Шифрование данных на виртуальном сервере

[akhkmed]

Спасибо за статью.
Шифрование диска — это важно,
но против virsh save/restore есть ли спасение?
Когда на руках дампы всей машины, её памяти, можно найти много интересного.

[dartraiden]

Ключ BitLocker, если память не изменяет, как раз легко выуживается из дампа оперативной памяти. Т.е. описанное в статье поможет, но только если противная сторона решила сначала "потушить" виртуальный сервер, а потом уже его исследовать.

[Darkhon]

И это аргумент в пользу Veracrypt — он умеет шифровать ключи в памяти.

[thanxqap]

Разве что гомоморфное шифрование

[force]

Ээх… думал будет рассказано, какие есть техники, чтобы после перезагрузки сервера не надо было танцевать с бубном, чтобы его завести. Особенно актуально для Windows, которая любит ставить апдейты и перегружаться.

[dartraiden]

Что-то типа habr.com/post/92022

[andreymal]

Теперь, если кто-то получит физический доступ вашему компьютеру, то он не сможет подключиться к серверу, даже если зайдет на сайт провайдера под вашим логином. А если придет в ЦОД и подключится изнутри к вашему VPS, то все равно не сможет получить данные — они будут зашифрованы.

Зато сам VPS-провайдер тупо перехватит ввод ключа с клавиатуры через свою консоль, если захочет. Даже дампать память не придётся

[cryptoz]

Статья не полная, для Windows рассмотрено шифрование всего диска целиком вместе с самой системой, а для Linux только файл криптоконтейнер. Для Windows можно также использовать VeraCrypt — форк от TrueCrypt, который развивается и доверия к нему побольше, чем к BitLocker

[abrwalk]

Для Linux здесь просто перевод туториала с ДО www.digitalocean.com/community/tutorials/how-to-use-dm-crypt-to-create-an-encrypted-volume-on-an-ubuntu-vps

[abrwalk]

Одна платформа виртуалок берет статью с сайта другой платформы виртуалок, и постит в своем рекламном блоге, без какой-либо аттрибуции.

Интересно, кто поставил минус…

[Temmokan]

Я правильно понимаю, что когда шифрованный том уже смонтирован, то доступ к VPS будет означать доступ и к дешифрованной версии тома?

Тут ещё как бы напрашивается пунктик о настройке способа дешифровки подобных Linux VPS по SSH (до расшифровки запускается вспомогательный SSH из какого-нибудь BusyBox, где и можно дать команду на дешифровку). Очень удобно.

[potan]

Где хранятся ключи во время работы? Если нет доступа к криптопроцессору, то придется их хранить в памяти виртуальной машины и доверять провайдеру, что к ней ни кто не получит доступ. Или есть другое решение?

[realscorp]

Shielded VM от Майкрософт, например.

[realscorp]

Если действительно нужна серьезная защита данных в виртуальных Windows-серверах, то нужно обустраивать инфраструктуру для Shielded VM
https://youtu.be/4TeDymxN_iU

[ElvenSailor]

Тээк. Вопрос "как пошифровать себе диск битлокером" - это самоочевидное, на мой взгляд, дело.

Не раскрыты нюансы. Например, хранение аварийных ключей.

Т.е. вы сохранили ключ себе же на диск. Оооокей. В случае, если пароль забыли, вы оказываетесь в ситуации "запасной ключ от сейфа лежит в сейфе" ^^.

Самое-то интересное как раз - хранение вот таких вот ключиков, способы не забыть, от чего какой, и способы недопустить их попадания не в те руки.

И ещё. понятно, что в случае шифрования системного диска, при ребуте сервера нужно вводить ему пароль. Опять же интересна процедура, как именно это организовано, и есть ли способ делать это не руками.