD rotasi karena alasan yang tidak terkait dengan kekuatan destruktif yang dimaksud.

— CVn

@ MichaelKjörling Thermite adalah jalan yang harus ditempuh. Bahan peledak dalam hdd membutuhkan ledakan yang relatif besar untuk benar-benar menghancurkan data. Anda akan menghancurkan plat atas jika peledak benar-benar ada di drive, tetapi piring drive cukup besar, mereka tidak akan hanya membakar tanpa jumlah yang tidak aman. Termit membakar logam cukup baik.

— DanielST

1

Solusi potensial adalah dengan menggunakan enkripsi disk penuh, meletakkan kunci pada stik USB / kartu memori dan menempatkan komputer dalam kotak logam dengan satu pintu yang memiliki saklar pembuka, bersama dengan beberapa sensor lingkungan.

Untuk mem-boot perangkat setelah Anda meletakkan drive USB di port (di luar "vault") dan membaca kunci FDE dari sana dan mem-boot sistem. Jika "lemari besi" dibuka, sakelar pembuka akan mengatur ulang sistem, menghapus kunci dari memori.

Jika lingkungan memungkinkan, Anda dapat menambahkan lebih banyak sensor seperti suhu, akselerasi, kelembaban, dll. Jika perubahan tiba-tiba terdeteksi dalam nilai yang dilaporkan, sistem me-reset, jadi jika pencuri hanya mencoba untuk mengambil sistem dan meletakkannya di sakunya itu sudah akan diatur ulang bahkan sebelum dia memutus semua kabelnya.