एक एन्क्रिप्टेड फ़ाइल सिस्टम (इसके या सभी भाग) के साथ एक वेब सर्वर चलाना

Question

मुझे एक वर्चुअल मशीन (# 1) के अंदर चलने वाले एक वेबसर्वर (LAMP) की आवश्यकता है जो हेडलैस मोड (# 3) में एक सेवा के रूप में चल रहा है (# 3) भाग के साथ या संपूर्ण फ़ाइल सिस्टम एन्क्रिप्टेड (# 4)।

वर्चुअल मशीन को उपयोगकर्ता के हस्तक्षेप के साथ शुरू किया जाएगा और होस्ट मशीन में उपयोगकर्ताओं के लिए एक वेब एप्लिकेशन तक पहुंच प्रदान करेगा। अंक # 1, # 2 और # 3 की जाँच की जाती है और सन वर्चुअलबॉक्स के साथ काम करना ठीक साबित होता है, इसलिए मेरा प्रश्न # 4 के लिए है:

क्या मैं सभी फ़ाइल सिस्टम को एन्क्रिप्ट कर सकता हूं और फिर भी वेबसर्वर (ब्राउज़र का उपयोग करके) एक्सेस कर सकता हूं या GRUB मुझसे पासवर्ड मांगेगा?

यदि फ़ाइल सिस्टम के सभी को एन्क्रिप्ट करना एक विकल्प नहीं है, तो क्या मैं केवल एन्क्रिप्ट कर सकता हूं /home तथा /var/www? क्या Apache / PHP फाइलों का उपयोग करने में सक्षम होगा /home या /var/www पासवर्ड के बिना पूछे या मैन्युअल रूप से इन विभाजनों को बढ़ाना?

Comments

तुम ऐसा क्यों करना चाहते हो?

— akira

समझदार डेटा के साथ ग्राहक के लिए एक छवि शिप करें - हमारा क्लाइंट चाहता है कि यह डेटा केवल वेब ब्राउज़र के माध्यम से सुलभ हो

आप उस फ़ाइल सिस्टम के क्षेत्र को एन्क्रिप्ट करने पर भी विचार कर सकते हैं जहाँ आपका वेबसाइट डेटाबेस संग्रहीत है। मैं यह मान रहा हूं कि बेशक आपकी साइट एक डेटाबेस का उपयोग करती है, जैसा कि कई प्रकार करते हैं, उदा। Wordpress, Drupal और अन्य फ्रेमवर्क / सेमी। डेटाबेस प्रक्रिया, उदा। mysql या maria से db को फाइल सिस्टम में फाइलों के रूप में कहीं स्टोर किया जाएगा। +1 अच्छा सवाल।

— therobyouknow

आप अपने स्वैप को भी एन्क्रिप्ट करने पर विचार कर सकते हैं। यहाँ एक उदाहरण है: askubuntu.com/questions/463661/...

— therobyouknow

Answer 1

यदि आप पूर्ण डिस्क एन्क्रिप्शन चाहते हैं, तो आपको बूटपेज़ के दौरान पासवर्ड दर्ज करना होगा, जो संभवतः वह नहीं है जो आप चाहते हैं। मैं आपको ल्यूक्स का उपयोग करके एक एन्क्रिप्टेड विभाजन बनाने की सलाह दूंगा और उस विभाजन पर सभी समझदार डेटा डालूंगा। मशीन के बूट हो जाने के बाद, आप बॉक्स में ssh कर सकते हैं और विभाजन को अनलॉक कर सकते हैं।

एन्क्रिप्शन कैसे करें, इसका बहुत आसान तरीका है:

• अपनी पसंद के अनुसार पार्टीशन बनाएं

• विभाजन को लूक्स के साथ प्रारूपित करें:

  cryptsetup -c twofish -y luksFormat /dev/sda4
  

• विभाजन को लूक्स के साथ अनलॉक करें:

  cryptsetup luksOpen /dev/sda4 encwww
  

• अपनी पसंद की एफएस के साथ एन्क्रिप्टेड विभाजन को प्रारूपित करें:

  mkfs.ext3 /dev/mapper/encwww
  

• आप कर रहे हैं और अब माउंट कर सकते हैं /dev/mapper/encwww

एक रिबूट के बाद विभाजन को फिर से अनलॉक करने के लिए आपको करना होगा:

cryptsetup luksOpen /dev/sda4 encwww

और फिर विभाजन को माउंट करें।

Comments

आपके उत्तर के आधार पर, मैं यह नहीं देखता कि एक बदमाश प्रक्रिया को रोकना क्या है जो उन आदेशों को चलाने और आपके संवेदनशील डेटा को देखने से रूट एक्सेस प्राप्त कर चुका है। क्या तुम समझा सकते हो?

— trusktr

@trusktr कोई भी प्रक्रिया नहीं होगी, क्योंकि यह पासवर्ड नहीं जानता है। लेकिन आप अपना पासवर्ड दर्ज करने के बाद सभी फाइलों को पढ़ सकेंगे। यदि आपके पास अपने कंप्यूटर पर एक रूटकिट है, तो आप निश्चित रूप से हाथ में कहीं अधिक समस्याएं हैं।

— Tim Schumacher

+1 अच्छा उत्तर, मैं अपनी आवश्यकताओं के लिए आवेदन करूंगा। मैं इस बात पर भी विचार करूंगा कि उस क्षेत्र को कैसे एन्क्रिप्ट किया जाए जहां डेटाबेस संग्रहीत है और यदि मैं कर सकता हूं तो प्रतिक्रिया दें। यह मामला ऐसा लगता है कि यह आगामी जीडीपीआर कानून के अनुसार अधिक प्रासंगिक हो जाएगा।

— therobyouknow

@TimSchumacher तो हर बार सर्वर को रिबूट करने की आवश्यकता होती है, सामग्री को माउंट करने या डिक्रिप्ट करने के लिए sudo पासवर्ड की आवश्यकता होती है, है ना?

— SaidbakR

Answer 2

cryptsetup और dm-crypt isnt मानक-लिनक्स-वितरण पर उपलब्ध है और यह काफी विदेशी समाधान है, आपको इसे सामान्य तरीके से करने की कोशिश करनी चाहिए:

modprobe loop
modprobe cryptoloop
modprobe aes

dd if=/dev/urandom of=/yourContainerFile bs=`expr 1024 \* 1024 \* 1024` count=yourSizeInGigaBytes

losetup -e aes-256 /dev/loop0 /yourContainerFile

mkfs.ext3 /dev/loop0

आआंद अब आप माउंट / देव / लूप 0 के लिए तैयार हैं जहाँ भी आप चाहें - मजबूत एन्क्रिप्शन, सही ढंग से किया; आप अपने fstab को उस तरह से भी कॉन्फ़िगर कर सकते हैं, जो एन्क्रिप्शन-की को USB- स्टिक से पढ़ने की अनुमति देता है, जिसे @ बूट में प्लग किया जाना है ... और अधिक लचीला और सुरक्षित - & gt; कभी भी उन गाइडों का पालन न करें जो "ट्वोफिश" या एन्क्रिप्शन के समान कुछ का उपयोग करते हैं ... इस एल्गोरिथ्म का अभी तक पूरी तरह से विश्लेषण नहीं किया गया है, कोई नहीं जानता कि क्या यह सुरक्षित है।

ओह और: यदि आप गुप्त एजेंसियों के दायरे और शक्ति से परे सुरक्षा चाहते हैं: उपयोग करें

/dev/random

बजाय। लिनक्स का एन्ट्रापी-सभा ​​डेमॉन सांख्यिकीय रूप से "अच्छा" मान देता है, लेकिन यह बहुत धीमा है।

और यदि आप वास्तव में पागल हैं, तो अपने आप को एक उपकरण खरीदें जो प्राप्त करने में सक्षम है & amp; कॉस्मिक बैकग्राउंड रेडिएशन को मापें, इसे अपने कंप्यूटर से कनेक्ट करें और इसे करने दें लिखो / देव / यादृच्छिक :-D

Comments

इसके अनुसार en.wikipedia.org/wiki/Cryptoloop , डीएम-क्रिप्ट एक निश्चित भेद्यता (वॉटरमार्किंग) को रोकता है जो क्रिप्टोकरंसी के साथ देखा जाता है। इस पर आपके क्या विचार हैं?

— trusktr