บริการรักษาความปลอดภัยบนมินิพีซีที่ใช้ Ubuntu

ฉันกำลังทำงานเพื่อเริ่มต้นสร้างผลิตภัณฑ์ที่จะเปิดตัวพร้อมฮาร์ดแวร์ที่จำเป็น

ฮาร์ดแวร์เป็นมินิพีซีที่ใช้ Ubuntu 20.04 แอปพลิเคชันประกอบด้วยบริการ python ภายในคอนเทนเนอร์นักเทียบท่า ฐานข้อมูล และโมเดลการเรียนรู้เชิงลึกบางส่วน ดังนั้นโดยหลักแล้ว มินิพีซีจึงถูกใช้แทนเซิร์ฟเวอร์ ผู้ใช้เข้าถึงแอปพลิเคชันโดยเชื่อมต่อกับฮอตสปอต สำหรับลูกค้าบางราย ฮาร์ดแวร์จะถูกปิดช่องว่าง

ฉันไม่สามารถลงรายละเอียดได้มากนัก แต่การกำหนดค่าเหมาะสมในกรณีการใช้งานพิเศษ

ตอนนี้ฉันได้รับมอบหมายให้รักษาความปลอดภัยฮาร์ดแวร์เพื่อไม่อนุญาตให้แบ่งเบาบรรเทา/แก้ไขแอปพลิเคชัน ฉันได้ทำการวิจัยเล็กน้อย (ดูด้านล่าง) แต่ฉันไม่มีความคิดเล็กน้อยว่าจะทำอย่างไรหากสามารถแก้ปัญหานี้ได้อย่างน่าพอใจ

งานวิจัยของฉัน:

• แนวคิดแรกของฉันที่ฉันพบคือการเข้ารหัสพาร์ติชันรูทด้วย LUKS จากนั้นจัดเก็บคีย์ใน TPM - ฮาร์ดแวร์ปัจจุบันไม่รองรับ TPM (หวังว่าจะเป็นสิ่งที่สามารถเปลี่ยนแปลงได้สำหรับการซื้อฮาร์ดแวร์ในอนาคต)
• แนวคิดที่สองคือการเข้ารหัสพาร์ติชันรูทและส่งมอบพาร์ติชันคีย์ด้วย แม้ว่าตอนนี้คุณต้องการสองส่วน แต่ฉันไม่คิดว่านี่จะทำให้ยากขึ้น
• แนวคิดอื่นที่อยู่นอกเหนือความเป็นไปได้ของระบบปฏิบัติการคืออย่างน้อยต้องทำให้รหัสแอปพลิเคชันสับสนด้วยสิ่งอย่างเช่น pyarmor - แต่นี่กลับรู้สึกเหมือนเป็นแถบที่ต่ำมากในการเคลียร์

ฉันได้ลองหาความเป็นไปได้อื่นๆ แล้ว - บางทีข้อความค้นหาของฉันอาจห่วย - แต่ฉันไม่พบวิธีที่น่าพอใจในการแก้ปัญหานี้ ฉันหวังว่าใครสักคนที่นี่จะชี้ทางที่ถูกต้องให้ฉันได้

ดูเหมือนว่าคุณกำลังประดิษฐ์ใหม่ เครื่องใช้.

• หนึ่ง เครื่องใช้ เป็นแพ็คเกจ OS + Software ที่แถมมา บางครั้งมีฮาร์ดแวร์ด้วย เมื่อติดตั้งแล้ว ผู้ใช้จะไม่มีการเข้าสู่ระบบหรือการเข้าถึงระบบปฏิบัติการ การกำหนดค่าและกิจกรรมจะเกิดขึ้นบนอินเทอร์เฟซซอฟต์แวร์, GUI หรือ API ที่ผู้ใช้เผชิญเท่านั้น
• ตัวอย่างที่ https://ubuntu.com/appliance

ใน Ubuntu อุปกรณ์นั้นสร้างได้ง่ายที่สุดโดยใช้ Ubuntu Core โดยมี Snap ที่คุณกำหนดเองอยู่ด้านบน Ubuntu Core และ Snaps ได้รับการออกแบบมาสำหรับการใช้งานประเภทนี้

Ubuntu Server ไม่ได้ออกแบบมาสำหรับกรณีการใช้งานที่คุณอธิบาย

การเข้ารหัสเป็นสิ่งที่แตกต่างจากการรักษาความปลอดภัย การเข้ารหัสจะป้องกันไม่ให้ผู้อื่นเข้าถึงข้อมูลของคุณในกรณีที่ถูกขโมยเท่านั้น การดัดแปลงจะทำบนระบบที่กำลังทำงานอยู่ และในขณะนั้นระบบจะถูกปลดล็อค

ในการทำให้ Ubuntu(/ ระบบของคุณ) ปลอดภัย:

• อัปเดตระบบของคุณโดยเร็วที่สุดและใช้การอัปเดตความปลอดภัยเสมอ เข้าร่วมกลุ่มส่งจดหมายเพื่อความปลอดภัยเพื่อรับการอัปเดตทันทีเกี่ยวกับช่องโหว่ ฉันได้รับรายงานเกี่ยวกับ CVE 99% นั้นไม่น่าสนใจ แต่การรู้ 1 ครั้งก็เป็นเรื่องดี (ข้อผิดพลาดของ OpenSSL)
• ใช้รหัสผ่านที่เหมาะสมสำหรับผู้ดูแลระบบและบังคับใช้รหัสผ่านที่เหมาะสมสำหรับผู้ใช้รายอื่น และเปลี่ยนรหัสผ่านผู้ดูแลระบบ.
• อย่าติดตั้งซอฟต์แวร์ของบุคคลที่สามเว้นแต่คุณจะยอมรับผู้สร้าง/ผู้ดูแลได้ ยึดติดกับฐานให้มากที่สุด
• ลบซอฟต์แวร์ทั้งหมดที่คุณไม่ได้ใช้ หากเป็นเซิร์ฟเวอร์: ไม่มีเดสก์ท็อป ใช้บรรทัดคำสั่ง
• ทำการสำรองข้อมูล เขียนแผนฉุกเฉิน และฝึกฝน

ทำให้งงงวยรหัสแอปพลิเคชัน

ที่ไม่เคยทำงาน คุณควรพิจารณาใครก็ตามที่ไม่ควรเข้าถึงแต่กำลังเข้าถึงระบบของคุณเพื่อให้ฉลาดพอที่จะตรวจสอบได้

สิ่งหนึ่งที่เรากำลังย้ายไปอยู่ในขณะนี้คือการแยกเซิร์ฟเวอร์: ซอฟต์แวร์ ฐานข้อมูล และแจสเปอร์เซิร์ฟเวอร์ของเราต่างก็อยู่ในอินสแตนซ์ของตัวเอง 2 ตัวสุดท้ายไม่มีการเชื่อมต่อกับอินเทอร์เน็ตและสามารถพูดคุยกับเซิร์ฟเวอร์ที่มีซอฟต์แวร์เท่านั้น