Grundsatzfrage: Wer hat Zugriff auf die Daten eines Servers in einem Rechenzentrum

[alfschauer]

Hallo Forum,

ich recherchiere gerade zum Thema Datensicherheit. "Selfhosting" (eigener Email-Server, Seafile, Owncloud...) ist dabei so ein Schlagwort, weil die Daten (angeblich) unter eigener Kontrolle sind und nur der Root vollen Zugriff darauf hat.

Das stimmt vermutlich, wenn der Server zuhause in der eigenen Wohnung steht.

Aber stimmt das auch bei einem vServer oder dedizierten Server in einem Rechenzentrum, sprich bei einem Provider?

Hat nicht jeder Administrator eines Rechenzentrums schon mal rein physischen Zugang zu der Festplatte? Kann er die Dateien einsehen?

Oder bei einem vServer mit Container-Virtualisierung? Gibt es da nicht eine Art "Über-Root", der das Hostsystem administriert und infolgedessen ja auch die Container-Dateien einsehen können müsste?

Ist der Root eines gemieteten Servers (sowohl dediziert als auch virtuell) also wirklich der einzige, der vollen Zugang zu allen Daten hat?

Vielen Dank für eure Aufklärung.

Alf

 

[marce]

Grundlegend gilt: jede höhere Ebene kann auf die "Elemente" der darunterliegenden Ebenen zugreifen.

Sprich: Das RZ auf der Hardware (und damit auch auf die Daten),
Der Host auf die Container (und damit auch auf die Daten),
Der Container-Root auf die Userdaten im Container,
...

100% sicher gibt es nicht - sobald ein System von außen zugreifbar ist (physikalisch oder per Software) kann man auch die Daten darauf abgreifen.

 

[=ich=]

Guten Tag,

Ich habe im Rechenzentrum noch nie gearbeitet, ich weiß auch nicht wie alle Virtualisierung Applikationen funktionieren. Ich weiß aber eins. Überall wo es eine verschlossen Tür gibt, gibt es einen Schlüssel. Und genau so wie es an mit einem Türschloss funktioniert, funktioniert es meistens auch mit den Verschlüsselungsmechanismen. Der Schlüssel muss nur in Schloss rein passen, der Rest kommt aus dem Handgelenk. Also sicher sind deine Daten noch nicht einmal zuhause.

Das ist meine Meinung dazu.

Grüße

Ich

 

[d4f]

Es ist falsch Sicherheit als absolute Einheit zu definieren. Sicherheit ist ausschliesslich relativ.

Wenn notwendiger Aufwand das Risikobereitsein, Können oder (Zeit)kapital des Angreifers überschreitet wird ein anderes, lohnenswerteres Ziel gesucht. Das gilt für deine sensiblen Daten auf einem Server genau so wie das Fahrradschloss. Veraltete Technik, mangelde Wartung und Billigware räschen sich sowohl beim Fahrrad als auch beim Server.

 

[alfschauer]

@ marce
Vielen Dank für diese klaren Worte.

Ich frage mich dann allerdings, ob es dann sicherer ist, seine Daten zu einer Owncloud-Instanz auf einem vServer upzuloaden als z.B. zu Strato HiDrive oder Telekom Mediencenter? (Bewusst deutsche Angebote, seine Daten US Diensten anzuvertrauen, ist wohl in jedem Fall die schlechtere Idee.)

Und was ist mit den vielen Firmen, die sensible Geschäftsdaten auf einem Server haben?

Kann man sagen, dass sicherheitsbedachte Firmen ohnehin ihren Server in der eigenen Firma stehen haben oder gibt es Möglichkeiten, das System bzw. den Rechner gegen Einblicke von aussen abzusichern?

@ =ich=
Verstehe ich richtig, dass Virtualisierungs-Container verschlüsselt sind?

 

[d4f]

das System bzw. den Rechner gegen Einblicke von aussen abzusichern?

Es gibt Intrusion Detection / Prevention auf Hardware-Ebene was sich generell in Form von Garantieaufkleber, Mikroschalter und Schlösser im Gehäusedeckel darstellt.
In der Annahme dass das Rechenzentrum sowohl durch "brave" Techniker als auch Hardwareschutz abgeschreckt wird, hast du also nur noch eine "black box" da stehen wo die Verbindung hoffentlich SSL vollverschlüsselt ist.

bspw Amazon Sicherheitssticker mit Seriennummer: (letzteres ist sehr wichtig!)
http://www.amazon.de/Stück-Hologram...id=1435843750&sr=8-10&keywords=siegel+etikett

Verstehe ich richtig, dass Virtualisierungs-Container verschlüsselt sind?

Das wäre ein enormer Rechenaufwand. Generell wird nichts verschlüsselt, ausser der Kunde installiert es selber.

 

[Joe User]

Ich frage mich dann allerdings, ob es dann sicherer ist, seine Daten zu einer Owncloud-Instanz auf einem vServer upzuloaden als z.B. zu Strato HiDrive oder Telekom Mediencenter?

Ja und Nein.

Bewusst deutsche Angebote, seine Daten US Diensten anzuvertrauen, ist wohl in jedem Fall die schlechtere Idee.

Hä, warum?

Und was ist mit den vielen Firmen, die sensible Geschäftsdaten auf einem Server haben?

Die verhalten sich grob fahrlässig und somit (teilweise) rechtswidrig. Sensible Daten gehören in Tresore (plural!), welche an unterschiedlichen Orten mit ausreichendem Abstand zueinander stehen.

Kann man sagen, dass sicherheitsbedachte Firmen ohnehin ihren Server in der eigenen Firma stehen haben oder gibt es Möglichkeiten, das System bzw. den Rechner gegen Einblicke von aussen abzusichern?

Nein und nein.

 

[alfschauer]

Okay, wenn ich das richtig verstanden habe, kann man dann sagen, dass

• Daten auf einem DEDIZIERTEN Server nur durch Ausbau und Auslesen der Platte abgegriffen werden können, was zumindest durch eine Downtime und/oder einen Reboot auffallen würde?

• Daten auf einem VSERVER durch jeden Admin des Host-Systems mitgelesen werden können und es keiner bemerken würde?

Falls dem so ist, dann sehe (zumindest auf einem vServer) keinen Sicherheitsgewinn für Selfhosting...

 

[d4f]

Daten auf einem DEDIZIERTEN Server nur durch Ausbau und Auslesen der Platte abgegriffen werden können

Nicht ganz. Es gäbe noch Angriffe auf den Bus des Servers wodurch man zumindest theoretisch die volle Kontrolle erreichen kann. Alternativ könnte man über Schockkühlung den Ram auslesen. Beides ist aber eher Paranoia wenn du nicht grade Silkroad betreibst oder das böse Wort "Terrorist" irgendwo schreibst...

Daten auf einem VSERVER durch jeden Admin des Host-Systems mitgelesen werden können und es keiner bemerken würde?

Auf einem Openvz Container (sowas nenne ich nicht vServer) unbeschränkt, ja.
Paravirtualisierung (KVM, XEN,...) nur mit Aufwand aber auch ja.

Falls dem so ist, dann sehe (zumindest auf einem vServer) keinen Sicherheitsgewinn für Selfhosting...

Wenn du Personal in deinem Haus mit Arbeit beauftragst, musst du ihr vertrauen können oder entsprechend überwachen. Bei Anbieter ist das nicht anders.

Sensible Daten gehören in Tresore (plural!), welche an unterschiedlichen Orten mit ausreichendem Abstand zueinander stehen.

Also meine PCI-Compliance hat nichts von Tresoren gesagt, auch wenn eine Menge sonstiger Mist drin steht..

 

[alfschauer]

Eigentlich erschütternd:
Da leistet man sich nun einen vServer (auf OpenVZ Basis), ist dort stolzer Root und dann muss man seine Cloud-Daten doch wieder verschlüsseln, will man sichergehen, dass sie nicht so einfach (und unbemerkt) abgegriffen werden können.

Und ein selbstgehostetes Email-System macht dort gleich gar keinen Sinn, da die Dinger ja stets im Klartext gespeichert werden.

Korrigiert mich, wenn mein Fazit so ausfällt:
Wenn man aus Gründen der Datensicherheit Cloud-, Mail-, Chat- und sonstige Dienste selber hosten will, dann muss man das auf einem DEDIZIERTEN Server tun. Nur hier ist man als Root der einzige, der an die Daten kann, die einem Root eigentlich vorbehalten sind.
Bei einem VSERVER bleibt das Gefühl, dass UNBEMERKT jemand mitliest...

 

[d4f]

Genau
Wenn wir schon beim Thema sind; einige Anbieter installieren oder installierten klammheimlich ihre SSH-Keys für Supportzugriff oder Monitoring-Software welche als root läuft wenn man deren Templatesystem verwendet.

 

[killerbees19]

Und ein selbstgehostetes Email-System macht dort gleich gar keinen Sinn, da die Dinger ja stets im Klartext gespeichert werden.

Jein, dafür gibt es ja eine Ende-zu-Ende Verschlüsselung wie z.B. PGP/GPG! Dass die kaum jemand nutzt, ist eine andere Sache.

Das gleiche trifft natürlich auch auf andere sensible Daten zu: Will ich den Zugriff größtmöglich einschränken, dürfen nur Sender und/oder Empfänger es entschlüsseln können. Dass das dann oft viele Abstriche bei der Usability bedeutet, muss man in Kauf nehmen, wenn die Daten so schützenswert sind.

Die Frage ist nur, ob man den Client-Systemen (= der PC aller Beteiligten) wirklich trauen kann oder ob dessen Sicherheit der jeweilige Nutzer wirklich garantieren kann. Ist das nicht der Fall, sind die oben genannten Maßnahmen schnell lächerlich…


MfG Christian

 

[vb-server]

Darum mag ich Colo. Mein Server ist abgeschlossen (HDDs), verschraubt (Gehäus) und IPMI meldet sofort, wenn da was geöffnet wird.

 

[Joe User]

Ausgerechnet IPMI ... da kannste Dir die anderen Massnahmen auch sparen.
Du tauscht also auch nach jedem einfachen Stromausfall die komplette/n Pizzaschachtel/n beziehungsweise das/die ganze/n Rack/s aus?

 

[vb-server]

1. Redundante Netzteile, 2 Stromkreise
2. BIOS Passwort
3. IPMI nicht von Aussen erreichbar
4. Bin ich innert sehr kurzer Zeit im RZ

 

[marce]

Absolut sicher gibt es nicht. Weder ded. Hardware im eigenen Keller gehostet noch sonst was _garantiert_ die Exklusivität der Daten / den alleinigen Zugriff auf die Daten.

Es ist nur eine Frage des Aufwandes. Und auf der anderen Seite eine Frage des Vertrauens.

Wie überall im restlichen Leben auch. Und das ist nichts neues und auch nicht überraschend. Neu und überraschend (oder eher - beschämend?) ist nur, daß sich plötzlich die Leute Gedanken darum machen.

 

[TerraX]

[...]Die verhalten sich grob fahrlässig und somit (teilweise) rechtswidrig. Sensible Daten gehören in Tresore (plural!), welche an unterschiedlichen Orten mit ausreichendem Abstand zueinander stehen.[...]

Öhm nein, das ist schlichtweg nicht praktikabel (und eigentlich in erster Linie für Backups gültig mit sehr wenigen Ausnahmen) - mit Datenträgern in Tresoren lässt sich schwerlich arbeiten. Abgesehen davon sind regelmäßig verschiedene Stufen hinsichtlich der Sensibilität definiert.

Eigene Serverräume bzw. RZ, physische Trennung von Netzen (Forschung/Entwicklung <> Produktion) usw. sind durchaus geeignete Maßnahmen zum Handling sensibler Daten. Es kommt auf das Gesamtkonzept an das u.a. auch ganz besonders mobile Datenträger behandeln sollte, die wieder eigene Gefahren bergen (auf dem Weg von der Workstation zum Tresor kann viel passieren).

 

[vb-server]

Wenn wir grad dabei sind, warum soll ein Tresor sicherer sein als ein RZ?

Um in einen Tresor einzubrechen, brauchst Du nur den Schlüssel.
Um ins RZ zu kommen brauchst Du den Finger von jemanden der zugangsberechtigt ist, zusätzlich der Rackschlüssel und je nach dem den Schlüssel um den Server aufzuschliessen... Klar kann man auch via Internet eindringen - hier geht es aber um physikalische Sicherheit.

 

[d4f]

Um ins RZ zu kommen brauchst Du den Finger von jemanden der zugangsberechtigt ist

Also in den meisten Rechenzentren reicht Besitz einer RFID-Karte die deutlich einfacher zu erhalten und transportieren ist als so ein Finger oder Fingerabdruck. Biometrie oder gar Multifaktor ist in nur sehr wenigen Rechenzentren vorhanden.

 

[vb-server]

Glücklicherweise ist mein Server in einem RZ in der Colo, wo man ausschliesslich mit Fingerprint reinkommt (2x Authentifizierung erforderlich: für die Personenvereinzelung plus die einzelnen Räume)