id: Гость   вход   регистрация
текущее время 04:54 19/06/2019
Автор темы: Гость, тема открыта 26/03/2007 13:33 Печать
http://www.pgpru.com/Форум/ПрактическаяБезопасность/ЗащитаШифрованногоКонтейнераОтЛокальногоАдмина
создать
просмотр
ссылки

Защита шифрованного контейнера от локального админа


Добрый день!


Есть такая ситуация: win2k3, на нем будет шифрованный контейнер. ПО еще выбирается: TrueCrypt, PGP, SecretDisk. Данные с этого контейнера будут расшарены, юзеры будут обращаться к ним по сети через VPN. Сервер стоит на хостинге.
Хочется защититься от такой вещи как кража информации подкупленным персоналом дата-центра. Он ведь может загрузить сервер с CD, поменять пароль локального админа, затем когда контейнер будет смонтирован зайти локально или по сети и слить инфу.
Может как-нибудь жестко ограничить логин только с токеном? Какие еще могут быть варианты?


 
Комментарии
— SATtva (26/03/2007 15:09)   профиль/связь   <#>
комментариев: 11543   документов: 1036   редакций: 4088
Технически это невозможно. Советую поставить сервер в собственной конторе, а не хранить секретную информацию под чужой крышей.
— Гость (26/03/2007 15:29)   <#>
Чужая крыша потому и выбрана, что в свою контору могут нагрянуть маски-шоу.
Или надо хотя бы сделать так, чтобы злоумышленнику было максимально сложно слить инфу.
А что если я системный раздел зашифрую PGP Whole?
Понятно, что прийдется при ребуте вводить пароль, но небольшой простой в данном случае вполне приемлем.
— SATtva (26/03/2007 15:43)   профиль/связь   <#>
комментариев: 11543   документов: 1036   редакций: 4088
А что если я системный раздел зашифрую PGP Whole?

На удалённом сервере? И дальше что? Будете бегать в дата-центр вводить пароль ручками?
— Гость (26/03/2007 16:10)   <#>
да ;)
штатный ребут раз в два-три месяца думаю не так страшен
— a007 (26/03/2007 17:11)   профиль/связь   <#>
комментариев: 3   документов: 1   редакций: 0
Если размер контейнера небольшой и у Вас хороший канал – расшарьте сетевую папку, содержащую контейнер и подключайте контейнер как диск на своём рабочем месте. Всё шифрование будет выполняться на Вашем компьютере, между компьютером и сервером будут передаваться только зашифрованные данные. Персонал датацентра для доступа к данным нужно будет подобрать ключ.
— a007 (26/03/2007 17:19)   профиль/связь   <#>
комментариев: 3   документов: 1   редакций: 0
Вдогонку – на Вашем компьютере диск тоже можно расшарить и раздавать права уже в рамках ЛВС и домена.
— Гость (26/03/2007 17:24)   <#>
хм, интересно .. надо будет поэкспериментировать со скоростями в этом варианте ..
— krokokot (26/03/2007 23:50)   <#>
Думаю, можно минимизировать этот риск скриптом, который перед монтированием контейнера будет проверять: дату и время последней перезагрузки/был ли изменен пароль локального админа/добавлены новые пользователи или группы/изменен состав групп/етс. Можно также применить аппаратные решения, контролирующие целостность операционной системы ДО ее запуска. Ну и аппаратное отключение USB/опечатывание корпуса с аппаратным датчиком вскрытия тоже useful.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3