web-dev-qa-db-ja.com

Linux用の安全なネットワークファイルシステム：人々は何をしているのですか？

NFSv3は広く普及していますが、デフォルトのセキュリティモデルは...quaintです。 CIFSはKerberos認証を使用できますが、POSIXセマンティクスがなければ、それはスターターではありません。 AFSはネットワーク上のトラフィックを暗号化したことがなく、krb4であり、基本的には死んだプロジェクトです。豪華な新しい実験的なファイルシステムは、実現しないか、速度に重点を置いています（そして、運が良ければ、データの信頼性も向上します）。たとえば、LusterはNFSv3と同じクライアント信頼モデルを使用します。家庭での使用では、sshfsは気の利いたものですが、確かに拡張性はありません。

そしてもちろん、sec = krb5pのNFSv4もあります。理論的には素晴らしいですが、10年後、現実の世界では使用されなくなっているようです。 Linuxクライアントの 今 実験的なタグが削除されました。そして、EMC Celerra、Isilonなどを見ると、すべてNFSv3です。 （CelerraはNFSv4をサポートしていますが、本当にがドキュメントに埋め込まれています。Isilonは、RPCGSSサポートをFreeBSDに追加する作業をしているようです。私はここに新しいので新しいタグになるので、この投稿に「nfsv4」というタグを付けることもできません。

したがって、本当に。何してるの？

linuxsecurityposixnfs4network-filesystem
26
mattdm

これは特定の質問（あなたは何をしていますか）なので、答えましょう。何もありません。ほとんどの管理者とユーザーはNFSのセキュリティについて心配していません。そのため、誰もがNFSv3を使用しています。これは通常、制御された環境です（最初に、よく知られているマシンのみがネットワークに接続できるという意味で）。誰かがインフラストラクチャの乱用に巻き込まれた場合、彼らは解雇されるか刑務所に入れられます。

あなたが本当にだれにも読まれてほしくないデータについては、明示的に暗号化します。 Firefoxパスワードデータベース、sshキー、またはpgpキー。これは、管理者がファイルサーバーでファイルを読み取ることができるため、ネットワークファイルシステムのセキュリティが役に立たないためです。

8
Martin v. Löwis

ここで2つの質問をしているようです。

実際に何を使用していますか？およびこれは何ですか？

I'm実際に使用しているのはCIFSですが、私のユースケースではPOSIXはそれほど重要ではないため、問題は発生していません。 NFS3は、SLESインストールサーバーなど、セキュリティが重要ではない領域で使用されます。そして最後に、シンプルなユーザーランド共有のためのsshfs/gvfs。有線暗号化は必要ないと見なされているため、それは私たちにとって意味のある要素ではありません。

他の質問については、あなたが探しているものには6つの主要な要件があるようです：

  1. 通信を暗号化します。
  2. 認証を暗号化します。
  3. Posixセマンティクス。
  4. サーバーベースのACLの強力な実施。
  5. ユーザーランドではありません。
  6. 実際に使用されています。

私はここでポイント5と6がキラーになると思いますが、ここに行きます（また、これはテーブルがreally便利になるポイントですが、マークダウン/ StackExchangeはサポートしていません）。

NFSv3 + IPSec

  1. 暗号化された通信、パス
  2. 暗号化認証なし、失敗
  3. Posixセマンティクス、パス
  4. サーバーベースのACLの強力な実施はありませんfail
  5. ユーザーランドではない、合格
  6. 実際に使用、合格

NFSv4 + Krb + IPSec

  1. 暗号化された通信、パス
  2. 暗号化された認証、合格
  3. Posixセマンティクス、パス
  4. サーバーベースのACLの強力な実施、合格
  5. ユーザーランドではない、合格
  6. 実際には使用されていませんfail

[〜＃〜] cifs [〜＃〜]

  1. ネットワーク上で暗号化されていませんfail
  2. 暗号化された認証
  3. Posixセマンティクス、合格（Samba＆Kernelは現在、WindowsはNT日以来Posixレイヤーを持っています）
  4. サーバーベースのACLの強力な実施、合格
  5. ユーザーランドではない、合格
  6. 実際に使用、合格

CIFS + IPSec

  1. 暗号化された通信、パス
  2. 暗号化された認証
  3. Posixセマンティクス、合格（Samba＆Kernel now）
  4. サーバーベースのACLの強力な実施、合格
  5. ユーザーランドではない、合格
  6. 実際には使用されていませんfail

[〜＃〜] sshfs [〜＃〜]

  1. 暗号化された通信、パス
  2. 暗号化された認証、合格
  3. Posixセマンティクス、パス
  4. サーバーベースのACLの強力な実施、合格
  5. ユーザーランドですfail
  6. 実際に使用、合格

AFP/NetATalk

  1. ネットワーク上で暗号化fail
  2. 暗号化された認証、合格
  3. Posixセマンティクス、パス
  4. サーバーベースのACLの強力な実施、合格
  5. ユーザーランドではない、合格
  6. 実際に使用されているfail

そして、私はそこにある分散ファイルシステムには触れません。それをすべて行う単一のことはありません。近くにあるもの（CIFS）もあれば、すでにあるものもありますが、誰も使用していません（NFS4 + IPSec、CIFS + IPSec）。何らかの理由で、安全なネットワークファイルシステムは、長年にわたって多くの妥協を受けてきたものです。

14
sysadmin1138

LinuxとWindowsの両方のクライアントで、何年も本番環境でopenafsを使用しています。さまざまなLinuxディストリビューションにパッケージングが含まれているため、このAPIは優れており、活発な開発コミュニティがあり、ここ数年でインストールと管理がはるかに簡単になりました。これには欠点がありますが、管理上の柔軟性の向上、低速リンクでクライアントとサーバーを分離する機能、オフサイトバックアップの容易さ、その他のポジティブなAFSismによって相殺されることがわかりました。

特に気に入っているのは、ACLがロックされた状態で、openafsでインターネットに接続されたWebサーバーを運用することです。 kerberosチケットがない場合、ファイルシステムに書き込むことができるプロセスは、ルートとして実行されているマシン上にありません。単純な対策のため、攻撃が完全に失敗したことに気付いた回数を数えることはできません。

かなり大きなopenafsユーザーが何人かいます-私が知っている最大の商用ユーザーはMorgan Stanleyです。

3
stevegt

現時点での暗号化はDESのみなので、まだ有効なOpenAFSとその下のVPNはどうでしょうか。

1
Rob Olmos

さて、私にとっては、それらの分散ファイルシステムの1つがあなたに向いているように思えます。古いので、まだIPv6をサポートしていないので、OpenAFSを推奨したくありません。

GlusterFS にとても満足しています。 Glusterはかなり成熟しており、大丈夫です。優れた機能セットを備えています。ただし、最近IRCで説明したように、Glusterは安定した方法でIPv6をサポートしていません。この機能は3.6または3.7で予定されています。

Glusterに基づいて構築されたHekaFSと呼ばれるプロジェクトもあり、より高度な認証機能とSSLが追加されています。それは非常によく文書化され、非常によく設計されたimoです。

あなたにとって興味深いものは XtreemFS です。これはグローバルグリッドコンピューティング用に設計されているため、デフォルトでSSLなどが付属しています。コミュニティはよりアクティブになり、ドキュメント化が進んだため、使用方法の選択はGlusterに当てはまりました。

もちろん、どちらもposixに準拠しています。

1
juwi

このスレッドの多くの人がデータの非表示、つまり、データをスヌーピングできない攻撃について話しているようです。データの整合性と信頼性について考えることも同様に重要です。それらのNFSパケットは本当にあなたのNFSサーバーからのものですか？転送中にNFSパケットが変更されましたか？

1
The Unix Janitor

NFSを使用しています。ただし、サーバー間NFSは専用のネットワークバックボーンを介して行われるため、暗号化は不要であり、認証は無意味です。 IPに基づいて選択したディレクトリのみをサーバーと共有するように各エクスポートを設定するだけです。

0
Porch