Cifrar máquina virtual en la nube

Si bien Thomas Pornin señala correctamente que la única forma de confiar en un host atacado es mediante el uso de cifrado totalmente homomórfico en la práctica, puede intentar evitar este requisito.

Un atacante potencial tiene control total de la CPU, la memoria y el disco. Por lo tanto, no es posible realizar ningún cálculo sobre datos valiosos en una máquina virtual que podría no estar bajo su control. Por otro lado a menudo no es necesario. Si desea utilizar su máquina virtual como base de datos o servicio de almacenamiento / respaldo, la máquina virtual nunca necesita acceso a información no cifrada. Puede almacenar archivos o entradas en una base de datos, almacenar hashes de los archivos cifrados o nombres de archivos y, por ejemplo, ordene por tamaño de archivo o recupere un archivo determinado donde el cliente proporciona el nombre del archivo como un valor de hash.

Tal esquema limita lo que puede hacer con sus datos, pero dado un buen cifrado es imposible que un atacante pueda robar sus datos. En el peor de los casos, pueden modificarlo, por lo que necesita firmas cifradas para evitar la manipulación de los datos.

Un ejemplo popular es boxcryptor , que utiliza un contenedor cifrado para almacenar archivos de forma segura en diferentes proveedores de la nube. Otra es duplicity , que permite realizar copias de seguridad cifradas mediante rsync y GnuPG.

Encriptando el almacenamiento de la máquina virtual en sí, por ejemplo, Truecrypt o Bitlocker no aumenta significativamente el nivel de seguridad. Podría frustrar un ataque si la máquina virtual está apagada, pero tan pronto como la ejecute, el sistema operativo necesitará la clave para acceder al volumen cifrado y, en ese momento, un atacante potencial también podrá obtener la clave.

Si el host es hostil , la resistencia es futile.

El host puede leer el disco, la memoria RAM y el estado de la CPU de su máquina virtual. Solo el cifrado totalmente homomórfico lo salvaría, pero aún no funciona (la ciencia aún no ha descubierto una solución eficiente; pero eso es solo un factor de mil millones aproximadamente, por lo que aún podemos esperar algo ... más adelante).

Otras personas están hablando en términos absolutos (en teoría). Sí, si el atacante tiene acceso al sistema operativo host, entonces su máquina virtual ya no puede considerarse segura, en teoría. Sin embargo, para hacer esto en la práctica, se requiere un trabajo de piratería no estándar, lo que implica que se trata de un ataque dirigido contra USTED , porque habrá muchas otras máquinas virtuales que no se cifrarán y serían Objetivos mucho más fáciles que tu VM. El cifrado completo del disco en la nube lo protegerá en la multitud de otras máquinas virtuales, pero si está dirigido específicamente, está muerto. No hay un sistema absolutamente seguro, solo diferentes dificultades para acceder a él. El cifrado de disco aumenta la dificultad. Si desea mayor seguridad, ejecute su propio host, pero solo si es competente, de lo contrario podría ser peor.

Su problema aquí es el mismo: un atacante que tiene acceso a la caja física o, en este caso, el host, puede acceder a su VM.

Este es uno de los riesgos que debe tener en cuenta si subcontrata las cosas: usa su contrato con el proveedor para brindarle la seguridad que necesita.

Divida sus datos en muchas máquinas virtuales, alojadas por diferentes hosts (y proveedores, si es posible) para que los datos de una sola máquina virtual sean inútiles. Por supuesto que eso podría matar la usabilidad y / o el rendimiento. Idea muy ruda.

Use el cifrado de disco completo si puede, donde pueda. El cifrado completo del disco solo madurará, e impide el ataque físico, que es el tiempo libre en el trabajo de seguridad para los problemas reales con acceso lógico. Por ataque físico, quiero decir desde el BIOS de la VM, los registradores de pulsaciones de teclas. También evitaría que la unidad fuera montada desde otro lugar si la infraestructura circundante fuera robada y fuera de línea, en lugar de ser atacada activamente. Creo que ese modelo de amenaza en particular me suena lo suficientemente importante como para que tome la decisión de usar FDE si es posible y si ha cubierto algún problema de seguridad mayor.

Creo que proteger VM en un host de remontaje no es fácil. Lo mejor que debes hacer de la siguiente manera: Primero: Establezca confianza mutua entre usted y el anfitrión visitado.

Segundo: Agregue herramientas de verificación dentro de su máquina virtual para detectar comportamientos anormales en el host visitado.

Tercero: Agregue mecanismos de protección para proteger los datos más confidenciales con los que trabaja la máquina virtual.

Es posible que deba poner "Ofuscación de VM" bajo su consideración.

Gracias