搜索

[2373] 2015-10-19_分享｜物理服务器的安全

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2015-10-19_分享｜物理服务器的安全 分 享 ｜ 物 理 服 务 器 的 安 全 M o o n z . W u   E 安 全   2 0 1 5 - 1 0 - 1 9 欢 迎 E 安 全 微 信 公 众 号 ： E A Q a p p 随 着 虚 拟 技 术 与 云 计 算 的 火 热 ， 越 来 越 多 的 人 将 注 意 力 放 在 了 虚 拟 机 与 虚 拟 网 络 的 安 全 上 面 。 当 然 确 实 也 是 目 前 一 个 趋 势 与 发 展 方 向 ， 但 虚 拟 化 的 安 全 与 物 理 设 备 的 安 全 就 如 同 一 个 天 平 的 两 端 ， 过 于 重 视 一 端 就 可 能 遗 漏 了 另 一 端 的 问 题 。 今 天 我 想 聊 聊 物 理 服 务 器 层 面 的 安 全 问 题 。 为 什 么 大 家 容 易 忽 视 物 理 服 务 器 的 安 全 问 题 ？ 为 什 么 大 家 容 易 忽 视 物 理 服 务 器 的 安 全 问 题 ？ 我 认 为 有 以 下 几 个 可 能 的 原 因 ： 服 务 器 设 备 通 常 放 置 于 相 对 安 全 的 机 房 当 中 ， 通 常 在 企 业 防 火 墙 后 面 能 接 触 到 设 备 的 人 员 比 较 有 限 对 于 物 理 设 备 上 发 现 的 问 题 通 常 用 户 无 法 解 决 ， 或 是 无 法 通 过 安 装 防 御 软 件 来 解 决 不 容 易 被 攻 击 ， 毕 竟 这 个 时 代 能 攻 击 到 物 理 设 备 的 方 式 远 没 攻 击 虚 拟 设 备 的 多 所 以 用 户 不 关 心 ， 运 维 人 员 也 不 关 心 ， 厂 家 也 省 事 。 但 这 样 真 的 没 问 题 了 吗 ？ 显 然 不 是 。 俗 话 说 “ 外 贼 易 防 ， 家 贼 难 防 ” ， 假 设 某 个 运 维 人 员 偷 偷 的 植 入 了 一 段 B I O S 启 动 代 码 ， 可 以 说 市 面 上 所 有 的 安 全 软 件 都 是 无 法 检 测 出 来 的 。 这 也 是 为 什 么 要 有 S e c u r e   B o o t 技 术 ， 一 种 在 系 统 的 启 动 阶 段 进 行 保 护 ， 使 得 操 作 系 统 运 行 在 一 个 可 信 的 物 理 环 境 上 的 技 术 。 这 里 只 举 一 个 例 子 来 说 明 物 理 设 备 的 安 全 问 题 ， 尽 管 没 那 么 明 显 但 是 一 般 都 是 非 常 严 重 并 且 难 以 处 理 的 问 题 。 物 理 服 务 器 安 全 的 方 方 面 面 物 理 服 务 器 安 全 的 方 方 面 面 大 家 都 知 道 服 务 器 有 一 部 分 部 件 与 P C 相 似 ， 如 C P U ， 内 存 ， 磁 盘 ， 网 卡 ， 显 卡 ， 风 扇 等 ， 但 还 有 一 部 分 是 特 有 的 ， 如 传 感 器 ， P S U ， R A I D 卡 ， 固 件 芯 片 等 。 另 外 服 务 器 也 有 一 些 内 嵌 的 软 件 模 块 ， 如 B I O S ， B M C 以 及 厂 家 自 己 研 发 的 嵌 入 式 软 件 。 所 有 的 这 些 都 可 能 存 在 漏 洞 问 题 ， 如 内 存 的 R o w   H a m m e r 漏 洞 ， C P U 的 S 3 读 取 P C H 模 块 脚 本 未 被 保 护 问 题 等 。 还 有 一 部 分 涉 及 到 的 是 嵌 入 式 软 件 的 问 题 ， 通 常 服 务 器 是 需 要 以 2 4 × 7 的 强 度 来 运 行 的 ， 这 对 服 务 器 的 稳 定 性 提 出 了 很 高 的 要 求 。 因 此 服 务 器 内 有 大 量 的 传 感 器 来 监 视 服 务 器 的 健 康 状 态 ， 如 温 度 传 感 器 ， 风 扇 传 感 器 ， P S U 传 感 器 等 ， 所 以 厂 家 通 常 会 开 发 一 些 嵌 入 式 软 件 来 监 控 这 类 的 设 备 ， 这 里 最 出 名 的 莫 过 于 板 载 控 制 器 （ B M C ） 了 ， 基 本 上 主 流 两 路 以 上 的 服 务 器 都 会 具 有 B M C 。 此 外 还 有 其 他 外 围 的 设 备 如 显 卡 ， R A I D 卡 ， 网 卡 等 板 卡 设 备 。 在 进 行 更 细 致 的 分 析 前 ， 请 大 家 看 一 下 与 服 务 器 安 全 相 关 的 全 景 图 :
物 理 服 务 器 安 全 之 硬 件 部 分 物 理 服 务 器 安 全 之 硬 件 部 分 对 于 硬 件 层 面 的 安 全 问 题 主 要 集 中 在 可 信 计 算 方 面 ， 建 立 一 个 安 全 可 信 的 运 行 环 境 是 可 信 计 算 的 主 要 目 的 。 T P M 安 全 芯 片 是 目 前 业 界 的 主 流 解 决 方 案 ， 也 是 很 多 上 层 安 全 技 术 的 基 础 。 它 解 决 以 下 几 个 问 题 ： 存 储 ， 管 理 秘 钥 ， 如 B I O S 密 码 ， 硬 盘 加 密 密 码 等 生 成 秘 钥 ， 使 用 不 同 的 加 密 算 法 来 创 建 磁 盘 加 密 ， 为 上 层 提 供 磁 盘 加 密 功 能 ， 如 W i n d o w s 的 B i t l o c k e r 以 及 其 他 加 解 密 相 关 的 支 持 ， 如 生 成 随 机 数 T P M 本 质 上 是 一 个 安 全 的 协 处 理 器 。 服 务 器 上 C P U 众 多 ， 为 什 么 还 需 要 一 个 这 样 的 协 处 理 器 呢 ？ 加 解 密 工 作 是 一 个 非 常 耗 C P U 的 任 务 ， 如 果 你 的 程 序 里 有 进 行 加 解 密 运 算 ， 你 一 定 要 警 惕 它 的 性 能 问 题 。 记 得 早 前 的 一 个 做 信 用 卡 卡 号 处 理 的 项 目 ， 当 数 据 量 少 时 一 切 正 常 ， 一 旦 数 据 量 大 到 一 定 程 度 ， C P U 就 是 1 0 0 % 。 当 时 我 们 分 析 了 各 种 原 因 ， 有 人 说 是 内 存 太 小 导 致 频 繁 磁 盘 交 换 ， 有 人 说 线 程 太 多 ， 任 务 切 换 过 于 频 繁 等 。 最 后 拿 性 能 剖 析 工 具 一 查 ， 才 知 道 是 加 解 密 模 块 吃 掉 了 所 有 C P U 计 算 资 源 。 因 此 对 于 服 务 器 来 说 ， 尽 管 C P U 很 多 但 是 还 是 需 要 一 个 专 业 干 加 解 密 的 硬 件 设 备 。 说 到 T P M 就 不 得 不 提 T C G （ 可 信 计 算 组 ） ， 这 是 一 个 由 主 流 设 备 生 产 厂 商 发 起 的 组 织 ， 主 要 的 目 的 是 解 决 当 时 业 界 已 经 面 临 的 个 人 计 算 平 台 安 全 问 题 。 具 体 的 历 史 可 以 查 看 维 基 百 科 ， 但 也 不 是 所 有 人 都 认 同 可 信 计 算 的 ， 主 要 的 争 论 点 是 采 用 可 信 计 算 方 案 相 当 于 个 人 的 信 息 对 这 些 厂 家 来 说 是 公 开 的 ， 也 就 是 一 个 对 厂 家 公 开 的 后 门 。 所 以 在 国 内 ， 政 府 的 要 求 是 采 用 T C M 而 不 是 T P M ， T C M 与 T P M 功 能 类 似 ， 唯 一 不 同 是 加 密 算 法 是 采 用 国 内 研 究 机 构 开 发 的 。 安 全 嘛 ， 只 有 自 己 人 才 可 信 ： ） 。 物 理 服 务 器 安 全 之 嵌 入 式 软 件 部 分 物 理 服 务 器 安 全 之 嵌 入 式 软 件 部 分 说 起 来 软 件 程 序 面 临 的 安 全 问 题 基 本 都 很 类 似 ， 不 管 是 嵌 入 式 软 件 ， 应 用 软 件 ， w e b 系 统 ， 你 所 面 临 的 安 全 问 题 大 多 有 以 下 几 种 ： 加 解 密 算 法 是 否 足 够 安 全 网 络 连 接 是 否 安 全 数 字 签 名 与 证 书 相 关 的 安 全
存 储 是 否 安 全 程 序 越 界 问 题 注 入 攻 击 问 题 代 码 漏 洞 问 题 权 限 控 制 问 题 B I O S 作 为 现 代 计 算 机 的 基 础 软 件 ， 几 十 年 来 地 位 就 没 变 过 。 但 与 它 相 关 的 技 术 倒 是 发 生 了 一 些 变 化 ， 从 早 期 的 汇 编 ， C ， E F I 到 现 在 的 U E F I ， 从 功   能 角 度 来 说 丰 富 了 不 少 。 嵌 入 式 软 件 终 于 也 可 以 画 出 一 些 相 对 漂 亮 的 界 面 来 给 用 户 了 。 也 正 是 由 于 它 比 较 基 础 对 于 它 的 保 护 是 必 不 可 少 的 ， 了 解 病 毒 历 史 的 读 者 可 能 还 记 得 9 0 年 代 的 C I H 病 毒 ， 这 个 病 毒 影 响 意 义 深 远 。 而 S e c u r e   b o o t 技 术 的 目 的 就 是 让 B I O S 在 引 导 系 统 启 动 的 时 候 具 备 足 够 安 全 性 。 看 一 下 S e c u r e   B o o t 的 过 程 ： 由 于 B I O S 程 序 对 外 没 有 网 络 访 问 的 能 力 ， 所 以 安 全 问 题 相 对 来 说 简 单 一 些 ， 主 要 是 U E F I 的 漏 洞 问 题 。 而 B M C 就 不 一 样 了 ， 这 个 功 能 强 大 的 家 伙 问 题 也 是 最 多 的 。 可 以 这 么 说 物 理 服 务 器 涉 及 到 的 安 全 问 题 有 一 大 半 是 出 在 B M C 身 上 。 你 可 能 会 问 都 有 哪 些 问 题 ？ 我 只 能 说 几 乎 上 面 提 到 的 所 有 问 题 ， 因 为 它 就 是 一 个 用 于 处 理 硬 件 问 题 的 w e b 应 用 。 B M C 有 哪 些 功 能 ， 看 看 这 张 截 图 ： 它 使 用 一 个 微 型 的 嵌 入 式 L i n u x 内 核 ， 并 通 常 带 有 一 个 w e b 栈 。 B M C 对 外 支 持 多 种 协 议 ， 如 H T T P ， I P M I ， S N M P ， C I M 等 等 。 而 这 里 面 用 的 最 多 的 ， 并 且 安 全 性 最 差 的 就 是 I P M I 协 议 了 。 I P M I 协 议 是 一 个 事 实 上 的 服 务 器 管 理 标 准 协 议 ， 几 乎 所 有 的 服 务 器 都 会 支 持 它 （ 当 然 有 的 服 务 器 如 果 没 有 B M C ， 通 常 也 会 有 A M T 技 术 做 替 代 ） 。 而 被 广 为 诟 病 的 是 I P M I 协 议 中
R A K P 使 用 的 S H A 1 进 行 秘 钥 哈 希 运 算 问 题 ， 这 是 一 个 已 知 的 并 且 广 泛 存 在 的 问 题 。 我 们 只 能 通 过 禁 用 I P M I 的 远 程 访 问 来 绕 过 它 ， 但 是 如 果 没 有 远 程 的 能 力 ， 对 于 具 有 成 千 上 万 台 服 务 器 的 数 据 中 心 来 说 ， 单 单 是 关 机 / 重 启 这 样 简 单 的 操 作 就 是 一 个 恶 梦 。 因 此 各 大 厂 商 采 用 H T T P 协 议 来 替 代 I P M I 的 远 程 访 问 （ 有 些 厂 商 采 用 C I M 接 口 ， 但 是 C I M 的 兼 容 性 是 很 大 的 问 题 ） 。 那 么 引 入 H T T P 就 引 入 了 所 有 H T T P 可 能 遇 到 的 安 全 问 题 ， 如 中 间 人 攻 击 ， 证 书 伪 造 ， 跨 站 攻 击 ， 脚 本 注 入 ， D D O S 等 ， 安 全 问 题 也 变 得 日 益 严 峻 。 为 了 解 决 这 些 问 题 ， 引 入 H T T P S 是 最 好 的 方 案 。 在 大 多 数 情 况 下 ， H T T P S 可 以 避 免 中 间 人 与 证 书 伪 造 等 问 题 。 说 到 这 里 又 不 得 不 提 O p e n S S L ， 作 为 业 内 著 名 的 开 源 安 全 库 已 经 有 很 长 的 历 史 了 。 它 是 实 现 S S L 的 主 要 模 块 ， 也 可 以 说 H T T P S 实 现 的 基 础 。 但 是 在 最 近 的 一 年 里 O p e n S S L 接 连 报 出 几 个 大 的 漏 洞 问 题 ， 如 H e a r t   B l e e d i n g ， F r e a k   A t t a c k 等 ， 给 广 大 厂 商 和 用 户 带 来 了 很 多 麻 烦 。 虽 然 O p e n S S L 的 补 丁 不 断 ， 但 是 官 方 已 经 声 明 在 2 0 1 5 年 年 底 停 止 对 0 . 9 . 8 分 支 的 支 持 ， 2 0 1 6 年 底 停 止 对 1 . 0 . 0 和 1 . 0 . 1 分 支 的 支 持 。 这 是 好 事 也 是 坏 事 ， 好 事 是 我 们 不 需 要 再 为 旧 版 本 漏 洞 担 忧 了 ， 而 坏 事 是 你 不 得 不 为 升 级 库 比 进 行 大 量 测 试 。 B I O S 与 B M C 是 服 务 器 上 嵌 入 式 软 件 的 两 个 主 要 部 分 ， 当 然 还 有 其 他 的 如 厂 商 自 行 研 发 的 部 署 软 件 等 ， 还 有 驱 动 的 问 题 等 不 一 而 足 。 另 外 遇 到 的 挑 战 是 通 常 更 新 这 些 补 丁 需 要 重 启 服 务 器 ， 而 对 于 需 要 持 续 运 行 的 服 务 器 来 说 重 启 是 比 较 困 难 的 。 因 此 现 实 的 情 况 是 很 多 服 务 器 都 是 带 着 大 量 的 安 全 漏 洞 在 跑 的 ， 幸 运 的 是 服 务 器 管 理 网 络 与 业 务 网 络 是 物 理 隔 离 的 ， 被 外 部 攻 击 的 可 能 性 比 较 低 。 物 理 服 务 器 安 全 之 其 他 内 容 物 理 服 务 器 安 全 之 其 他 内 容 从 概 览 图 里 可 以 看 出 来 ， 与 服 务 器 安 全 相 关 的 内 容 有 很 多 。 如 标 准 ， 美 国 有 美 国 的 标 准 ， 中 国 有 中 国 的 标 准 。 通 常 来 说 美 国 的 标 准 比 中 国 的 全 面 而 且 严 格 一 些 ， 如 美 国 标 准 对 固 件 更 新 就 有 明 确 的 安 全 规 定 。 所 以 大 家 在 采 购 服 务 器 的 时 候 可 以 询 问 一 下 所 符 合 的 标 准 。 另 外 还 有 测 试 方 法 与 工 具 ， 测 试 原 则 ， 漏 洞 管 理 等 。 目 前 来 说 对 于 物 理 服 务 器 安 全 问 题 的 解 决 ， 还 是 以 厂 家 提 供 的 补 丁 为 主 ， 建 议 用 户 对 严 重 的 问 题 进 行 及 时 的 更 新 ， 并 密 切 关 注 各 个 厂 家 的 安 全 响 应 页 面 （ 可 以 搜 索 P S I R T 关 键 字 来 了 解 ） 。 最 后 ， 个 人 觉 得 安 全 问 题 归 根 到 底 还 是 人 的 意 识 问 题 。 单 有 工 具 没 有 安 全 意 识 也 是 白 扯 ， 就 像 一 个 全 副 武 装 战 士 ， 掉 进 敌 人 挖 的 坑 里 也 是 没 救 的 。 所 以 提 高 安 全 防 范 意 识 是 人 们 的 首 要 任 务 。 如 果 是 开 发 团 队 ， 引 入 安 全 验 证 过 程 ， 采 用 漏 洞 扫 描 工 具 N e s s u s ， A p p S c a n 进 行 安 全 检 测 。 如 果 是 运 维 团 队 ， 关 注 业 界 安 全 漏 洞 网 站 ， 采 用 工 具 进 行 定 期 的 扫 描 ， 增 加 审 计 过 程 如 果 是 个 人 用 户 ， 除 了 安 装 杀 毒 软 件 外 ， 就 是 不 要 登 陆 不 了 解 的 网 站 。 下 载 程 序 时 注 意 网 站 提 供 的 哈 希 码 ， 这 是 防 止 程 序 被 篡 改 的 关 键 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理