¿Cuáles son las compensaciones de seguridad entre los diferentes métodos para cifrar una imagen de máquina virtual invitada?

0

El escenario es una PC doméstica o de trabajo ligeramente segura que se utiliza principalmente para operaciones de baja sensibilidad. Para actividades más seguras, se utilizará una máquina virtual preconstruida y restrictiva.

Estoy más preocupado por el robo y / o modificación de datos a través del acceso no autorizado / desatendido a la máquina host mientras la VM está apagada.

Para la mitigación, quiero cifrar la imagen de la VM, y parece que hay tres opciones generales:

  1. Utilice VeraCrypt u otro paquete de cifrado sobre la marcha para cifrar la partición o carpeta donde se almacenará el VDI invitado.
  2. Use el cifrado integrado de VirtualBox o VMWare para cifrar la imagen del invitado.
  3. Use el cifrado de disco completo dentro del sistema operativo invitado (por ejemplo, LUKS para Linux invitado o BitLocker para Windows invitado)

¿Cuáles son los factores de seguridad o las compensaciones entre los tres? ¿Es uno generalmente más seguro o más probado que otros?

Parece que 1 y 2 pueden equivaler a lo mismo. Sé que VeraCrypt ha sido auditado, y LUKS parece bastante probado, pero no estoy seguro de la estructura de cifrado en el software de VM.

nota: Esta respuesta es para una pregunta similar, pero la respuesta no aborda el problema -offs entre las tres opciones

    
pregunta BrianHVB 18.12.2018 - 19:09
fuente

1 respuesta

0

Tu mentalidad está al revés. En un escenario de hipervisor en el que desea utilizar tanto el host como los invitados como máquinas utilizables, el "equipo" más seguro must será el host.

Para probar y llevar este punto a casa:

  • si su máquina virtual 'más segura' es un invitado y usted usa la host para navegar por Internet, luego cualquier compromiso de su host de navegación por Internet "menos seguro" brinda acceso automático a todos y cada uno de los invitados. El cifrado de los discos de las máquinas virtuales solo protege los discos cuando la máquina virtual está fuera de línea Y eso supone que el atacante no sabe cómo extraer las claves de la memoria (a la que tendrían acceso, ya que estarían atacando desde el host al huésped)
  • si su máquina 'más segura' es el host y navega por Internet desde el invitado, entonces un atacante tendría que atacar a través de la red o a través del hipervisor, ambos son mucho más difíciles que tener derechos implícitos sobre manipular el hardware de la máquina virtual.

Y aunque esto no responde directamente a tu pregunta, si eliges cambiar la ruta que estás tomando, simplemente codifica el disco duro del host y todos los demás se incluirán automáticamente (asumiendo que todos están en el mismo disco)

    
respondido por el thepip3r 18.12.2018 - 19:42
fuente

Lea otras preguntas en las etiquetas