Linuxserver Content sichern

[Vampi]

Hi

Ich plane momentan ein kleines Projekt auf einem deutschen Server. Das Projekt selbst ist nur für mich zugänglich, allerdings traue ich meinem Provider generell nicht. Daher habe ich mir überlegt, wie könnte ich ein worst-case Szenario vermeiden...

Mein Plan wäre folgender:

Ein Script/eine Routine soll überprüfen ob Shellzugriff, insbesondere Rootzugriff stattfindet oder ob das Netzwerkkabel gezogen wurde bzw die Netzwerkverbindung halt weg ist (kann ja sein dass der Server beschlagnahmt wird und dann will man gucken was so drauf ist). Wenn Shellzugriff stattfindet soll der verschlüsselte Container in dem sich die Datenbank und der Webcontent befindet sofort geschlossen und umountet werden. Der Webserver soll heruntergefahren werden während ein anderer Webserver wie etwa nginx startet und anzeigt dass der Server derzeit im Wartungsmodus ist (gibt sonst ja nen haufen Fehlermeldungen wenn der Container dicht ist und Webzugriff stattfinden würde).

Nur ist jetzt die Frage wie man das am besten realisiert. Über einen Cronjob vermutlich nicht unbedingt da der ganz leicht deaktiviert werden kann.

Zudem... hat vielleicht noch wer nen Tip was "ungewöhnliches" Verhalten für einen Webserver wäre wofür man den Container plattmachen könnte? Netzwerkkabel weg ist schonmal superverdächtig... Zumachen bei Shellzugriff reine Sicherheitsmaßnahme.

Ich will damit erreichen dass man unter keinen Umständen an meine Daten rankommen kann. Die Webcontent-Daten werden auch so gut wie es geht geschützt, man kommt nur ran wenn man einen bestimmten User Agent hat und das Login für die Seite kennt. Htaccess und index.pl Login.

Was meint ihr dazu, und was kann man an den Möglichkeiten noch verbessern? Wäre für weitere Tips sehr dankbar.

[AlterHacker]

Hey,

alter Schwede, du baust dir aber Features ein ^^. Musst ja schon was ganz brisantes hosten oO.
Egal. Weitere "verdächtige" aktion wäre eine Runleveländerungen.
& Wenn du schon so paranoid bist (nimms mir nicht übel ^.^) Kannste ja iwie 'fallen' austellen.
Also überall Dateien anlegen und wenn die accessed werden -> Abriegeln
Für diese Art von 'Hook' wirst du aber schätzungsweise den Dateisystemtreiber modifizieren müssen, bzw ich wüsste nicht wie das anders geht.


So far,

[Hu5eL]

stell dir folgendes vor:
bust, server bekommt nen "hardkill" - strom einfach aus.
Platten überleben das ziemlich sicher. Dann schraub ich das ding auf und setz die platte in mein rechner ein und mounte sie. Schwups, da hilft die wohl nix mehr.

Content vor unbefügten zugriff zu schützen sollte die beste methode sein die pltte bzw webserver-partition zu verschlüsseln.

Ob deine anderen ideen in irgendeiner weis zu realisieren sind bleibt deinem wissen überlassen, wird sicher aber letztlich nicht lohnen.

[Asmo]

Wenn du ne KVM hast und die Kiste beim Hochfahren mit eingabe eines PWs entschlüsseln kanst via KVM dan lege ich dir ans Hertz die Ganze Platte zu Crypten mit dm_crypt (AES Crypt) und mit LVM Zu Verwalten. Hat den kleichen effekt vie Truecrypt und mache ich so bei meinen Home Eingesetzten Systemen wo es nötich ist. Somit würde bei einem "hardkill" dein System abgesichert sein vor neugierriegen blicken da die das pw brauchen um das sys zum Laufen zu bekommen oder zu Mounten Deine Feat hören sich nice an aber sind mehr arbeit als nötich.

[0x30]

stell dir folgendes vor:
bust, server bekommt nen "hardkill" - strom einfach aus.
Platten überleben das ziemlich sicher. Dann schraub ich das ding auf und setz die platte in mein rechner ein und mounte sie. Schwups, da hilft die wohl nix mehr.

Völliger Schwachsinn... Wenn du verschlüsselte Container hast, dann wirst du das bestimmt nicht können.
Wenn doch, dann bitte ein Beispiel.

[Asmo]

klechfals löschen sonst bekomm ich noch mehr haue im irc

[0x30]

naja 0x30 bei schwachen pws kann man container bruten das wäre dan aber auch die einzigste möglichkeit oder eine unsichere verschlüsslung aber eig is ja stani AES und die is naja ich würd sargen sehr sicher zumindest sicher genug als das es den aufwand lohnen würde!

Ja danke Klugscheisser. Hier ging es aber nicht um Bruteforce, sondern das er die Harddisk bei sich einsetzen möchte und gleich Zugang zu den Daten hat.

UND DAS IST BEI EINEM VERSCHLÜSSELTEN CONTAINER FAIL!

[c2x]

Mit TrueCrypt verschlüsseln? Einfach von der TrueCrypt-Seite die Console-Only Version herunterladen. Tutorials sollte es im Internet genug geben.

[Asmo]

Bitte löschen! hab zu viel geklugscheißert

[Vampi]

@AlterHacker - Danke an die Runleveländerung hatte ich bisher nicht gedacht... das mit den Fallen - hmmm... ist ne gute Idee, auf Dateisystemebene machen wird allerdings schwierig - ein Dateisystem umschreiben ist verdammt schwer ^^ Man könnte allerdings ne Art Daemon laufen lassen der die Prozessliste überwacht und dann mit einem Rootkit das Teil verstecken. Hätte den Vorteil dass ein Angreifer nicht sieht was im Hintergrund sonst noch so abläuft weil das Rootkit die Prozesse versteckt.

Könnte mir dann auch noch eine "fake" chkrootkit einbauen als Falle falls wer eins vermuten sollte - es müsste sich nur ungewöhnlich verhalten.

Ich als der Administrator des Systemes weiss ja was abläuft nur ein potentieller Bulle, Providermitarbeiter oder Angreifer soll das eben nicht können. Ich weiss dass viele Provider Vorrichtungen haben um auf die Server z.B. zu Wartungszwecken draufzukommen - ist ja gut und recht nur sollen die halt mein Projekt nicht finden. Die "normalen" Webangebote die ich drauf laufen lasse sind ja legal nur ein kleines Projektchen hats halt ziemlich in sich und soll keinesfalls entdeckt werden.

Paranoia ist btw nie schlecht... und ein bisschen mehr Sicherheit ist besser als was vergessen zu haben und dann dafür bestraft zu werden.

@Asmo - ne KVM hab ich nicht und ich halte es _im Grunde_ nicht für sinnvoll die Mühle komplett zu verschlüsseln denn das würde mir zum Beispiel beim Rainbowtable-Cracking ganz schön Performance stehlen. Auch wäre es nicht so ideal für VMs die auf dem Server laufen sollen für "normale" Hostsachen oder ähnliches. Und: Prinzipiell könnte man das System wenn es mal offen ist "Einfrieren" also nen Snapshot ziehen und dann woanders davon booten und schon ist man hinter der Verschlüsselung. Wenn allerdings das System beim kleinsten Mucks wie etwa root-Access den Container zumacht dann kann man sich Snapshots ziehen wie man gerade witzig ist... beim ersten Zugriff über die Shell ist das Teil dicht und wenn das System aus ist kann man in den Container sowieso nicht rein.