Linuxserver Content sichern

Hi

Ich plane momentan ein kleines Projekt auf einem deutschen Server. Das Projekt selbst ist nur für mich zugänglich, allerdings traue ich meinem Provider generell nicht. Daher habe ich mir überlegt, wie könnte ich ein worst-case Szenario vermeiden...

Mein Plan wäre folgender:

Ein Script/eine Routine soll überprüfen ob Shellzugriff, insbesondere Rootzugriff stattfindet oder ob das Netzwerkkabel gezogen wurde bzw die Netzwerkverbindung halt weg ist (kann ja sein dass der Server beschlagnahmt wird und dann will man gucken was so drauf ist). Wenn Shellzugriff stattfindet soll der verschlüsselte Container in dem sich die Datenbank und der Webcontent befindet sofort geschlossen und umountet werden. Der Webserver soll heruntergefahren werden während ein anderer Webserver wie etwa nginx startet und anzeigt dass der Server derzeit im Wartungsmodus ist (gibt sonst ja nen haufen Fehlermeldungen wenn der Container dicht ist und Webzugriff stattfinden würde).

Nur ist jetzt die Frage wie man das am besten realisiert. Über einen Cronjob vermutlich nicht unbedingt da der ganz leicht deaktiviert werden kann.

Zudem... hat vielleicht noch wer nen Tip was "ungewöhnliches" Verhalten für einen Webserver wäre wofür man den Container plattmachen könnte? Netzwerkkabel weg ist schonmal superverdächtig... Zumachen bei Shellzugriff reine Sicherheitsmaßnahme.

Ich will damit erreichen dass man unter keinen Umständen an meine Daten rankommen kann. Die Webcontent-Daten werden auch so gut wie es geht geschützt, man kommt nur ran wenn man einen bestimmten User Agent hat und das Login für die Seite kennt. Htaccess und index.pl Login.

Was meint ihr dazu, und was kann man an den Möglichkeiten noch verbessern? Wäre für weitere Tips sehr dankbar.

Hey,

alter Schwede, du baust dir aber Features ein ^^. Musst ja schon was ganz brisantes hosten oO.
Egal. Weitere "verdächtige" aktion wäre eine Runleveländerungen.
& Wenn du schon so paranoid bist (nimms mir nicht übel ^.^) Kannste ja iwie 'fallen' austellen.
Also überall Dateien anlegen und wenn die accessed werden -> Abriegeln
Für diese Art von 'Hook' wirst du aber schätzungsweise den Dateisystemtreiber modifizieren müssen, bzw ich wüsste nicht wie das anders geht.


So far,

stell dir folgendes vor:
bust, server bekommt nen "hardkill" - strom einfach aus.
Platten überleben das ziemlich sicher. Dann schraub ich das ding auf und setz die platte in mein rechner ein und mounte sie. Schwups, da hilft die wohl nix mehr.

Content vor unbefügten zugriff zu schützen sollte die beste methode sein die pltte bzw webserver-partition zu verschlüsseln.

Ob deine anderen ideen in irgendeiner weis zu realisieren sind bleibt deinem wissen überlassen, wird sicher aber letztlich nicht lohnen.

Wenn du ne KVM hast und die Kiste beim Hochfahren mit eingabe eines PWs entschlüsseln kanst via KVM dan lege ich dir ans Hertz die Ganze Platte zu Crypten mit dm_crypt (AES Crypt) und mit LVM Zu Verwalten. Hat den kleichen effekt vie Truecrypt und mache ich so bei meinen Home Eingesetzten Systemen wo es nötich ist. Somit würde bei einem "hardkill" dein System abgesichert sein vor neugierriegen blicken da die das pw brauchen um das sys zum Laufen zu bekommen oder zu Mounten ;) Deine Feat hören sich nice an aber sind mehr arbeit als nötich.

Zitat:

---

Zitat von Hu5eL

stell dir folgendes vor:
bust, server bekommt nen "hardkill" - strom einfach aus.
Platten überleben das ziemlich sicher. Dann schraub ich das ding auf und setz die platte in mein rechner ein und mounte sie. Schwups, da hilft die wohl nix mehr.

---

Völliger Schwachsinn... Wenn du verschlüsselte Container hast, dann wirst du das bestimmt nicht können.
Wenn doch, dann bitte ein Beispiel.

klechfals löschen sonst bekomm ich noch mehr haue im irc

Zitat:

---

Zitat von Asmo

naja 0x30 bei schwachen pws kann man container bruten das wäre dan aber auch die einzigste möglichkeit oder eine unsichere verschlüsslung aber eig is ja stani AES und die is naja ich würd sargen sehr sicher zumindest sicher genug als das es den aufwand lohnen würde!

---

Ja danke Klugscheisser. Hier ging es aber nicht um Bruteforce, sondern das er die Harddisk bei sich einsetzen möchte und gleich Zugang zu den Daten hat.

UND DAS IST BEI EINEM VERSCHLÜSSELTEN CONTAINER FAIL!

Mit TrueCrypt verschlüsseln? Einfach von der TrueCrypt-Seite die Console-Only Version herunterladen. Tutorials sollte es im Internet genug geben.

Bitte löschen! hab zu viel geklugscheißert

@AlterHacker - Danke an die Runleveländerung hatte ich bisher nicht gedacht... das mit den Fallen - hmmm... ist ne gute Idee, auf Dateisystemebene machen wird allerdings schwierig - ein Dateisystem umschreiben ist verdammt schwer ^^ Man könnte allerdings ne Art Daemon laufen lassen der die Prozessliste überwacht und dann mit einem Rootkit das Teil verstecken. Hätte den Vorteil dass ein Angreifer nicht sieht was im Hintergrund sonst noch so abläuft weil das Rootkit die Prozesse versteckt.

Könnte mir dann auch noch eine "fake" chkrootkit einbauen als Falle falls wer eins vermuten sollte - es müsste sich nur ungewöhnlich verhalten.

Ich als der Administrator des Systemes weiss ja was abläuft nur ein potentieller Bulle, Providermitarbeiter oder Angreifer soll das eben nicht können. Ich weiss dass viele Provider Vorrichtungen haben um auf die Server z.B. zu Wartungszwecken draufzukommen - ist ja gut und recht nur sollen die halt mein Projekt nicht finden. Die "normalen" Webangebote die ich drauf laufen lasse sind ja legal nur ein kleines Projektchen hats halt ziemlich in sich und soll keinesfalls entdeckt werden.

Paranoia ist btw nie schlecht... und ein bisschen mehr Sicherheit ist besser als was vergessen zu haben und dann dafür bestraft zu werden.

@Asmo - ne KVM hab ich nicht und ich halte es _im Grunde_ nicht für sinnvoll die Mühle komplett zu verschlüsseln denn das würde mir zum Beispiel beim Rainbowtable-Cracking ganz schön Performance stehlen. Auch wäre es nicht so ideal für VMs die auf dem Server laufen sollen für "normale" Hostsachen oder ähnliches. Und: Prinzipiell könnte man das System wenn es mal offen ist "Einfrieren" also nen Snapshot ziehen und dann woanders davon booten und schon ist man hinter der Verschlüsselung. Wenn allerdings das System beim kleinsten Mucks wie etwa root-Access den Container zumacht dann kann man sich Snapshots ziehen wie man gerade witzig ist... beim ersten Zugriff über die Shell ist das Teil dicht und wenn das System aus ist kann man in den Container sowieso nicht rein.

DU köntest auch die ttys abschalten und sobald jemand ne tty startet bsp durch nen einloggen am system und fählenden berechtigungen bsp durch nen dienst der überwacht ob nen spizelles anklopfsignal an eth0 voher angekommen ist *nent sich bsp PORTKNOCKING macht er die kiste dicht

Gibt da viele möglichkeiten monitorring zu bedreiben und bei nem anzeichen das was gemacht würd aufem server und sei es ein einfaches ls -la das nicht voher durch halt das ankopfsignal signalisiert wurde macht die kiste dicht.

Du kanst auch dir für die standart sachen wie ls / dir / wget / ftp / cat / grep nen script schreiben das rücksprache mit nem dienst hält ob der admin sich angekündicht hat wenn nicht mach die container dicht das wäre eig am einfachsten den du müstest nur ne application haben die nen ankommendes signal entgegennimpt und bsp was in ne log schreibt dein script wärtet die aus solte kein logeintrag vorhanden sein weis das script oki is nit admin also fu.

rest: Oki haste recht reist die performanc nieder was du aber noch machen kanst
is die db deines projecktes zu verschlüsseln problem is nur das iwo ja der key abgelegt sein muss den wie carders soltest es nit machen *base64*

lg
Asmo

ähm. ich bin der meinung. egal was an dem server gemacht wird.. solange der nicht bei ihm zu hause steht kann der provider immer alles umgehen.. passwörter transparent abfangen.. direkt sehen was genau er zu sichern versucht...das heißt der ganze aufwand wäre umsonst.

die standart methode bei filehostern.... hosten erstmal bei ovh.. die sind in frankreich. oder ein hoster.. über den ich aber garnix weiß.. euroaccess.nl

dann verschlüsselte container erstellen... mehr machen die auch nicht.

du könntest ja ein programm schreiben. zu dem kann man connecten. und das programm erstellt einen verschlüsselten container bei dem der code selbst entwickelt wird. angenommen du verbindest mit user "admin" und passwort "123" um exakt 15 uhr +/- 5 minuten. daraus ergibt sich ein spezifischer verschlüsselungs code für den container.

um 15:30 mit den selben login daten wird ein komplett anderer key erstellt. du musst dir nur aufschreiben welche datei du wann hochgeladen hast. und dann haste auto den schlüssel... musst ein 2. programm machen das das dir auch berechnet.

dann wissen die schonmal nicht was für daten da drin sind... oder das ganze als uploader der die daten direkt wärend des uploads so verschlüsselt auf dem pc zuhause.

Die Aktionen die via SSH also Verschlüsselt übertragen werden können Hoster nicht Auswerten und die Maschinen Absichtlich Backdoren von vorneraus auch nicht da das unrechtens wäre.

Man kann aber auch eins machen: Man Stelt selber nen Server in nem Datencenter unter also sprich bsp kostet bei nem Frankfurter Datencenter der Stellplatz 40 Euro für nen Tower Rechner halt dan noch Stromkosten hat aber den vorteil das die kiste nur bei dennen an der leitung hängt sie aber ohne dein zutuhen sie nicht iwie manipulieren dürfen oder der kleichen da es dein Eigentum ist etc Sprich zuhause alles Vorbereiten und Server dan unterstellen lassen.

lg
Asmo