123788
May 24, 2019, updated at 21:50:06 (UTC)
6101
11
0
VServer (Linux): Absichern, verschlüsseln usw
Hallo zusammen,
ich möchte einen Linux-Vserver mieten und diesen absichern. Darunter verstehe ich in diesem Falle hauptsächlich: Dafür sorgen, dass (nach Möglichkeit) nur ich Zugriff auf meine Daten habe.
Ich bin erfahren mit Linux, es geht also zB nicht darum, wie ich openvpn härte, sondern eher um ein paar allgemeine Sachen.
Laufen soll nextcloud. In der werden keine wahnsinnig wichtigen Daten liegen, aber es soll dennoch eine sichere Installation werden.
Mein Plan ist zunächst, dass nach außen keinerlei Dienste verfügbar sein werden außer ein openvpn-Server. Alles weitere soll dann darüber laufen, inkl. SSH.
Ein iptables-Skript wird dafür sorgen, dass nach außen wirklich nur dieser eine Port offen ist.
Ich möchte einen Datei-Container anlegen, den ich mit luks verschlüssle, in diesen kommt dann alles, was mit der nextcloud-installation zu tun hat. Also nicht nur die eigentlichen Daten, sondern z.B. auch das MariaDB-Verzeichnis, die Nextcloud-Installation selbst usw.
Meine Frage: Was schlagt ihr noch vor? Mir geht's vor allem darum, wie sicher ich auch ggü. dem Hoster des Servers bin, dieser könnte doch vmtl. den RAM auslesen und so meinen luks-Key erhalten?
ich möchte einen Linux-Vserver mieten und diesen absichern. Darunter verstehe ich in diesem Falle hauptsächlich: Dafür sorgen, dass (nach Möglichkeit) nur ich Zugriff auf meine Daten habe.
Ich bin erfahren mit Linux, es geht also zB nicht darum, wie ich openvpn härte, sondern eher um ein paar allgemeine Sachen.
Laufen soll nextcloud. In der werden keine wahnsinnig wichtigen Daten liegen, aber es soll dennoch eine sichere Installation werden.
Mein Plan ist zunächst, dass nach außen keinerlei Dienste verfügbar sein werden außer ein openvpn-Server. Alles weitere soll dann darüber laufen, inkl. SSH.
Ein iptables-Skript wird dafür sorgen, dass nach außen wirklich nur dieser eine Port offen ist.
Ich möchte einen Datei-Container anlegen, den ich mit luks verschlüssle, in diesen kommt dann alles, was mit der nextcloud-installation zu tun hat. Also nicht nur die eigentlichen Daten, sondern z.B. auch das MariaDB-Verzeichnis, die Nextcloud-Installation selbst usw.
Meine Frage: Was schlagt ihr noch vor? Mir geht's vor allem darum, wie sicher ich auch ggü. dem Hoster des Servers bin, dieser könnte doch vmtl. den RAM auslesen und so meinen luks-Key erhalten?
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 455477
Url: https://administrator.de/contentid/455477
Printed on: April 19, 2024 at 07:04 o'clock
11 Comments
Latest comment
Moin,
generell bin ich inzwischen dazu übergegangen auch v-server mit einem ganz üblichen LUKS setup aufzusetzen und entsprechend komplett von boot an zu verschlüsseln, man muss sich allerdings bewusst sein, wogegen das hilft und wogegen nicht:
Hilft nicht gegen:
- Bösen Hoster der deine Daten klauen will, denn der kann deine LUKS keys aus dem RAM auslesen, wie du bereits bemerkt hast
- Angreifer auf der gleichen Maschine, denn die können, wenn sie es denn schaffen den Hypervisor zu übernehmen, das gleiche, was der Hoster auch kann
Wogegen es hilft:
- Angreifer die Zugriff auf das Daten Backend des Hosters bekommen (z.B. auf ein SAN welches von einem anderen VM host aus, hier kommt es aber auch auf die Virtualisierungslösung an)
- Hoster, die nach deiner Kündigung und shutdown/löschung des Servers noch irgendwo ein Backup deiner Platte rumfliegen haben
- Angreifer die Nach deiner Kündigung versuchen irgendwelche Daten abzugreifen
- Langeweile. Ein LUKS unlock bei jedem neustart kann halt schon etwas unentspannt sein.
Wenn du wirklich auf nummer sicher gehen willst, sprich auch gegenüber deinem Hoster absicher, dann solltest du das end-to-end feature von Nextcloud benutzen, oder auf einen dedizierten Server wechseln. Der könnte da musst du dem Hoster nur noch vertrauen, dass er sich nicht viel mühe gibt um die Hardware zu manipulieren, du sperrst also schon mal eine Menge Angreifer aus.
Gruß
Chris
generell bin ich inzwischen dazu übergegangen auch v-server mit einem ganz üblichen LUKS setup aufzusetzen und entsprechend komplett von boot an zu verschlüsseln, man muss sich allerdings bewusst sein, wogegen das hilft und wogegen nicht:
Hilft nicht gegen:
- Bösen Hoster der deine Daten klauen will, denn der kann deine LUKS keys aus dem RAM auslesen, wie du bereits bemerkt hast
- Angreifer auf der gleichen Maschine, denn die können, wenn sie es denn schaffen den Hypervisor zu übernehmen, das gleiche, was der Hoster auch kann
Wogegen es hilft:
- Angreifer die Zugriff auf das Daten Backend des Hosters bekommen (z.B. auf ein SAN welches von einem anderen VM host aus, hier kommt es aber auch auf die Virtualisierungslösung an)
- Hoster, die nach deiner Kündigung und shutdown/löschung des Servers noch irgendwo ein Backup deiner Platte rumfliegen haben
- Angreifer die Nach deiner Kündigung versuchen irgendwelche Daten abzugreifen
- Langeweile. Ein LUKS unlock bei jedem neustart kann halt schon etwas unentspannt sein.
Wenn du wirklich auf nummer sicher gehen willst, sprich auch gegenüber deinem Hoster absicher, dann solltest du das end-to-end feature von Nextcloud benutzen, oder auf einen dedizierten Server wechseln. Der könnte da musst du dem Hoster nur noch vertrauen, dass er sich nicht viel mühe gibt um die Hardware zu manipulieren, du sperrst also schon mal eine Menge Angreifer aus.
Gruß
Chris
Hallo,
Warum die komplette Installation verschlüsseln? Die Daten reichen doch? Dazu bietet übrigens Nextcloud auch eine Option an:
https://docs.nextcloud.com/server/stable/benutzerhandbuch/files/encrypti ...
Außerdem müssen die Systemdaten von MariaDB und Nextcloud ohnehin im laufenden Betrieb unverschlüsselt sein, damit die Dienste arbeiten können. Und normalerweise sollte ein Provider seine Server in einem geschützen RZ betreiben, sodass EInbrecher, Diebe nicht mal in die Nähe der Kisten kommen können.
Viele Grüße
Ich möchte einen Datei-Container anlegen, den ich mit luks verschlüssle, in diesen kommt dann alles, was mit der nextcloud-installation zu tun hat. Also nicht nur die eigentlichen Daten, sondern z.B. auch das MariaDB-Verzeichnis, die Nextcloud-Installation selbst usw.
Warum die komplette Installation verschlüsseln? Die Daten reichen doch? Dazu bietet übrigens Nextcloud auch eine Option an:
https://docs.nextcloud.com/server/stable/benutzerhandbuch/files/encrypti ...
Außerdem müssen die Systemdaten von MariaDB und Nextcloud ohnehin im laufenden Betrieb unverschlüsselt sein, damit die Dienste arbeiten können. Und normalerweise sollte ein Provider seine Server in einem geschützen RZ betreiben, sodass EInbrecher, Diebe nicht mal in die Nähe der Kisten kommen können.
Viele Grüße
Hey Leute,
glaube, mein Hoster unterstützt garkeine Vollverschlüsselung?
Sonst hätte ich das gemacht, das wäre in dem Fall auch leichter als der Weg über den Container.
Kann glaube ich nur per Klick die VM automatisch neu aufsetzen lassen, kann aber nicht quasi selbst den Installer "durchklicken".
Die End-to-End-Verschlüsselung der Nextcloud hatte ich auch schonmal in Betracht gezogen, aber dann kann ich die darin befindlichen Daten nicht mehr so ohne weiteres sichern, oder?
Bisher rsynce ich die nämlich periodisch in mein Datengrab.
Um genau solche Fälle wie die beschriebenen geht es mir: Die SAN-Platte wird irgendwann mal weggeworfen/verkauft und meine Daten sind noch drauf etc...
Nen root-Server wär sicherer, mir aber zu teuer, dafür ist der Anwendungszweck nicht wichtig genug.
glaube, mein Hoster unterstützt garkeine Vollverschlüsselung?
Sonst hätte ich das gemacht, das wäre in dem Fall auch leichter als der Weg über den Container.
Kann glaube ich nur per Klick die VM automatisch neu aufsetzen lassen, kann aber nicht quasi selbst den Installer "durchklicken".
Die End-to-End-Verschlüsselung der Nextcloud hatte ich auch schonmal in Betracht gezogen, aber dann kann ich die darin befindlichen Daten nicht mehr so ohne weiteres sichern, oder?
Bisher rsynce ich die nämlich periodisch in mein Datengrab.
Um genau solche Fälle wie die beschriebenen geht es mir: Die SAN-Platte wird irgendwann mal weggeworfen/verkauft und meine Daten sind noch drauf etc...
Nen root-Server wär sicherer, mir aber zu teuer, dafür ist der Anwendungszweck nicht wichtig genug.
glaube, mein Hoster unterstützt garkeine Vollverschlüsselung?
Sonst hätte ich das gemacht, das wäre in dem Fall auch leichter als der Weg über den Container.
Sonst hätte ich das gemacht, das wäre in dem Fall auch leichter als der Weg über den Container.
Können wir nicht sagen. Wir kennen ja dein Hoster nicht.
Kannst du von einem Rescue System booten? Dann könntest du notfalls darüber die Platte verschlüsseln.
Die SAN-Platte wird irgendwann mal weggeworfen/verkauft und meine Daten sind noch drauf etc...
Dann hast du dir ganz sicher einen falschen Provider rausgesucht.
Hast du in der Theorie recht
Aber wir wissen doch, wie in der Praxis manchmal von Provider-Seite aus gearbeitet wird :-P
Da gehe ich lieber auf Nummer sicher...
Aber wir wissen doch, wie in der Praxis manchmal von Provider-Seite aus gearbeitet wird :-P
Da gehe ich lieber auf Nummer sicher...
Warum hostest du denn nicht selber wenn dir diese Dinge so wichtig sind. Mit einem einigermaßen potenten Allerwelts xDSL Anschluss und wenn nur du den Nextcloud mit moderatem Datentraffic nutzt mit Familie und nicht die halbe Welt ist das doch durchaus eine Option.
Jau, aber bitte keine "warum nicht SO"-Diskussion
Es gibt immer andere Wege, die zT besser erscheinen usw.
Das führt dann aber von meiner Fragestellung weg
E2E-Encryption scheint ja in Nextcloud noch nicht wirklich zu klappen?
Lese nicht viel gutes und ein erster Test hat mich auch nicht überzeugt.
Außerdem bleibt das Backup-Problem.
Es gibt immer andere Wege, die zT besser erscheinen usw.
Das führt dann aber von meiner Fragestellung weg
E2E-Encryption scheint ja in Nextcloud noch nicht wirklich zu klappen?
Lese nicht viel gutes und ein erster Test hat mich auch nicht überzeugt.
Außerdem bleibt das Backup-Problem.
Zitat von @123788:
Jau, aber bitte keine "warum nicht SO"-Diskussion
Ist das auf aquis Post bezogen? Mag sein, dass dir das nicht gefällt, aber das ist eine berechtigte Frage, die sich automatisch ergibt. Wenn du die Professionalität der Hoster in Frage stellst, dann bleibt nur noch übrigt das Ganze unter eigene direkte Kontrolle zu stellen. Andere Möglichkeiten sehe ich nicht.Jau, aber bitte keine "warum nicht SO"-Diskussion
Guten Morgen!
Nein, natürlich ist die Frage berechtigt
Generell wäre selber hosten die beste Option.
Das Problem ist aber: Mein Uplink ist dafür nicht ausreichend, außerdem rechnet es sich - für mich und meinen Einsatzzweck - nicht.
Für das, was ich in Hardware investieren müsste, kann ich einen Vserver mehrere Jahre buchen. Ganz zu schweigen von Stromkosten usw.
Ich möchte auch keinem Hoster irgendetwas unterstellen! Sondern das Ganze als theoretische Diskussion führen. Nach dem Prinzip "wie könnt' ma's denn am beste mache?"
Nein, natürlich ist die Frage berechtigt
Generell wäre selber hosten die beste Option.
Das Problem ist aber: Mein Uplink ist dafür nicht ausreichend, außerdem rechnet es sich - für mich und meinen Einsatzzweck - nicht.
Für das, was ich in Hardware investieren müsste, kann ich einen Vserver mehrere Jahre buchen. Ganz zu schweigen von Stromkosten usw.
Ich möchte auch keinem Hoster irgendetwas unterstellen! Sondern das Ganze als theoretische Diskussion führen. Nach dem Prinzip "wie könnt' ma's denn am beste mache?"
Ich persönlich habe mich noch nicht damit beschäftigt, daher kann ich die Softwareunterstützung nicht einschätzen, aber SME könnte dich weiterbringen:
https://en.wikichip.org/wiki/x86/sme
gerne auch um einen Erfahrungsbericht wenn du damit was bastelst
https://en.wikichip.org/wiki/x86/sme
gerne auch um einen Erfahrungsbericht wenn du damit was bastelst
Moin,
also viele hoster supporten keine Vollverschlüsselung beim initialen Setup, erlauben aber das booten von ISOs. Das ist dann der Weg den man geht. Funktioniert natürlich auch nur, wenn es sich um einen Hoster mit Vollvirtualisierung handelt (werden zum Glück immer mehr).
Manchmal ist diese Funktionalität übrigens auch versteckt, Hetzner Cloud z.B. hat das hinter iirc 3 Menüs versteckt und auch erst nach dem initialen aufsetzen.
Alles in allem also: Es ist nicht wichtig ob der Hoster das Vollverschlüsselung/FDE unterstützt, sondern ob er dir erlaubt ISOs zu booten, den rest kriegst du dann sicher selbst hin.
Wenn du dein LUKS dann aufgesetzt hast und genervt genug bist, dass du bei jedem reboot in die VNC Konsole musst, kannst du dir auch noch mal meine Ansible rolle für SSH in die pre-boot-Umgebung anschauen um das FDE Passwort einzugeben: https://git.shivering-isles.com/shivering-isles/infrastructure/tree/mast ... (ist für CentOS gebaut)
Gruß
Chris
also viele hoster supporten keine Vollverschlüsselung beim initialen Setup, erlauben aber das booten von ISOs. Das ist dann der Weg den man geht. Funktioniert natürlich auch nur, wenn es sich um einen Hoster mit Vollvirtualisierung handelt (werden zum Glück immer mehr).
Manchmal ist diese Funktionalität übrigens auch versteckt, Hetzner Cloud z.B. hat das hinter iirc 3 Menüs versteckt und auch erst nach dem initialen aufsetzen.
Alles in allem also: Es ist nicht wichtig ob der Hoster das Vollverschlüsselung/FDE unterstützt, sondern ob er dir erlaubt ISOs zu booten, den rest kriegst du dann sicher selbst hin.
Wenn du dein LUKS dann aufgesetzt hast und genervt genug bist, dass du bei jedem reboot in die VNC Konsole musst, kannst du dir auch noch mal meine Ansible rolle für SSH in die pre-boot-Umgebung anschauen um das FDE Passwort einzugeben: https://git.shivering-isles.com/shivering-isles/infrastructure/tree/mast ... (ist für CentOS gebaut)
Gruß
Chris
