Jak zabezpečit klíče na serveru?

[David1234]

Základ je fyzické zabezpečení serveru. Další level pak je HSM.

Šifrování klíčů a nebo celých disků je nepraktické, protože při každém rebootu musíš zadat heslo.

Si delas srandu ?
Kazdy zamek jde otevrit (picking, bumping, flexa, autogen). Nebo utocnik si rovnou sezene klice (at uz legalne nebo ne).

Sifrovani disku je samozrejmost.

Tady s tebou nemohu úplně souhlasit, u nás máme HSM které když se do něj pokusíš dostat hrubou silou (fyzicky) tak zničí veškerá data která jsou uvnitř. Je ale pravda že tam může být nějaká chyba v SW

[Reklama]

[CryptoGuu]

To je dobrý, naprostej dutohlav a tupoň si dá nick CryptoGuru a přitom tu o cryptování píše bludy.

Četl jsi vůbec původní dotaz? Má jít o zabezpečení klíčů na serveru, tudíž šifrování disků dost dobře použít nejde. A nebo si myslíš, že někdo bude po každém reloadu jezdit do datacentra zadávat heslo?

A ty tvoje ostatní výblitky, to je opravdu něco:
"Proti kameram a odkoukani je lepsi cast hesla napsat a cast hesla pomoci copy-paste zadat (kopirovany retezec samozrejme musi byt dobre ukryty)."
Jasně, takže ty bys chtěl všechno šifrovat, ale potom si část hesla necháš válet někde v texťáku. A místo toho, aby útočník pozoroval co píšeš na klávesnici, tak to jednoduše uvidí na monitoru při kopírování, to je naprosto geniální.

Ano Lojziku duta hlavo, spravny postreh. Pri reebotu musi clovek prijit do serverovny a zadat heslo rucne vpripade sifrovaneho boot disku. Coz ale neni takovy problem, pokud ma spravce server nekde ve firme, proste si tam dojde. Restarty nejsou kazdy den, jako v pripade staryh widli. Casto vydrzim bez restartu vic nez rok.

Tuponi Lojziku, utocnik nemisi videt heslo na monitoru, a ani nebude nekde v textaku volne lezet. Jde o to, ze jsou casto pouzivany HWi SW keylogerry, ktere zaznamenavaji stisky klavesnice a to same kamera v mistnosti. Kopirovany text bude znacne slozity, narozdil od psane casti, takze utocnik by si ho pohledem na monitor nezapamatoval a kamera v mistnosti proste nema dobre rozliseni, navic nesnima smerem kolmo namonitor (ano, vim, ze existuji programy i hardware pro snimani monitoru, i kdyz to neni tolik rozsirene).
To ze heslo bude ze 2 casyi, psane i kopirovane, ti evidentne nedoslo. A je celkem logicke, ze se rozhlidnu pred psaim hesla kolem, zdali mi nekdo nestoji zazady. Mimochodem kopirovana cast nebude volne lezet v textaku, moznosti ukryti je spousty.

Takze Tuponi Lojziku duta hlavo, priste mysli a jeste lepe, nastuduj si pravidla pro psani na foru (cimz se omlouvam ostatnim, ze jsem reagoval stejnym oslovenim).

[lojzak]

Debile, evidentně nevíš, která bije, takže radši nikomu neraď.

Nikdo soudný nebude šifrovat disky na serveru, u kterého je důležité, aby byl stále online. Že někdo musí k serveru přijít a zadat klíč je skutečně problém. Jak dlouho asi bude trvat, než správce dojede v noci o víkendu do firmy? A není to spíš bezpečnostní problém, že někdo kvůli každému rebootu bude chodit k serveru?
Ve skutečnosi se řeší ochrana klíčů naprosto jinak - pomocí HSM.

Je jedno, co tady budeš plácat. Ukládat půlku hesla do texťáku, který se bude někde nezabezpečeně válet, to fakt může vymyslet jenom debil.
Mimo to, kde by se v ZABEZPEČENÉ serverovně vzal keyloger? A když bys připustil, že by se tam nějak dostal, proč by se tam nemohla dostat kamera, která by viděla přímo na monitor?

Takové věci se totiž, milý tuponi, řeší zcela jinak. Když už někomu hrábne a bude chtít šifrovat a zároveň bude mít strach z keyloggerů nebo kamer použije pro dešifrování třeba USB token.

[CryptoGuru]

Debile, evidentně nevíš, která bije, takže radši nikomu neraď.

Nikdo soudný nebude šifrovat disky na serveru, u kterého je důležité, aby byl stále online. Že někdo musí k serveru přijít a zadat klíč je skutečně problém. Jak dlouho asi bude trvat, než správce dojede v noci o víkendu do firmy? A není to spíš bezpečnostní problém, že někdo kvůli každému rebootu bude chodit k serveru?
Ve skutečnosi se řeší ochrana klíčů naprosto jinak - pomocí HSM.

Je jedno, co tady budeš plácat. Ukládat půlku hesla do texťáku, který se bude někde nezabezpečeně válet, to fakt může vymyslet jenom debil.
Mimo to, kde by se v ZABEZPEČENÉ serverovně vzal keyloger? A když bys připustil, že by se tam nějak dostal, proč by se tam nemohla dostat kamera, která by viděla přímo na monitor?

Takové věci se totiž, milý tuponi, řeší zcela jinak. Když už někomu hrábne a bude chtít šifrovat a zároveň bude mít strach z keyloggerů nebo kamer použije pro dešifrování třeba USB token.

Debilku Lojzicku, melby jsi se uklidnit. Jinak jiste existuji servery, kde tuponi jako ty mohu vyradit. Ale to by jsi musel umet na internetu hledat

Nebo jeste lepe - takovy hnup jako ty se spolehlive uklidni, kdyz dostane jisty druh tropickeho ovoce.

[lojzak]

Výborně, v posledním komentáři ses k uložení klíčů, šifrování a bezpečnosti nevyjádřil, tudíž předpokládám, že sis uvědomil, že jsi psal nesmysly.

[Reklama]

[Maros]

Další level pak je HSM.

O akych cenovych hladinach sa bavime?

[Maros]

A nebo si myslíš, že někdo bude po každém reloadu jezdit do datacentra zadávat heslo?

Mat dnes server bez ILO/OOB/Drac/ILOM/IMM je diletantstvo prveho stupna. Aj pri VPS mas nejaku KVM konzolu.

[Jenda]

Ano Lojziku duta hlavo, spravny postreh. Pri reebotu musi clovek prijit do serverovny a zadat heslo rucne vpripade sifrovaneho boot disku. Coz ale neni takovy problem, pokud ma spravce server nekde ve firme, proste si tam dojde.

Tohle se řešilo tak, že v initramdisku byl dropbear, na který se dalo připojit a heslo zadat.

[CryptoGuru]

Výborně, v posledním komentáři ses k uložení klíčů, šifrování a bezpečnosti nevyjádřil, tudíž předpokládám, že sis uvědomil, že jsi psal nesmysly.

Spise postradam smysl debatovat na urovni, se kterou debatujes.

Pro diskuze na podobne urovni existuji jine servery.

Jinak nevim presne k cemu se vyjadrovat. Sifrovani disku, stejne tak jako kterekoliv jine zabezpeceni, prinasi vyhody i nevyhody a kazdy si musi zvolit co prevazuje. 100% ochrana stejne neexistuje,. Sifrovany disk znamena, ze je nutne zajit na misto, kde server bezi a zprovoznit jej po restartu. Jak casto je restart ? Bude moc velky prusvih, kdyz server vypadne v noci a nepobezi do pracovni doby ? Jak daleko je serverovna ? Atd.