debianforum.de

Guten Morgen,

ich bin für ein kleines Projekt gerade dabei mich mich näher mit Amazon Web Services auseinanderzustezen. Es sollen mehrere kleine Services in die Amazon Cloud verlagert werden. So weit so gut oder schlecht.

So eine kleine VM ist ja recht zügig aufgesetzt. Was ich allerdings nicht so ganz verstehe ist, wie komme ich zu einem eigenen Disk Layout samt LUKS ?
Habt Ihr so etwas schon gemacht bzw wie habt Ihr das realisiert ?

… eine der wenigen Situationen, in denen dm_crypt allenfalls als Schlangenöl funktionieren würde. Wird also noch keiner gemacht haben, der ernsthaft drüber nachgedacht hat.

Sorry versteh ich nicht ? Wieso Schlangenöl ?

Weil der Betreiber der Hostmaschine Zugriff auf deine Daten hat, trotz dm_crypt/LUKS (ich gehe grad mal davon aus, dass es um ’ne VM auf einer fremden Maschine geht – korrigiere mich bitte, wenn ich’s falsch erfasst habe).

Ja das ist klar solange die Maschine läuft hat der Betreiber der Hostmaschine Zugriff auf die Daten. That`s part of the game, würde ich meinen. Alles was man nicht selbst unter seiner Obhut hat, .....

Mein Plan wäre ungefähr so:

VM mit 2 Disken. Eine Disk für OS und zweite für Daten. Die zweite wäre verschlüsselt. Der Key wird nicht lokal sondern auf einem remote Server abgelegt.
Mittels eines Scripts holt man sich den Key remote und entschlüsselt die Platte und bindet diese ein.

Somit wäre, zumindest meiner Meinung nach sichegestellt, dass die Daten bei Löschung der VM verschlüsselt bleiben. Der Key wäre auch nicht lokal.
Und ja, es ist nicht die Hoch Sicherheitslösung der NSA, CIA, BND oder WTF, aber zumindest ein minimaler Ansatz. Oder ?

HZB hat geschrieben:

26.04.2020 10:01:00

Somit wäre, zumindest meiner Meinung nach sichegestellt, dass die Daten bei Löschung der VM verschlüsselt bleiben. Der Key wäre auch nicht lokal.

Nein. Solange die Partition entschlüsselt und eingehängt ist, befindet sich der Schlüssel im RAM. Geht technisch nicht anders. Und dann kann der Gastgeber, in diesem Fall die drittgefräßigste Datenkrake auf der Erde, einen Snapshot der laufenden virtuellen Maschine machen, und hat vollen Zugriff. Da braucht’s nicht mal abgehobenen H4xX0r-Kram zu.

HZB hat geschrieben:

26.04.2020 10:01:00

aber zumindest ein minimaler Ansatz. Oder ?

Ich würde es in den Bereich der Psychologie oder besser der Parapsychologie einordnen ...
Du hast mehr Arbeit und du kannst der Welt (respektive deinem Chef) erzählen, dass die Daten verschlüsselt sind.

bluestar hat geschrieben:

26.04.2020 10:49:04

Ich würde es in den Bereich der Psychologie oder besser der Parapsychologie einordnen ...
Du hast mehr Arbeit und du kannst der Welt (respektive deinem Chef) erzählen, dass die Daten verschlüsselt sind.

Ja mehr ist es am Ende des Tages nicht. Wenn der Auftrag lautet Festplatte ist zu verschlüsseln, dann ist das so. Ich wollte es nicht psychologisch, philosophisch oder verschörungstheoretisch betrachten.
Denn würde man das tun, dann kommt man irgendwann zu dem Ergebnis, dass es keine dauerhaft sichere Verschlüsselung von Daten gibt. Irgendwann benötigt man irgendetwas zum entschlüsseln.
Biometrie, Key, PIN, Passwort, what ever. Nach ein paar Tagen kostenlosem Aufenthalt im Blackwater Waterbording Ressort gibt jeder sein Passwort her. Das betrifft auch die Verschlüsselung wenn man Herr der Hardware ist. Das es Diensten wie Amazon, Microsoft und Google leichter fällt, liegt auf der Hand. Ich denke das es technisch ( wie Niemand oben im Thread beschrieben hat ) natürlich möglich ist, aber realistisch ? I don`t know, aber was soll man heutzutage noch ausschließen.

Dennoch bin ich der Meinung das man gerade was Cloud betrifft alles tun sollte was man tun kann.

HZB hat geschrieben:

26.04.2020 11:33:12

Dennoch bin ich der Meinung das man gerade was Cloud betrifft alles tun sollte was man tun kann.

Natürlich. In erster Linie meidet man die Cloud, zumindest, wenn’s um Datensicherheit geht. Was man machen könnte: die Services auf einer richtigen Maschine (die Dinger aus echter Materie, kennste doch bestimmt) unterbringen, und die Cloud (Synonym für „anderer Leute Maschinen“) tatsächlich nur für Storage nutzen, wenn das der Engpass sein sollte. Dann könnte man auf der richtigen Maschine verschlüsseln, und die Datenkrake würde den Schlüssel tatsächlich nicht zu Gesicht zu bekommen.

Natürlich ließe sich auch eine richtige Maschine im laufenden Betrieb aufmachen und die Daten extrahieren – allerdings geht das nicht mit einem einfachen Befehl, wie’s für den Anbieter von vServer/VMs funktioniert.

Was man aber auf keinen Fall machen sollte: wirkungslose Verschlüsselung reinbauen und glauben, oder anderen glaubhaft machen, dass es eine Wirkung jenseits höheren Stromverbrauchs und geringerer Leistung hätte. Weil: genau das ist die Definition von Schlangenöl, welches ich eingangs erwähnte.