имеет ли смысл шифровать диск облачного виртуального сервера?

А что, жалко что ли? Если шапочку носишь, то шифруйся два раза с сложным паролем на листочке.

Если тебя беспокоит возможность кражи данных хостером то про vps забудь. Как минимум нужен физический сервер (хотя проверить что тебя не обманули и не подсунули vps - надёжно не получится), лучше - свой собственный, а ещё лучше - на своей (физически) территории.

Если же настолько не беспокоит что готов использовать vps, то по-моему незачем тратить силы на бесполезные шифрования.

Ну не совсем соглашусь. Да - если скрываться от хостера как организации в целом или сотрудника хостера который охотится лично за твоими данными - то да, смысла нет. Но вот от случайной утечки поможет.

Не могу представить сценарий, наглядно демонстрирующий твоё заявление. Всмысле, полную историю возникновения опасений и их последующей реализации.

ну придет какой-ниюудь прыщавый младший админчег возомнивший себя какером - а нука гляну что тут у кого интересненького лежит.

скрывать от хостера ничего не получится, ибо ключ доступа должон там же у хостера гдето лежать для старта системы.
да и будучи хитрожопо лежащим отдельно и запрашиваемым при старте снаружи, один фих зависнет в памяти, ибо для работы нужон. а память впс хостеру доступна чуть больше чем полностью.
и от случайной утечки не спасет, ибо стечь может всё в том числе и ключ в дампе памяти.
т.е. смысла нет.

данные лежащие не у тебя, принадлежат не тебе :) квасика жанра.

Как минимум нужен физический сервер

а еще пропатчить ядро, чтобы ключи шифрования всегда лежали не в памяти, а в паре регистров процессора

дамп памяти включает в себя все регистры проца :)
хостер имеет более чем «рутовые» права на подконтрольную впс-систему.

Если хостеру твои данные не интересны то шифровать и сысла нет, а если интересны, то тоже нет т.к. у него физический доступ.

ибо ключ доступа должон там же у хостера гдето лежать для старта системы.

Зачем ему это?

В теории, насколько я поминаю, если держать шифрованную ФС с ручным вводом пароля, то хотя бы от «положил образ твоей вируталки в карман и унёс домой» должно же уберечь.

Есть еще одна квасика - пришел поработать на должность младшего уборщика, стащил что плохо лежит и уволился. Говоря о хостере вы тут имеете в виду каких-то мегаадминов которые будут дамп памяти выковыривать, дешитфровывать чего-то. Но осоновная массу утечек идет не через мегагуру а от всякой мелкой шушеры. И тут задача чтобы ваше просто плохо не лежало.

Это не сценарий а одна строчка из него, которая непонятно какое в целом отношение к делу имеет. Я имею ввиду полную историю со всеми подробностями - чем занят сервер, почему ты боишься утечек, какие утечки могут случиться (описание каждой утечки: такие-то данные таким-то образом попали к такому-то человеку, и он таким-то вредоносным способом их реализовал), как оцениваешь их шансы (у каждой), как борешься, какая именно утечка случилась, как тебе это навредило, какой процент шанса реализовался в описанных событиях.

И так вот, фразе «от случайной утечки поможет» я тут хоть сколько-то значимого места не вижу.

каждый раз будешь вводить ключ при старте впс ?? :) а они как обычно всегда происходят не вовремя.
ди в принципе пофих на это, хостер имеет неограниченный доступ к памяти впс, в которой находится ключ, ибо он нужен для доступа к зашифрованному носителю. хостер дампит память и вытаскивает оттуда ключ. скорей всего ты такое даже не заметишь. систему максимум остановят на долю секунды и все ок.

сейчас даже мелкая шушера имеет достаточные познания чтобы. я вот вообще не имею отношения к ИТ-специальностям, просто общаясь/играясь с линухой, попутно набрался всякого…

че?

Против некоторых векторов атаки защитит. Почему бы и нет. Если не смущают неудобства в виде ввода ключа при загрузке.

не знал что в дамп включается состояние процессора, сиречъ содержимое всех его регистров ?? или чё не понятно

Можно файлы запихнуть в Postgres и https://www.postgresql.org/docs/current/encryption-options.html

Зависит то того, насколько приватны данные, которые ты там хранишь. Раз такой вопрос возник, то скорее имеет, чем нет.

какой еще дамп?

разъясняю для трудных и самоуверенных

тебе дан сервер, который расшифрован удаленно через ссх, ключи от люкса лежат в xmm регистрах юсб отключен, загрузка новых модулей отключена

какой еще дамп ты собрался получать?

Прочитай, что означает буква V в VPS.

любой из того, что имеется в системе :)
впс ставят на паузу, значения xmm-регистров (хоть чего-либо еще) сливают, впс снимают с паузы…. профит - никто ни чего не заметит :)
хостер имеет абсолютный доступ к твоей впс, мальчик.

Я шифрую. Понятно что можно из ОЗУ задампить, но если кто сопрёт диск/сервер или попробует с хоста пошариться по содержимому контейнера, не прочитает - уже хорошо.

Твой сарказм неуместен, перечитай ветку диалога (можно переходить по ссылке «ответ на» и читать всё более ранние), а то отвечаешь не в тему.

впс

ты бы хоть читал, на что отвечаешь

Прочитай, что означает буква V в VPS.

та же рекомендация

Такая мера наверно повышает сложность атаки, но по-моему тоже обходится при желании. Память можно не только дампить но и патчить, раз уж в эту сторону пошли.

активное иомму не позволит

вдумчиво читаем название темы, особливо два последних слова :)

Ещё раз - пройди по цепочке ответов и вспомни историю диалога. Не надо отвечать не читая. Ты отвечал не на стартовый пост темы а влез в диалог.

ты когда отвечаешь кому-то читай пост, а не только заголовок, василий.

Зависит от способа проведения этих действий. Чтобы надёжно закрыть все относительно простые способы - за пределами кристалла проца вообще не должно быть ничего незашифрованного ни в какой момент времени.

согласен, х86 для этого не особо предназначена, всюду подпорки приходится лепить. но это минимум, что необходим.

тут как в анекдоте про убегающих от медведя и кроссовки «мне главно не убежать о тмедведя, а бежать быстрее тебя»

пока большинство ничего не шифрует, вероятность, что ради тебя колд-бут атаку будут предпринимать или кастомный фпга в ПСИе слот ставить сильно низкая

Ну хоть кому-то это нужно, ура.

Краткий ответ:

1. это имеет смысл

2. выбирайте облако, где это есть

1. Технологии

Всё базируется на возможностях процессоров:

• Intel total memory encryption
• AMD Secure Encrypted Virtualization

Возможность шифрования ОЗУ VM есть в ПО для виртуализации:

• KVM и OpenStack, соответственно
• VMWare (ссылку лень гуглить)
• HyperV (https://learn.microsoft.com/en-us/windows-server/security/guarded-fabric-shielded-vm/guarded-fabric-and-shielded-vms)

2. Целесообразность.

На мой взгляд, это имеет смысл, и в будущем будет стандартом де-факто, примерно как сейчас становится всё более популярным шифрование дисков ноутбуков и телефонов.

Соответственно, кому-то это не нужно вообще (экономия важнее), кому-то — «ну пусть будет», кому-то это — критическое требование.

Есть куча векторов атаки (на бэкапы, на данные на диске, на данные в памяти, на сеть, на данные в БД и т.д.). Какие-то облака от этого лучше защищены, какие-то хуже.

3. Доступность.

Если говорить именно о шифровании памяти, то оно существует и оно используется в AWS и Azure.

По идее, крупные российские облака вполне могут шифровать ОЗУ VM, но это надо проверять.

У меня был следующий опыт: у Selectel’a был (может и есть) кластер VmWare, и когда я к ним обратился с пожеланием получить защищённую VM, то мне отказали (типа да, функционал такой в VmWare есть, но мы его не используем).