Verschlüsselung eines Remote-Server-Datenträgers
Antwort
Full-Disk-Encryption auf einem Remote-Server verwendet LUKS2, wobei die Passphrase beim Booten über eine Out-of-Band-Konsole oder eine dropbear-SSH-Shell im Initramfs eingegeben wird. Sie schützt vor Datenträger-Beschlagnahme und Wiederherstellung von ausgemusterten Laufwerken. Sie schützt keinen laufenden Server, dessen Schlüssel sich im RAM befinden.
Definieren Sie präzise, welche Bedrohung sie adressiert
Full-Disk-Encryption schützt Daten im Ruhezustand. Sobald die Maschine gebootet und das Volume entsperrt ist, befindet sich der Schlüssel im Kernel-Speicher und das Dateisystem ist für alles mit ausreichenden Privilegien lesbar – einschließlich, auf einer virtualisierten Plattform, eines Hypervisor-Betreibers, der den Gast-RAM auslesen kann.
FDE verhindert also: Hardware-Beschlagnahme im ausgeschalteten Zustand, Laufwerke, die am Ende der Lebensdauer das Rechenzentrum verlassen, und eine kalte Kopie Ihres virtuellen Datenträger-Images. Sie verhindert nicht: einen Angreifer auf dem laufenden System oder einen Gegner auf Hypervisor-Ebene gegen eine laufende VM. Das sind die ehrlichen Grenzen, und jeder Leitfaden, der sie überspringt, verkauft Komfort.
Das Problem des Remote-Entsperrens
Auf einem Laptop geben Sie die Passphrase beim Booten ein. Auf einem Server zweitausend Kilometer entfernt muss etwas sie liefern, und die naheliegenden Lösungen verfehlen alle den Zweck – eine Schlüsseldatei auf derselben Festplatte oder ein vom Anbieter gespeicherter Schlüssel macht die Verschlüsselung dekorativ.
Es gibt zwei korrekte Antworten. Auf unseren Dedicated- und GPU-Servern verwenden Sie die Out-of-Band-Konsole: IPMI zeigt Ihnen den Boot-Bildschirm und Sie geben die Passphrase ein, als wären Sie lokal. Auf einer VPS legen Sie dropbear-initramfs in das Initial-Ramdisk, sodass die Maschine weit genug bootet, um eine SSH-Verbindung zu akzeptieren, Sie entsperren über diese Verbindung und der Bootvorgang wird fortgesetzt.
Einrichtung
Der saubere Weg ist die Verschlüsselung zum Installationszeitpunkt. Booten Sie ein benutzerdefiniertes ISO über virtuelle Medien, partitionieren Sie mit einem unverschlüsselten /boot und einem LUKS2-Container für alles andere und installieren Sie hinein. Wählen Sie Argon2id als Schlüsselableitungsfunktion – sie ist der LUKS2-Standard und speicherintensiv, was gegen Brute-Force wichtig ist.
Bestellen Sie LUKS bei der Bereitstellung auf jedem Dedicated-, GPU- oder Storage-Plan und wir übernehmen die Partitionierung; Sie geben die Passphrase beim ersten Boot über die Konsole ein und sie berührt niemals unsere Infrastruktur. Es gibt keine Gebühr und keinen Wiederherstellungspfad – das ist dieselbe Aussage, zweimal gesagt.
- cryptsetup luksFormat --type luks2 --pbkdf argon2id /dev/sdaX
- Unverschlüsseltes /boot, alles andere innerhalb des Containers
- apt install dropbear-initramfs auf einer VPS für Remote-Unlock
- SSH-Schlüssel zu /etc/dropbear/initramfs/authorized_keys hinzufügen
- Testen Sie einen vollständigen Neustart, bevor Sie etwas darauf legen
- Behalten Sie einen zweiten Schlüsselschacht mit einer an sicherem Ort gespeicherten Passphrase
Zwei Dinge, die falsch gemacht werden
Das erste ist, nur einen Schlüsselschacht zu haben. LUKS2 unterstützt acht; verwenden Sie mindestens zwei, wobei der zweite eine lange zufällige Passphrase enthält, die in einem Passwortmanager aufbewahrt wird. Eine einzelne vergessene Passphrase ist unwiederbringlich, und unwiederbringlich bedeutet unwiederbringlich.
Der zweite Fehler ist, einen Neustart nicht zu testen, bevor man Daten auf die Maschine legt. Ein falsch konfiguriertes dropbear-initramfs macht aus dem ersten ungeplanten Neustart eine Maschine, die nie wieder startet. Starten Sie sie bewusst zweimal neu, solange sie noch leer ist.
Häufig gestellte Fragen
01 Kann mein Anbieter eine verschlüsselte Festplatte lesen?
Im Ruhezustand nicht. Bei einem laufenden VM kann ein Hypervisor-Betreiber prinzipiell den Arbeitsspeicher lesen, der den Schlüssel enthält – das gilt für jeden Virtualisierungsanbieter. Bare Metal mit LUKS entfernt diese Schnittstelle.
02 Wie entsperre ich einen Server, den ich nicht anfassen kann?
Out-of-Band-IPMI-Konsole bei dedizierten und GPU-Servern oder dropbear-initramfs bei einem VPS – die Maschine bootet weit genug, um SSH zu akzeptieren, Sie entsperren darüber, und der Bootvorgang wird fortgesetzt.
03 Was, wenn ich die Passphrase vergesse?
Die Daten sind verloren. Es gibt keine Wiederherstellung, keine Hintertür und keinen vom Anbieter gehaltenen Schlüssel. Verwenden Sie mindestens zwei LUKS-Key-Slots, wobei der zweite eine lange zufällige Passphrase in einem Passwort-Manager enthält.
Verwandte Themen