当局からのサーバー保護対策
私は自分の国では違法であるが、違法ではないプロジェクトに携わっていますanywhere世界で。 100年の刑を受けないようにするために、私は発作と法医学の準備をする必要があります。
ESXi 6.7ハイパーバイザーを備えたサーバーを実行していて、LUKSでFDEされた3つのCentOS 7.5 VMがあります。
- コールドブート攻撃の場合に備えて、JTAGポート、PCIeポート、RAMに厚い樹脂を配置しました。
- シャーシの侵入が検出されると、ESXiは自動的にシャットダウンします。
- サーバールームにCCTVを設置していて、動きが多すぎると、サーバーの電源が切れます。
安全を確保するために、他に何ができますか？
ここで最も重要な要素は、サーバーの所有者が明らかにされているため、サーバーが押収されてもユーザーのIDが発生しないことです。これは、サーバーを匿名で購入することと、サーバーにリンクされている可能性のあるものを保持しないことの両方によって達成する必要があります。これは十分に重要であり、少なくとも特定の脅威モデルを知らなくても、匿名でEcatelのような会社から専用サーバーを購入し、導入した広範な物理的セキュリティを忘れることを検討します。その理由は、十分な努力を払えば、物理的な抑止手段を回避できるからです。ただし、現在の設定に関する注意事項は次のとおりです。
コールドブート攻撃の場合に備えて、JTAGポート、PCIeポート、およびRAMに厚い樹脂を配置しました。
厚い樹脂だけでなく、不正開封防止エポキシ（および非導電性で非絶縁性）を使用する必要があることに注意してください。そうしないと、さまざまな溶剤で破壊される可能性があります。さらに、コールドブート攻撃では、必ずしも物理的にメモリを削除する必要はありません。サーバーのBIOSがメモリ不足のコールドブート攻撃をトリガーする その場で変更 であった例がありました。 RAMがエポキシ化されているからといって、RAMが安全であるとは限りません。
シャーシの侵入が検出されると、ESXiは自動的にシャットダウンします。
多くの場合、シャーシへの侵入は非常に簡単です。
サーバールームにCCTVを設置していますが、動きが多すぎると、サーバーの電源が切れます。
これを倒す方法はたくさんあります。たとえば、突然の変化が検出されないように、ライトを徐々に暗く（または強く）します。最終的には、ライトはカメラの仕様を超え、それ以上の動きに対して効果的にブラインドになります。これを防ぐには、周囲の光のレベルを徐々に変化させてモーションを非表示にするリスクを考慮したモーションセンシティブソフトウェアを使用します。
安全を確保するためにこれ以上何ができますか？
あなたが考慮に入れる必要がある他の事柄があります。非常に違法なものをホストすることを決定する前に、本当に敵対者と匿名性を打ち負かすことができるさまざまな方法の両方を詳細に理解する必要があります。たとえば、サーバーにSSH接続すると、公開鍵がサーバーにアップロードされます。構成でこれを明示的に無効にしない限り、SSHで接続するすべてのサーバーは、異なるIPを使用している場合でも、同じ人物であることを認識できます。追加で覚えておくべきことは、キーストロークバイオメトリクスです。この場合、固有の入力パターン（ネットワーク上またはセキュリティが侵害されたシステム上で監視されます）を使用してユーザーを識別できます。知名度を上げる場合、匿名性は難しい。
このサーバーをリモートで管理する場合は、mustremote attestation を使用する必要があります。リモート認証の設定は複雑になる可能性がありますが、このシナリオでは絶対にvitalです。ファームウェアを改ざんすることから保護するだけでなく、ネットワーク経由で送信するときに LUKSパスワード を傍受します。リモート認証は、デバイスのTPM（はい、 それらは安全 ）を使用して、ソフトウェアとファームウェアが特定の既知の良好な状態にあることをリモートの当事者に証明する手法です。それはあなたに引用を送り返すことができます。これは暗号的にサーバーが良好な状態であることを保証します。
しかし、最も重要なことは...OPSECを維持してください！