Server sichern ohne physischen Zugang

M

mailman

New Member
Hallo,

ich hätte generell einmal eine (Diskussions-)Frage in die Runde.

Wie sicher könnt ihr euch bzgl der Sicherheit eurer Root-Server sein? ;) Als konkretes Demoszenario mein ich jetzt einen 0815 Root-Server von Hetzner, S4Y oder wie sie nicht alle heißen. Man bekommt da eine Shell ... und weiter?

Woher weiß ich, dass diese nicht kompromitiert ist? Gut, ich könnte ein neues Image draufspielen. Woher weiß ich, dass die Hoster-Oberfläche auch wirklich das tut was sie soll und kein kompromitiertes Image aufspielt?

(1) Gibt es technisch eine Möglichkeit zu verifizieren, dass meine Installation wirklich zu 100% korrekt (ohne Backdoor o.ä.) ist?
(2) Gibt es eine Möglichkeit zuverlässig Manipulation (auch im späteren laufenden Betrieb) auszuschließen (auch bspw. gegenüber dem Hoster)? Ich kenne Tools, wie AIDE oder Tripwire, aber selbst hierbei kann ich ja nicht verifizieren, ob an den Tools selbst manipuliert wurde.

Ist also ein vServer gar nicht soviel sicherer als ein Root Server? Wäre eine Colocation besser oder sollte man gleich alles zu Hause/Inhouse lassen (Bandbreite vorausgesetzt)? In den letzten bzw. vorletzten Szenario zumindest begrenzt könnte ich den jeweiligen Server physisch "fassen" und hätte ihn nicht als derart abstraktes Gebilde hunderte Kilometer entfernt.

Die Frage reduziert sich also auf: Kann ich einen Server, auf den ich keinen physischen Zugriff habe (typisches Root Server Szenario) trotzdem so absichern ohne Backdoors jeglicher Art zu riskieren?


(Mir ist klar, dass das alles ein fiktives seeehr paranoides und absolut unrealistisches Szenario ist und von absolut keiner Relevanz für die Praxis. Trotz allem würde mich interessieren, ob sich schon anderen mit der Thematik beschäftigt haben und mit welchem Ergebnis. Vor allem in letzter Zeit dürfte die Frage ja nicht mehr allzu abwegig sein.)
 
mailman said:
Die Frage reduziert sich also auf: Kann ich einen Server, auf den ich keinen physischen Zugriff habe (typisches Root Server Szenario) trotzdem so absichern ohne Backdoors jeglicher Art zu riskieren?
Click to expand...
Ja, das kannst du. Ein Restrisiko bleibt wie bei jeder Software, dass eine unentdeckte Lücke ausgenutzt wird.

Wie absichern?
Software zeitnah updaten
Webanwendungen sicher konfigurieren
fehlgeschlagene Logins überwachen
IDS verwenden
Zugriffe auf unbenutzte Ports mit iptables und fail2ban sperren
hackende Länder wie KR und CN über ihre Netzwerkranges aussperren
...
und...
und...
und...

Wie sicher könnt ihr euch bzgl der Sicherheit eurer Root-Server sein?
Click to expand...
99,9%. Rer Promille-Rest sind Sicherheitslücken, Passworttrojaner, Geheimdienstbackdoors, Ermittlungsbehörde, Hacker, die Zugriff haben.
Entweder du bist schneller mit patchen und überwachen oder die mit erfolgreichen Eindringen.
 
Last edited by a moderator:
Najo GwenDragon hat wohl nur einen Punkt in deiner Ausführung überlesen: Wenn man davon ausgeht, dass der Hoster bereits ein kompromittiertes Image aufspielt, brauch man mit diesem System gar nichts weiter machen. ;)

svenr hatte mal eine Anleitung veröffentlicht, wie man einen dedizierten Server vollständig verschlüsselt und über einen eigenen SSHd in der initrd das Passwort zum entschlüsseln beim booten eingeben kann, ohne eine KVMoIP zu brauchen.
Das setzt allerdings wieder rum voraus, dass man dem Recovery/Rescue des Hosters vertraut. Tut man das auch nicht, wird es bei den allermeisten Hostern dann schon verdammt eng.
Einige bieten KVM mit virtual Media an. D.h. du kannst eigene Medien (ISOs) remote einbinden und davon booten. Nutzt man allerdings Standard-ISOs der Distributionen, sind diese auf der gegenseite sehr leicht zu erkennen, ignorieren und durch Hoster-eigene (evtl. kompromitierte) Images wieder zu ersetzen.
Dabei würdest du wieder keinen Unterschied feststellen und könntest dem ganzen wieder rum nicht vertrauen.

Desweiteren hat der Hoster grundsätzlich Zugriff auf die KVM, die er dir gibt. Wenn du damit also an deinem (paranoid installiertem) System gerade arbeitest, könnte er auch selbst beliebige Tastenanschläge zu deinem laufendem System schicken. Irgendwann musst du dich damit ja schließlich auch mal anmelden und die Partition entschlüsselt mounten. ;)

Kurz gefasst: Wenn man absolut ohne Vertrauen und mit extremistisch-paranoiden Vorstellungen die Sache betrachtet, wäre ein Miet-Server an dem andere an Zugriffs- oder Bootmöglichkeiten mitwirken, niemals sicher.
 
Firewire2002 said:
Najo GwenDragon hat wohl nur einen Punkt in deiner Ausführung überlesen: Wenn man davon ausgeht, dass der Hoster bereits ein kompromittiertes Image aufspielt, brauch man mit diesem System gar nichts weiter machen. ;)
Click to expand...
Stimmt, bei 1&1 und Strato waren mal vor Jahren diverse Plesk+OS-Images nach Bereitstellungdes Servers gleich gehackt, weil nicht uptodate oder das Plesk unsicher.
So schnell konnte eine den Server gar nicht sicherer konfigurieren, schwupps waren böse Buben schon drauf.
 
Dem wirken die meisten Hoster schon entgegen, in dem sie bereits beim Installieren die Distributions-Updates mit einbeziehen. Nützt allerdings immernoch nichts, wenn der Hoster selbst ganz gezielt kompromittiert. ;)
 
Und davon ab hast ja auch noch diverse Geheimdienste auf der Leitung von dir Zuhause bis zur NIC deines Servers, die da fleißig mitschnorcheln.
 
Du musst auch Dem Supermarkt Deiner Wahl vertrauen, das Du kein vergifteten Lebensmittel bekommst. Das ist ja wohl im gesamten Geschäftsleben so, das ich meinem Geschäftspartner Vertrauen muss. Die Diskussion ist wirklich komplett paranoid.
 
Auch diese Paranoia ist nicht neu. Ohne diese gäbe es nämlich (für due pseudo-paranoiden) gar keine Bio-Produkte im Handel. ;)
Die echten paranoiden bauen ihre Lebensmittel selbst an. Das fängt bei den kleinen Schrebergärten und dem eigenen Gemüse an und geht bis hin zu kompletten Selbstversorgern mit Bauernhof (wo von es auch in DE einige gibt - also nicht Bauernhöfe, sondern private Voll-Selbstversorger).
 
Najo wer Bio kauft, weil er der Meinung ist Bio-Produkte hätten durchweg eine höhere Qualität als Nicht-Bio Produkte ist wohl nicht nur paranoid sondern auch naiv.
Bio-Produkte die als Bio gekennzeichnet sind, weil die Produktionsumgebung tierfreundlicher, umweltschonender oder was auch immer ist, obwohl das Endprodukt exakt die gleiche Qualität liefert, macht das ganze (konkrekt in dieser Diskussion hier) nicht besser.
Wer glaubt, regulär gefertigte Produkte schaden seine Gesundheit, weil der Supermarkt manipuliert haben könnte und dann zu Bio Produkten im gleichen Supermarkt greift, ist eben nicht völlig paranoid. ;)
 
@Firewire
auch wenn wir jetzt vom Thema abweichen Bio hört da auf wo es in Plastik eingepackt wird.
Bio kaufe ich nicht im Supermarkt sondern beim Bauern meines Vertrauens, da weiß ich auch wer mein Geld bekommen hat. Das hat jetzt nichts mit Paranoia zu tun.

Zurück zum Thema:
Wie absichern?
Software zeitnah updaten
Webanwendungen sicher konfigurieren
fehlgeschlagene Logins überwachen
IDS verwenden
Zugriffe auf unbenutzte Ports mit iptables und fail2ban sperren
hackende Länder wie KR und CN über ihre Netzwerkranges aussperren
...
und...
und...
und...
Click to expand...

Da gibt es hier im Forum ja schon einiges zu lesen und zu lernen. Ich denke wenn man die grundlegenden Dinge beachtet, gibt es kein Grund für Paranoia.
 
Sag mal habt ihr alle so wenig Fantasie oder seit ihr eurem Alltags-Trott vollkommen erlegen? mailman hat im ersten Beitrag schon klargestellt, dass es hier um eine theoretische Diskussion unter Annahme von Paranoia geht.
Ein Fakt, der Grundlage für eine Diskussion ist, brauch man in der Diskussion nicht in Frage stellen. Wer darauf abzielt, sollte in einem anderen Thread eine weitere Diskussion anstreben. ;)

"Ziel" der Diskussion sind Lösungen für Paranoide. Auch wenn es die, in dem ursprünglich beschriebenen Szenario eines Miet-Servers, meiner Meinung nach nicht geben kann. Begründung siehe paar Beiträge weiter oben.
 
(Mir ist klar, dass das alles ein fiktives seeehr paranoides und absolut unrealistisches Szenario ist und von absolut keiner Relevanz für die Praxis. Trotz allem würde mich interessieren, ob sich schon anderen mit der Thematik beschäftigt haben und mit welchem Ergebnis. Vor allem in letzter Zeit dürfte die Frage ja nicht mehr allzu abwegig sein.)
Click to expand...
@firewire das hab ich wohl überlesen.
 
Ach so, die Diskussion ist ironisch und wie eine Karnevalsveranstaltung.

OK, dann sollte man den Server auch noch in Beton eingießen, denn man könnte den sonst öffnen und die Festplatte austauschen.
Und eine Feuerwarnanlage, denn Admins wie Firewire2002 werfen sonst ihre Zigaretten aus Versehen in die Lüfter.
Und ein paar nackte Tatsachen mit Bunnys aus Hochglanz-PC-Fachzeitschriften, die schrecken gelangweilte nicht-triebgesteuerte Möchtegern-Admins und Black-Pudelmützen-Hacker ab.

Viel Spaß, Ihr Neurotiker *grins*

PS: Wer Vorsicht und Sicherheitsbedürfnisse bei Servern für eine wahnhafte paranoide Erkrankung hält, ist wohl ziemlich seltsam.
 
Last edited by a moderator:
Noch ein ernsthafter Vorschlag:
Server verblomben, Gehäuse Alarmsichern und bei unbefugtem Öffnen Festplatte unbrauchbar machen, Selbst beim Anbieter hosten
Oder in einem eigenen Keller hinter einer Safetür.
 
<opinion mode="gag">Ja, als Gütesiegel oder als Sicherheitsstreifen. Das bleibt demjenigen Herrn selbst überlassen als was er es haben will.
Wahlweise auch Playgirl oder GQ wenn er bi oder schwul ist :P

Ich tendiere dazu einen erwischten Hacker mit Hohlnieten direkt ans Gehäuse zu tackern, das schreckt ab *grins*</gag>
 
Last edited by a moderator:
Ein sehr großer französischer Hoster hat langezeit heimlich SSH Keys für root Zugriff bei der Installation mit ausgerollt. Erst als die ersten Kunden sich darüber im Hoster-eigenem Forum darüber beschwert haben, wurde das Ganze öffentlich.
Die Keys gibt es auch heute noch. Ob sie immer noch direkt mit installiert werden, oder mittlerweile vom Kunden selbst nachgepflegt werden müssen, kann ich gerade nicht sagen.

Der Hoster hat damit keine bösen Absichten, sondern will sich schlicht den Support etwas vereinfachen. Allerdings zeigt es auch, dass Manipulationen durch den Hoster durchaus real sind. ;)
 
Es ist sinnvoll, SSH- und andere Login-Konfiguration selbst genauer anzusehen bei vorgefertigten Images.
Server installieren erfordert Linux-Kenntnisse und längere Erfahrung, um zu wissen wo es hakt.

Wenn ich bei manchen Hostern und Distros sehe wie schlampig die SSL-Chiffren und -protokolle voreingestellt sind bei Web, Mail und FTP grauts mir immer noch. :eek:
 
You must log in or register to reply here.
Back
Top