Pro-Linux.de

Pro-Linux

Pro-Linux Diskussions- und Hilfeforum
Aktuelle Zeit: 19. Dez 2018 2:50

Alle Zeiten sind UTC+01:00




Ein neues Thema erstellen  Auf das Thema antworten  [ 7 Beiträge ] 
Autor Nachricht
BeitragVerfasst: 18. Dez 2011 22:49 
Hi,

Ich möchte auf einem entfernten Server ein Command ausführen, welches als Parameter ein key-file sowie eine account nummer verlangt, also z.B:

[user@localhost ~]$ command -k key-file -a account_number

Das key-file sollte jedoch idealerweise auf einen anderen lokalen Server liegen bzw. im Bedarfsfall bereitgestellt werden.
Auch die account_number sollte auf diesen anderen Server liegen und über das Netzwerk bereitgestellt werden.

Sprich ich will keine sicherheitsrelevanten Daten auf dem entfernten Server liegen haben, der das command ausführt.

Ich denke da an nc jedoch weiß ich nicht wie ich das ganze auch noch per SSL oder SSH übertragen kann.

Hat jemand von euch eine Idee?


Nach oben
   
 Betreff des Beitrags:
BeitragVerfasst: 18. Dez 2011 23:36 
Offline
Benutzeravatar

Registriert: 11. Feb 2006 19:10
Beiträge: 3569
Sofern das Kommando nicht selbst etwas per Netzwerk nachladen kann, ist das reichlich kompliziert. Dann müsste man zuvor durch einen verschlüsselten Tunnel hindurch mounten. Geht alles, ist aber Quatsch, weil der Sicherheitsgewinn in keinem Verhältnis zum Aufwand steht. Das achso gefährdete File kann schließlich in dem Moment mitgelesen werden, in dem es übertragen wird. Wenn ich root auf dem Server wäre, würde ich dazu einfach ein Skript schreiben, dass "command" ersetzt und alles mitschreibt.

Janka

_________________
Ich vertonne Spam immer in /dev/dsp statt /dev/null.
Ich mag die Schreie.


Nach oben
   
 Betreff des Beitrags: Geht es eventuell mit einem Wrapper?
BeitragVerfasst: 19. Dez 2011 0:24 
Danke für Deine rasche Antwort!

Mein Problem betrifft konkret eine AWS EC2 Instance.

Einerseits wird empfohlen keinerlei sicherheitsrelevanten Informationen innerhalb eine Amazon EC2 Instance zu speichern, andererseits wird
damit Automation nahezu unmöglich.

Ich wäre schon mit einem Wrapper zufrieden, der das File bzw. den Key und noch so manch anderes ähnlich gelagertes über das Netz holen könnte,
lokal zwischspeichern und nach Durchführung des Commands (egal ob erfolgreich oder nicht) wieder löschen würde.

Primär geht es mir darum dass ich die relevanten Daten auf meinen lokalen Server nur dann bereitstelle wenn ich sie auch am entfernten Server benötige.
Als Nebeneffekt kann ich natürlich den Abruf der Parameter protokolieren.

Sollte jemand den secretKey welcher im keyfile abgelegt ist und die accountumber erlangen, könnte er damit alle meine Instanzen (virtuellen Server) kompromittieren.

L.G.


Nach oben
   
 Betreff des Beitrags:
BeitragVerfasst: 19. Dez 2011 20:03 
Offline
Benutzeravatar

Registriert: 11. Feb 2006 19:10
Beiträge: 3569
Wie gesagt, wenn der Angreifer einen der virtuellen Server kapert, kann er ein Skript auf diesen aufspielen, das er als das "command" ausgibt, so dass er auf diese Weise auf jeden Fall an das Keyfile kommt. Er muss nur warten können. Was du vorhast, erzeugt nur einen sehr minimalen Sicherheitsgewinn bei gleichzeitig hohem Aufwand. Bevor man so etwas tut, sollte man die Zeit lieber in alle anderen Sicherheitsmaßnahmen stecken.

Janka

_________________
Ich vertonne Spam immer in /dev/dsp statt /dev/null.
Ich mag die Schreie.


Nach oben
   
 Betreff des Beitrags:
BeitragVerfasst: 19. Dez 2011 22:00 
Ich gebe Dir absolut Recht!!!

Aber, so einfach ist die Sache nicht gelagert.

Es handelt sich bei diesem virtuellen Server um eine "Meta appliance" welche konstruktionsbedingt nur innerhalb der Cloud lauffähig ist, also leider nicht lokal.

Diese "Meta appliance" ist dazu gedacht neue Instanzen (virtuelle Server) inklusive virtueller Hardware, Software und Config zu generieren.

Im Normalfall starte ich diese Instanz auch nur zu diesem Zweck (Build einer neuen Instanz) und stoppe (shutdown) diese dann auch wieder.
Während des Builds bin ich derzeit noch online und sehe zu.
Ich habe also derzeit nicht die Befürchtung, dass dieser Server, auch nicht durch Geduld, geknackt werden könnte.
In Zukunft würde ich das ganze jedoch gerne automatisieren und nicht nicht mehr zusehen müssen.

So ein Fremder meine leider auf dieser Instanz abgelegten Account Daten nicht eh schon vorher hat,
kann er diese auch nicht starten oder sonstigen Unsinn z.B. mit anderen Instanzen anstellen.

Ich fühle mich trotzdem nicht wohl bei dem Gedanken daran wenn einmal bei Amazon etwas schief läuft. Was leider schon passiert ist.
z.B. ein Fremder kann warum auch immer meine Instanz starten oder noch schlimmer eine Kopie dieser Instanz machen und dadurch eventuell Zugriff auf meine Zugangsdaten erlangen.

So eine Kopie könnte er dann, ohne diese zu starten in Ruhe innerhalb seines eigenen Accounts analysieren ohne diese zu starten.

Ich meine das Ganze ist in etwa so als ob ich meinen Pin mit Filzstift auf meine Bankomatkarte schreiben würde und diese dann jemand anderen (Amazon) der behauptet,
dass er vertrauenswürdig ist (weil ihm ja sowieso Gott und die Welt vertraut) zum Aufbewahren gebe.

*******************************************************************************************************************************************************************************************
Auszugsweise:

siehe: http://www.heise.de/newsticker/meldung/ ... 65713.html

Bis vor kurzem ließ sich eine Schwachstelle unter anderem bei Amazons Cloud-Dienst EC2 für unberechtigte administrative Tätigkeiten ausnutzen.
So konnten Angreifer in einer EC2-Instanz virtuelle Maschinen starten und stoppen sowie neue Images und Gateways erzeugen.
Das berichteten Forscher der Ruhr-Uni Bochum um Professor Jörg Schwenk auf einem ACM-Workshop zur Cloud-Sicherheit.

*******************************************************************************************************************************************************************************************

Eventuell könnte ich zumindest den Teil der den Pfad zum key_file angeht über ein geeignetes gemountetes Netzwerk Filesystem lösen.
Wobei ich die Sicherheitsrelevanten Daten dort eben erst dann ablege, wenn ich einen Build Lauf starte und danach wieder lösche.

Wie ich aber den Inhalt eines Files in den Parameter "-a account_number" bekomme ist mir noch nicht ganz klar.

Vielleicht wäre auch eine Ram-Disk, die ich mit den Scripts und den diversen sicherheitsrelevanten Daten aus der Ferne befülle eine Lösung.
Wie gesagt zur Laufzeit der Instanz habe ich wenig Befürchtung genackt zu werden.
Es ist eher die eventuell monatelang herumliegende gestoppte Instanz das Problem

Irgend wie stehe ich an.

Vielen Dank jedoch für Deine Gedanken


Nach oben
   
 Betreff des Beitrags:
BeitragVerfasst: 25. Dez 2011 12:31 
Offline

Registriert: 03. Mär 2006 23:16
Beiträge: 430
Da Du schon bei amazon bist,
mit s3ql (python, fuse) könntest Du das keyfile dort ablegen,
vor Zugriff wird der cloudspace (bucket) händisch gemountet wie ein lokales Laufwerk.
http://www.linux-magazin.de/Heft-Abo/Au ... nfuehrung2

_________________
mfg komsomolze


Nach oben
   
 Betreff des Beitrags:
BeitragVerfasst: 27. Dez 2011 6:17 
Danke,

ich schau mir das gleich einmal an.

L.G.


Nach oben
   
Beiträge der letzten Zeit anzeigen:  Sortiere nach  
Ein neues Thema erstellen  Auf das Thema antworten  [ 7 Beiträge ] 

Alle Zeiten sind UTC+01:00


Wer ist online?

Mitglieder in diesem Forum: 0 Mitglieder und 0 Gäste


Sie dürfen keine neuen Themen in diesem Forum erstellen.
Sie dürfen keine Antworten zu Themen in diesem Forum erstellen.
Sie dürfen Ihre Beiträge in diesem Forum nicht ändern.
Sie dürfen Ihre Beiträge in diesem Forum nicht löschen.
Sie dürfen keine Dateianhänge in diesem Forum erstellen.

Suche nach:
Gehe zu:  
cron
Powered by phpBB® Forum Software © phpBB Limited
Deutsche Übersetzung durch phpBB.de