防止暴露于物理访问的远程部署服务器上的数据被盗

13

我正在尝试一种方法来保护暴露于物理访问的Linux服务器的安全。我的特定平台是PC Engines品牌alix2d13母板上的小型Linux服务器。较小的尺寸带来了攻击者将其从房屋中移出的额外风险。

假设对服务器具有物理访问权限：

1）ROOT-PASSWORD：您将控制台电缆连接到服务器，并提示您输入密码。如果您不知道密码，则可以以单用户模式重新启动机器并重设密码。Voilà，您具有root用户访问权限。

为了保护上述内容，请在GRUB菜单上插入一个密码，以便在重新启动服务器以进入单用户模式时必须提供GRUB密码。

2）GRUB_PASSWORD。如果关闭计算机，取出硬盘驱动器并将其安装在另一个工作站上，您将能够浏览/boot包含grub.cfg文件的目录，在其中可以找到GRUB密码。您可以更改GRUB密码或删除它。

显然，当我们谈论大型生产机器时，很可能不会有任何物理访问，除此之外，即使有人获得了对服务器的物理访问，他也不会关闭服务器。

有什么可能的解决方案来防止物理上容易窃取的服务器上的数据被盗用？

我所看到的方式，对包含的数据的一种或另一种访问方式都可以得到。

linux security

— 乔曼达
source

3

除非您希望每次启动时都输入解密密码，否则您将无能为力。可以通过与网络服务进行通信来解密，该服务仅在正确的网络上才可用。这不是很安全，但是足以涵盖小偷在现场时不尝试访问数据的情况。但是，有针对性的攻击者甚至可以在不关闭电源的情况下窃取机器。我想它不需要花费很多电池电量就能保持几分钟。

— 卡巴斯德（Kasperd）

12

将其埋入混凝土中。那肯定会防止盗窃！

— 迈克尔·汉普顿

14

目前还不清楚威胁模型是什么。您想要不受物理危害的设备吗？这将是非常复杂和昂贵的。计算机不是库。如果要使用保管库，则需要一个保管库。

— David Schwartz

3

@BlueCompute这个问题也可能在专业环境中出现，因此应该留在这里。

— 尼尔斯

3

@giomanda这是“威胁牛逼模式”。这意味着您必须彻底了解要保护的内容以及要从中保护的内容。您可能会使用海豹突击队六人队来保卫基地组织的诺克斯堡，但不能捍卫新的等离子电视免受邻居小偷的袭击。

— David Schwartz

18

我一直遵循的规则是，一旦攻击者对您的主机进行了物理访问，他们最终就可以入侵其中-除非像kasperd所说的那样，您使用具有引导密码的强大的全磁盘加密，并且愿意主机每次引导时都可以在其中输入。

— 安德鲁·舒尔曼
source

14

即使这样，具有物理访问权限的somwone仍可能会替换用于输入启动密码的键盘，从而学习密码...

— Hagen von Eitzen 2015年

2

@HagenvonEitzen解决方案：随身携带自己的键盘，并防篡改包装盒上的物理USB（或PS / 2）端口。

— 2015年

10

@JulesMazur反击：邪恶女仆重新刷新了机载固件。

— 2015年

1

@MichaelKjörlingDefense：固件密码，物理上牢固锁定的服务器盒。

— 2015年

6

@MichaelKjörling你永远不能太安全与邪恶女佣的粗纱团伙劫持的键盘和/或固件

— 朱尔斯·

10

我知道的解决方案是加密磁盘并使用TPM：受信任的平台模块

通过这种方式，现在可以将硬盘驱动器解密为：

全盘加密应用程序可以使用此技术[TPM]保护用于加密计算机硬盘的密钥，并为受信任的引导路径（例如BIOS，引导扇区等）提供完整性验证。第三方全盘加密产品也支持TPM。但是，TrueCrypt决定不使用它。-维基百科

当然，我可能错了，TPM容易破解，或者我可能不知道其他解决方案。

— ColOfAbRiX
source

这是对的。使用TPM，加密的驱动器和UEFI签名，外部人员无法读取驱动器或修改引导程序以规避加密。

— longneck

知道是否存在带TPM的USB笔可将此功能添加到任何计算机上将是很有趣的。

— ColOfAbRiX

1

不，因为BIOS必须管理TPM。

— longneck

3

通过物理访问，甚至TPM都不会做很多...您可以在计算机启动时轻松地嗅探TPM芯片中的数据，或者在不通知计算机的情况下访问计算机的整个内存（因此TPM将“解封” “键就好了）。

2

TPM将落入总线上的PCI设备，该设备不响应PCI枚举，但稍后会通过DMA覆盖OS。

— joshudson 2015年

7

对于笔记本电脑和小型家庭服务器，全盘加密是个好主意。

全盘加密不需要TPM。甚至TPM也无法保护您免受复杂的攻击邪恶女仆攻击。因此，为了真正保护小型家用Linux服务器（或数据中心），您需要采取适当的其他物理应对措施。

对于您的家庭用例，安装一些创新的DIY硬件可能就足够了：

允许您在回来时识别出任何身体上的入侵
尝试进行任何物理侵入时，都会中断计算机的电源。

对于面对一些大公司或强大的政府机构作为敌人的记者和鼓吹者来说，这仍然不够安全。这三个信件机构可能具有断电后几分钟从RAM中抢救出清晰文本所需的取证设备。

— 佩夫
source

7

这是一个简单的解决方案：在没有单用户模式的情况下重建内核！

更恰当地说，编辑您正在使用的linux内核，以便将模式S重新映射到您的默认模式恰好是（3,4,5）。这样，任何引导进入单用户模式的尝试都会正常启动系统。您可能可以在初始化脚本中执行相同的操作。这样，在不知道密码的情况下就不会有进入系统的特殊方法。

— Arkain
source

如果仍然可以访问grub提示符，则仍可以将内核参数更改为init=/bin/bash。这将引导您进入root bash shell，然后可以在其中进行安装/。

— Jens Timmerman

可以始终将Grub配置为不允许访问其Shell。

— 2015年

正如该问题的其他答案中已经指出的那样：如果熟练的攻击者可以物理访问计算机，则您的重建内核无非就是通往包含您的秘密数据宝藏的坟墓的旧蜘蛛网。:-)

— pefu 2015年

3

走过去，在电子网站上询问。我敢肯定，有嵌入式SOC设计可以对所有内容进行加密，一旦将其融合，反向工程“不可能”。

就是说，我在DefCon演示中，团队确切地展示了他们如何将其分解。在很多情况下，芯片没有融合，或者芯片设计愚蠢地包含了一个未连接的调试端口。在另一些方面，他们化学去除了芯片层，并通过电子显微镜扫描读取了芯片。真正专心的黑客绝对不会让您感到安全。

— 赞·山猫
source

1

如果您愿意考虑采用破坏性的预防措施，我想提供一种不同的方法。考虑将一个大容量电容器焊接到硬盘和RAM上，在篡改检测（您决定方法/传感器）上，这些电容器会释放破坏性数据。

从空的意义上说，这“阻止”了访问，以后没有人可以访问系统。因此，它逐字回答了问题，同时可能完全失去了您的意图。

电容器只是一个例子。存在其他可能性。问题是设备的天气破坏（或至少其中包含的数据）是可以接受的。

基于计时器的解决方案也是可能的-除非设备每隔几分钟/几小时便会回拨一次，否则设备将自毁。这个主题有许多不同的可能性。

— 丹妮
source

至少一个旋转的硬盘驱动器可以将其盘片移植到另一个相同型号的驱动器上，即使PCB被完全破坏，它们也可以正常读取。（不确定SSD，但我不认为它要难得多。）这是数据恢复公司一直在做的事情。如果您打算以某种合理的确定性程度进行此类操作（尽管仍不确定！），请在驱动器的肠子内放一个小炸药。由于与预期破坏力无关的原因，与固态硬盘相比，与固态硬盘相比，固态硬盘的效果更好。

— 2015年

@MichaelKjörlingThermite是必经之路。HDD中的爆炸物需要相对较大的爆炸才能实际破坏数据。如果炸药确实在驱动器中，那么您将销毁顶部盘片，但是驱动器盘片非常重，如果没有相当不安全量的炸药，它们将不会被焚毁。铝热剂可以很好地燃烧金属。

— DanielST 2015年

1

一种可能的解决方案是使用全盘加密，将密钥放在USB记忆棒/存储卡上，然后将计算机放入一个金属盒中，该金属盒带有一个带打开开关的单扇门以及一些环境传感器。

要启动设备，只需将USB驱动器放入端口（在“库”的外部），然后从那里读取FDE密钥并引导系统。如果“保险库”曾经打开，打开开关将重置系统，从内存中删除密钥。

如果环境允许，您可以添加更多的传感器，例如温度，加速度，湿度等。如果检测到报告的值有突然变化，则系统会重置，因此，如果小偷只是试图拿下系统并将其放置在他的口袋里，它甚至在从所有电缆断开之前都已经被重置。