Man muss ja nicht gleich die (ganze) Systemplatte verschlüsseln.
Ein Datencontainer reicht ja völlig. Dann kannste booten und den per ssh mounten.
Debian 4 Etch USB Ports deaktivieren
- Thread starter MaDoo
- Start date
Man muss ja nicht gleich die (ganze) Systemplatte verschlüsseln.
Ein Datencontainer reicht ja völlig. Dann kannste booten und den per ssh mounten.
Sowohl gängige BIOSe von Phoenix, AMI und Award als auch GRUB/LILO lassen sich so konfigurieren, daß sie den normalen Bootvorgang nicht behindern - nur eben Konfigurationsänderungen.
Und für das Öffnen der Containerdatei gibt es Challege-Response-Verfahren, die nicht erfordern, daß der Schlüssel im Original über die Leitung geht - im Idealfall verläßt er Token/Smartcard am zur Entsperrung genutzten Terminal garnicht.
Und für das Öffnen der Containerdatei gibt es Challege-Response-Verfahren, die nicht erfordern, daß der Schlüssel im Original über die Leitung geht - im Idealfall verläßt er Token/Smartcard am zur Entsperrung genutzten Terminal garnicht.
Darf man mal fragen, wofür der ganze Aufwand eigentlich gut sein soll?
Wenn dass ne Zugriffsparanoia is, dann würd ich die festplatten noch mit treucrypt verschlüsseln, ansonsten hat das ganze nur wenig Sinn. Dürfte aber ohne Remote Management dann auch schwer werden davon zu booten, so ohne Passworteingabe. Läuft also doch darauf hinaus, dass es keinen Sinn hat.
Ja diese Paranoia gibt es
Meine Platte ist schon längst verschlüsselt... Und deswegen möchte ich ja auch, dass niemand da ran kommt. Auch nicht mit einem HOT Plug USB Stick oder ähnlichen. Daher wollte ich alle Schnittstellen deaktivieren, damit der jenige den Server schon runterfahren muss und die platte ausbauen um sie an einem Anderen Server versuchen auszulesen. Da wird er aber scheitern, da er das pw für truecrypt nicht hat!
Es stellt sich mir noch immer die Frage wer deinen Server in einem RZ aufbrechen will
Ich würde jetzt nicht unbedingt sagen, dass es hier nur um "aufbrechen" im RZ oder Beschlagnahme geht.
Es gibt auch Daten die einfach extrem sensibel sind, ohne illegal zu sein.
Vllt. möchte er ja eine DB eines Krankenhauses oder einer med. Praxis lagern.
Aber klar, "Warez" sind bei solchen Fragen immer der erste Gedanke, auch bei mir :-D .
Richtig... Warum denken alle bei Sicherheit direkt an illegale Sachen? Ich hab einfach nuc hoch sensible Dateien von Kunden die einfach unter KEINEN Umständen an 3. gelangen sollen / dürfen.
Und je sicherer Desto besser... Das steht doch eigentl. auch garnicht zu Diskussion sondern nach wie vor Wie man die USB ports aus bekommt.
Und je sicherer Desto besser... Das steht doch eigentl. auch garnicht zu Diskussion sondern nach wie vor Wie man die USB ports aus bekommt.
Eine nicht ganz unübliche Anwendung für einen gehosteten Server dürfte ein Webshop sein 
Wenn man dort z.B. Kreditkartenzahlung anbietet, ist man (bei Verletzung der Sorgfaltspflicht) haftbar für Schäden, die durch dort gestohlene Kartendaten entstehen. Eine der Forderungen des PCI DSS ist die Protokollierung und Personenzuordnung jedes Datenzugriffes - das sollte schwerfallen, wenn ein solcher Zugriff unbemerkt möglich ist
Wenn man dort z.B. Kreditkartenzahlung anbietet, ist man (bei Verletzung der Sorgfaltspflicht) haftbar für Schäden, die durch dort gestohlene Kartendaten entstehen. Eine der Forderungen des PCI DSS ist die Protokollierung und Personenzuordnung jedes Datenzugriffes - das sollte schwerfallen, wenn ein solcher Zugriff unbemerkt möglich ist
LinuxAdmin
Moderator
Nicht unbedingt. Es reicht, sich mit "lsmod" die geladenen USB-Module anzeigen zu lassen und diese dann mit "modprobe -r" zu entfernen. Da die Modul-Dateien gelöscht wurden, lassen sie sich danach nicht mehr laden
Du solltest allerdings bedenken, dass USB nicht die einzige Schnittstelle ist, die im Hotplug-System vorhanden ist. Weiterhin gibt es noch Firewire und eSATA. Im Serverbereich sind auch Festplatten oftmals hotplugfähig. Du müsstest also das gesamte Hotplug-System deaktivieren, was bei neueren Linux-Systemen recht mühsam ist, da es recht tief eingebunden ist.
Andererseits braucht man auch einen Shellzugriff um irgendwelche Vorteile von ansteckbaren Datenträgern zu haben. Und wenn man Shellzugriff hat, braucht man auch keine Datenträger, um Daten zu klauen...
Da hast du recht, es gibt ja noch mehr HotPlug schnittstellen. Würde am liebsten alle deaktivieren, so dass ein Automatisches ausführen bei anstecken eines HotPlug Gerätes garnicht möglich ist.
Genauso gerne würde ich die PS/2 Ports deaktvieren und die PCI, PCIe Slots. Alles was halt dazu gehört.
$lsmod
usbcore 127724 3 ehci_hcd,ohci_hcd
$ modprobe -f -r usbcore
FATAL: Module usbcore is in use.
Hmm.. Wie kriege ich den Server dazu, dass Modul entfernen bzw. es nicht mehr zu benutzen so das ich es entfernen kann?
Genauso gerne würde ich die PS/2 Ports deaktvieren und die PCI, PCIe Slots. Alles was halt dazu gehört.
$lsmod
usbcore 127724 3 ehci_hcd,ohci_hcd
$ modprobe -f -r usbcore
FATAL: Module usbcore is in use.
Hmm.. Wie kriege ich den Server dazu, dass Modul entfernen bzw. es nicht mehr zu benutzen so das ich es entfernen kann?
Last edited by a moderator:
Erstmal checken warum es "in use" ist
Nachher haste ne USB Netzwerkkarte dran und dann haste den Salat 
Firewire2002
Registered User
Das "warum" haben wir ja schon geklärt. Aber was erhoffst du dir davon?
Das Anstecken eines USB Sticks oder vergleichbarem löst maximal einen Automount auf deinem System aus (sofern eingerichtet).
Es werden keine Scripte oder Programme von diesem zusätzlichen Datenträger automatisch ausgeführt.
Das deaktivieren von PS/2 könnte je nach Hoster ein Eigentor werden. Da einige darüber "Soft-Reboots" durchführen.
Wenn du nicht magst das jemand vor Ort an der Kiste im Betrieb rumspielen kann, schalt die lokalen TTYs ab (In der /etc/inittab auskommentieren und "kill -HUP 1").
Wer welches Kernelmodul benutzt siehst du mit "lsmod".
Das Anstecken eines USB Sticks oder vergleichbarem löst maximal einen Automount auf deinem System aus (sofern eingerichtet).
Es werden keine Scripte oder Programme von diesem zusätzlichen Datenträger automatisch ausgeführt.
Das deaktivieren von PS/2 könnte je nach Hoster ein Eigentor werden. Da einige darüber "Soft-Reboots" durchführen.
Wenn du nicht magst das jemand vor Ort an der Kiste im Betrieb rumspielen kann, schalt die lokalen TTYs ab (In der /etc/inittab auskommentieren und "kill -HUP 1").
Wer welches Kernelmodul benutzt siehst du mit "lsmod".
Und wenn MaDoo in seinen eigenen Post guckt, weiß er es sogar schon
Code:
$lsmod
usbcore 127724 3 ehci_hcd,ohci_hcd@ Firewire2002
Sind das die lokalen?
# /sbin/getty invocations for the runlevels.
#
# The "id" field MUST be the same as the last
# characters of the device (after "tty").
#
# Format:
# <id>:<runlevels>:<action>:<process>
#
# Note that on most Debian systems tty7 is used by the X Window System,
# so if you want to add more getty's go ahead but skip tty7 if you run X.
#
1:2345:respawn:/sbin/getty 38400 tty1
2:23:respawn:/sbin/getty 38400 tty2
3:23:respawn:/sbin/getty 38400 tty3
4:23:respawn:/sbin/getty 38400 tty4
5:23:respawn:/sbin/getty 38400 tty5
6:23:respawn:/sbin/getty 38400 tty6
@ djrick
Die sind mir auch aufgefallen, nur wie krieg ich sie da raus? ^^
Sind das die lokalen?
# /sbin/getty invocations for the runlevels.
#
# The "id" field MUST be the same as the last
# characters of the device (after "tty").
#
# Format:
# <id>:<runlevels>:<action>:<process>
#
# Note that on most Debian systems tty7 is used by the X Window System,
# so if you want to add more getty's go ahead but skip tty7 if you run X.
#
1:2345:respawn:/sbin/getty 38400 tty1
2:23:respawn:/sbin/getty 38400 tty2
3:23:respawn:/sbin/getty 38400 tty3
4:23:respawn:/sbin/getty 38400 tty4
5:23:respawn:/sbin/getty 38400 tty5
6:23:respawn:/sbin/getty 38400 tty6
@ djrick
Die sind mir auch aufgefallen, nur wie krieg ich sie da raus? ^^
Firewire2002
Registered User
Ja das sind sie.
HornOx
Registered User
Alles was ich finden konnte war sehr allgemein gehalten (das haben Gesetze so an sich), kennst du konkrete Best Practice Seiten zu dem Thema?
Erst die von usbcore abhänigen Module entfernen, also
Code:
modprobe -f -r ehci_hcd
modprobe -f -r ohci_hcdWarum kompilierst du dir nicht einen eigenen Kernel ohne Nachladbare Module? Dann kannst du gleich noch grsecurity oder ähnliches einpatchen.
Schlüsselmaterial aus RAM auslesen | Stefans Home
Wenn das professionell betrieben wird, wie du vorgibst, gibt es Spezifikation die eingehalten werden müssen. Je nach Bereich muss dies vom Fachverband geprüften werden. Das gibt es z.b. im Medizinbereich. Aber das wirst du schon wissen, wenn du sowas verkaufst.
Wenn du die passenden Kunden hast, wo es um hoch sensible Daten handelt, dann würdest du dich erstens nicht in einem Forum rumschlagen und andere Leute um Hilfe bitten sondern bei zertifizierten Anbietern einkaufen oder selbst entwickeln. Dann ist natürlich Know-How vorhanden, bei dir eher nicht. Meist reicht auch schon ein eingenes Cage mit passender Zugangskontrolle.
Meiner Meinung handelt es sich hier trotzdem um Warez oder sowas.
Last edited by a moderator:
@ strex
Was soll ich hier noch großartig diskutieren? Wenn sich bei dir alles um Warez dreht okay, muss aber nicht bei anderen so ein. Außerdem wollte ich noch nicht ins Gefängnis! Und tut mir leid, dass ich kein ÜBERMÄßIG hohes Startkapital hab um mich bei solchen IT Firmen einzukaufen... Hat ja noch nie wer klein angefangen. Zur zeit kriegt ja sowieso jeder ne Million Startkapital aus dem Konjunkurpaket, stimmts? ;D
@ HornOx
Danke für den Tipp, werde ich gleich mal durchgehen.
Da ich noch nicht sehr viel Ahnung vom Kernel backen habe, wollte ich es noch nicht unbedingt angehen.
Das mit dem RAM ist mir bekannt, jedoch ist dafür ein sehr hoher Aufwand nötig
Was soll ich hier noch großartig diskutieren? Wenn sich bei dir alles um Warez dreht okay, muss aber nicht bei anderen so ein. Außerdem wollte ich noch nicht ins Gefängnis! Und tut mir leid, dass ich kein ÜBERMÄßIG hohes Startkapital hab um mich bei solchen IT Firmen einzukaufen... Hat ja noch nie wer klein angefangen. Zur zeit kriegt ja sowieso jeder ne Million Startkapital aus dem Konjunkurpaket, stimmts? ;D
@ HornOx
Danke für den Tipp, werde ich gleich mal durchgehen.
Da ich noch nicht sehr viel Ahnung vom Kernel backen habe, wollte ich es noch nicht unbedingt angehen.
Das mit dem RAM ist mir bekannt, jedoch ist dafür ein sehr hoher Aufwand nötig
Last edited by a moderator:
Dann solltest du einmal deinen Anwalt des Vertrauens fragen. Wenn es um datenschutzkritische Daten handeln, benötigst du eine Zertifizierung. Wenn dafür kein Geld da ist, dann lass es lieber sein. Auch eine passende Versicherung kostet Unsummen und ist in manchen Bereich vorgeschrieben.
Lieber erst informieren und dann das Business starten.
Lieber erst informieren und dann das Business starten.