aryeh
@aryeh
Молод (душой) и приятен в общении :-)

Как превратить VM в «крепость»?

Мы поставляем свой продукт (спец. https сервер) клиенту в виде VM (OS Debian 10.4.0), которую он сам запускает в VirtualBox в своей локальной сети. Иными словами клиент имеет физический доступ к VM. У него нет своего юзера, клиенту не сообщается root пароль. Получил - запусти и используй, API описан, а вот внутрь залезть - нимоги!
Ну а теперь вопросы:
1. Как не дать сбросить root пароль?
2. Как при загрузке VM проверить целостность некоторых директорий/файлов? Т.е. как защитить сервер от несанкционированных изменений?
Хотелось бы найти готовые решения, а не изобретать велосипед.
  • Вопрос задан
  • 1269 просмотров
Пригласить эксперта
Ответы на вопрос 3
Zoominger
@Zoominger Куратор тега Linux
System Engineer
Как не дать сбросить root пароль?

С физическим-то доступом? Никак.

2. Как при загрузке VM проверить целостность некоторых директорий/файлов?

Попытаться записать их хеши и проверять их.

Линукс и защита - понятия несовместимые, код открыт, стандарты известны, а при физическом доступе обойти можно любую защиту.

На вашем месте я бы сделал пароль на root и написал бы скрипт, который бы мониторил /etc/shadow и убивал бы корневой раздел, если рутовый пароль изменится.
Ответ написан
CityCat4
@CityCat4
Если я чешу в затылке - не беда!
а вот внутрь залезть - нимоги!

Довольно странно использовать опенсорсную вещь, принципиально не имеющую таких механизмов защиты - для таких целей.
Потенциально может помочь шифрование дисков и запароленный граб, но Вы же сами понимаете - на всякую хитрую #опу находится свой МПХ с левой резьбой :) Хотя скрипт-киддисов это отпугнет.
Но при наличии физического доступа к машине вопрос "не дать доступа" не стоит. Стоит вопрос "максимально усложнить его получение", потому что время на его получение будет прямо пропорционально умению юзера и желанию туда попасть.
Как при загрузке VM проверить целостность некоторых директорий/файлов?

Требовать доступ в тырнет и сверять чексуммы файлов с чексуммами на Вашем сервере, при несовпадении рушить систему. Этот момент лучше отразить в договоре :) При обновлении ВМ (если оно предполагается) конечно же не забывать обновить чексуммы.
Конечно, все это все равно не поможет :) Вы фактически хотите сделать то же, что гугл с андроидом - давать пользоваться, но не давать рута. Сколько уже способов получения рута придумало благодарное хитро#опое человечество?
Ответ написан
firedragon
@firedragon
Senior .NET developer
Чем вам не нравится токены или LMS (FlexLM) например ?
Ответ написан
Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации
Похожие вопросы
05 авг. 2020, в 21:55
20000 руб./за проект
05 авг. 2020, в 20:58
10000 руб./за проект
05 авг. 2020, в 20:21
10000 руб./за проект