Jak na šifrovaný virtuální server

4. 5. 2009

Důležitá data se na serverech často šifrují. To má ovšem velkou nevýhodu při pádu nebo restartu systému. USB flash disk s klíči v serveru nechat nemůžeme a chodit k němu při každém restartu také není nejpohodlnější. Zajímavým postupem, který vyšel popsaný na howtoforge.com, je použití normálního systému, na kterém běží šifrovaný virtuální stroj. Klíč se dát díky tomu zadávat třeba přes SSH a eliminuje se tak nutnost přítomnosti admina při novém startu systému.

Našli jste v článku chybu?

Zasílat nově přidané názory e-mailem

Aktualita je stará, nové názory již nelze přidávat.

4. 5. 2009 23:27

Lael Ophir (neregistrovaný)

A neřeší uložení klíče modul TPM?
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
5. 5. 2009 11:36

Sten (neregistrovaný)

Ne, pokud vám někdo ukradne celý server, tak buď je vám šifrování úplně na houby, nebo musíte ten klíč stejně nějak aktivovat.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
5. 5. 2009 10:20

pht (neregistrovaný)

Stejného efektu lze dosáhnout tím, že "systém" necháme nezašifrovaný a šifrujeme pouze oddíl s daty. Nevím koho by zajímal super tajný obsah /bin/bash ...

Nicméně zadávat pouze heslo přes SSH bez přítomnosti nějaké další HW autentizace je trochu amatéřina. Takže té cestě do serverovny se stejně nevyhnete.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
5. 5. 2009 11:38

Sten (neregistrovaný)

A víte o tom, že tohle není bezpečné? Spousta šifrovaných dat se totiž potom může dostat do nešfirovaných částí (třeba jako swap nebo pracovní kopie do /tmp nebo /var/tmp). Přesně stejný problém je s "bezpečností" šifrování ve Windows.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
6. 5. 2009 6:40

pht (neregistrovaný)

Nebezpečné to je, pokud připustíte aby se tam ta data dostala. Stejně tak se můžou dostat na plochu uživatele, který s nimi pracuje.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
5. 5. 2009 11:39

anonymní

Ako sa riesi situacia, ze niekto ma fyzicky pristup k serveru, tym padom moze patchnut ssh na nom beziace, cim si nasledne moze odchytit heslo/kluc pouzity ku startu virtualky....
Je toto dajako chranene?
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
5. 5. 2009 11:56

Sten (neregistrovaný)

To by teoreticky šlo ochránit přes TPM a HW kalkulačkou s request-response aktivací klíče (pokud to TPM umí). Ale pokud má někdo fyzický přístup k vašemu serveru, asi mu nebude dělat problém patchnout initramdisk tak, že po startu provede dd odemčeného disku přes síť.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
5. 5. 2009 15:13

ujo imro (neregistrovaný)

takze jediny bezpecny sposob, ako ochranit data na servery je zasifrovat cely disk, vratane boot particie a nahadzovat ho rucne/osobne....
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
5. 5. 2009 16:10

Sten (neregistrovaný)

Jediný bezpečný způsob je mít vlastní serverovnu, viz Cold Boot Attack.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
6. 5. 2009 6:43

pht (neregistrovaný)

To se řeší tak, že "síť" nikam nevede.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
6. 5. 2009 17:48

Sten (neregistrovaný)

Pokud ta síť nikam nevede, jak se tam SSHčknu?
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
7. 5. 2009 6:59

pht (neregistrovaný)

Z nějakého admin. notebooku.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
6. 5. 2009 6:42

pht (neregistrovaný)

Normálně na to stačí nějaká crypto dongle nebo karta, tj. něco co nelze odchytit, když to použijete.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
5. 5. 2009 14:45

bez přezdívky

http://ex-it.eu/arxphnx-screen_n_record/arxphnx-cm_cryptorootboot_over_net.ogg

realne v prevadzke par mesiacov, funkcne bez virtualu

Zasílat nově přidané názory e-mailem

Líbí

Nelíbí

Sdílet

Byl pro vás článek přínosný?

Autor zprávičky

Adam Štrauch

Témata:

Jak na šifrovaný virtuální server

Sdílet

Byl pro vás článek přínosný?

Autor zprávičky

Adam Štrauch

Témata:

Dále u nás najdete

Kampaň Alzy proti Mallu a CZC je neetická, reaguje Mironet

Raspberry Pi 5 je tu. Nabízí výrazně vyšší výkon než předchozí verze

Čína vyrobila telefon s vlastním čipem a operačním systémem

Jak vybrat první chytrý telefon do školy?

Jak budou fungovat české eDoklady

Rodina se dvěma dětmi může letos ušetřit až 14 076 korun za jídlo

Counter-Strike 2 je největší skok v dějinách série

VZP má pět nových bonusů a vyšší příspěvek na dentální hygienu

Unaveni z Chromu a Edge? Vyzkoušejte jiné prohlížeče

Ve čtvrtek 28. září budou supermarkety zavřené

Podvodných telefonátů přibývá. Co s tím?

Královny rodily těžce, obklopeny spoustou lidí a mnohé nepřežily

Lékárníci chtějí, aby pacienti neplatili doplatky nad limit

Nové ceníky energií jsou o polovinu nižší než ty loňské

Brigády při mateřské a rodičovské vám paradoxně sníží důchod

Malování ve Windows se dočká zásadních zlepšení

Paušální daň OSVČ vzroste pro 2024 ve všech pásmech

Nová verze chatbotu Bard pracuje s Gmailem, Dokumenty či Mapami

Sto milionů za lék. Cena je v rukou výrobce, limit neexistuje

Raspberry Pi 5 bude mít třikrát vyšší výkon a PCIe