Re: [討論] 雲端與掃毒=掃走機密資訊怎麼辦?!

[ggg12345 (ggg)]

: → askeing:如果以老師現在信任VMM的說法，不就推翻 #1Dw4nhyT 的假設  06/10 21:17
: → askeing:再者，PC在使用者手中，上面的OS也在使用者手中，所以能力  06/10 21:17
: → askeing:足夠的情況下，換硬體、換OS、改OS灌上去，都可以做到！    06/10 21:18
: → askeing:還是老師認為雲端服務公司的操作者沒那個能力？            06/10 21:18
: → askeing:而且更加詭譎的是，要設定權限讓Dom0不能做什麼事情，      06/10 21:20
: → askeing:結果還是靠Dom0探下去設定，設定的人也是那個雲端公司的人  06/10 21:20
: → askeing:這不是很奇怪嗎？                                        06/10 21:20
: → askeing:而所謂"敏感的指令"是說sensitive instructions？          06/10 21:21
: → askeing:那就跟現在虛擬化談的安全，要隔離各VM沒什麼關係          06/10 21:22
: → askeing:也許老師看到這名詞誤以為這是在說某些指令很令人敏感，    06/10 21:23
: → askeing:可能會操作到什麼機密資訊。 但是它指的不是這個意思，     06/10 21:23
: → askeing:可以參考 http://tinyurl.com/3k93ba6                     06/10 21:24

===================================================
1.不就推翻 #1Dw4nhyT 的假設?
我不知你說的假設是甚麼?

在記憶體空間不受完全遮蔽保護下, 例如 DMA 可直接搬移 real memory.
而所有 i/o device 及 driver 並不全受 Hypervisor 完全掌控, operator
的層級就能使用一個類似 I/O DMA 的程式逕自進行偷窺, 而 hypervisor
無從察覺, 這才是問題的所在. Operator 可以權限很高, 但敏感指令的動
作一定要被攔截下來, 至少要被記錄下來以供知曉情況, 其他非敏感指令則
可逕自有效執行(這是 system VM 的特色, native vm 指的是這個).

I/O 指令在 X86 是 priviledge instruction, 但目前的做法都是借用
hostos 在 kernel 的 i/o driver 由其逕自處理(VM 對 DMA 與 interrupt
欠缺理論 model, 一般都未述及), 這就使 operator 的權限可不受監控了.
這是融合現有的 VMM 與 hostos driver 成為 真正Hypervisor 的問題, 這
類的是正確性問題, 好解.

就因為 operator 可以將租用者的整個 VM 複製移走, 也就能整份抄走, 這
就需要 secure hypervisor 按機制做必要的其他動作(如 mapper 遮擋, 或
加解密)使得租用者才能有效執行他的程式.

因為 secure hypervisor 在此扮演重要的把關與放行, 其機制是不能被
operator 跳開逃避的, operator 也就不能不守規矩. 各個租用者的加解
密金鑰本來就不是 operator 該知道的權限, 而效率就在何處把關何處執
行該做動作的選擇.

硬體的支援固然很好, 但 X86 不能完全虛擬化就在於對敏感指令動作難做
事先判斷, 而用軟體 patch 或 emulation 卻能快速找到關鍵的指令, 軟
體的 binary translation 或 interpreter 理論上可以執行病毒程式但卻
能免疫不中毒.


→ Lordaeron:基本上, 希望靠"制度" 來維護資訊安全, 是痴人說夢
→ askeing:老師當時不就做了一系列的假設跟對應的方式？
→ askeing:其中之一：「其虛擬機記憶體的實質空間對 host system言,
→ askeing:也是加密隔離的」 這不就是不信任VMM才要跟他隔離？
→ ihon822:開VT不就好了嗎
→ askeing:除非您又要說，HostSystem是Dom0...
→ askeing:似乎覺得老師越扯越遠，L大說的是事實
→ Lordaeron:基本上工作過的人都知道,整個IT 安全在人,不在系統設計
→ Lordaeron:不在公司制度
→ Lordaeron:否則, 不會出現台灣財金公司被盜賣信用卡資訊, 瑞銀被
→ Lordaeron:盜賣德國的逃稅者資訊, 更簡單的, 如sony 被hack,
→ Lordaeron:google被hack, VISA 被hack 等等等...
→ Lordaeron:都是人的問題在作怪, 跟軟體,跟制度無關.
→ Lordaeron:所以對任何跟你說他百分百安全的, 你都可以說,這樣的公
→ Lordaeron:司, 可能百分百不安全, 因為他太滿了.
不用懷疑, 世界上本就沒有打不破的城牆? 圍死你, 你就會開門出來了.
這就是 "人" 的問題.

這是因為現在的硬體架構對 I/O, DMA, interrupt的虛擬化對 system VM
還不夠完整, 無法讓 Secure Module 受到完全隔離保護.
即使硬體架構完全虛擬化了, 也因為現在的使用與管理需求都用到遷移
(migration), 這就涉及掃讀抄走再竊用的問題.

operator 在此權限很大, 所以他不能逃避必要的 check 與記錄, 但若系
統不夠周密(如前述  DMA)在 hypervisor還能管制的地方就能防止這種漏
洞或缺失, 何況遷移時就是被複製移走, 透過 hypervisor 協助一定要加
密才能移出, 對重要的記憶體記載表區加密隱蔽就能防止被竊用.

這是依靠制度方法防止在位能人, 使之有所不能或不敢(如:一定有記錄).

→ Hadoop:不過資安保護功力還是有高下之分的. 至少還沒看到xbox live
→ Hadoop:也緊接著被hack
→ Hadoop:gmail, hotmail也還沒聽過有人真的hack進去把"所有"用戶
→ Hadoop:信件給看光光的 (頂多就是你自己密碼設得太簡單,或是被釣魚
→ Hadoop:密碼已經外洩了這樣.)
→ Lordaeron:話別說滿，xbox live沒出聲,不代表沒事,gmail上次大陸
→ Lordaeron:的事件, 是釣魚的嗎? 不要只看你想看,其它的裝作看不到
→ Lordaeron:致於check與記錄? 你是沒看過拿到root 權限的人走時
→ Lordaeron:擦光光?
→ Hadoop:gmail大陸事件有連結介紹一下背後的破解過程嗎? 沒印象說是
→ Hadoop:大陸網軍真的把gmail給破掉. 感覺就是密碼先被從他處盜了.
→ Lordaeron:你是來鬧的? 想扯說沒有破解過程就不算?
→ Lordaeron:從google 怎麼處理這件事, 多嚴重性你自己看, 你認為
→ Lordaeron:沒事發生也可以, 沒必要跟你講什麼的了.
推 luciferii:嘴硬到最後，還不是靠對OP的check與記錄，本來就是回歸
→ luciferii:到信任問題。
→ luciferii:除非你加解密是在外面作完才進來，或者你幻想的Security
→ luciferii:VMM是一個沒有人類有權限可以控制的東西(那是什麼東西?)
推 luciferii:不然終究還是一定只能回歸到制度面。
→ luciferii:至於你對patch或binary translation和防毒之間的議論
→ luciferii:我只感覺老師要嘛是不懂軟體，要嘛就是不懂病毒...
→ Winggy:還在蓋大樓... 老師既然心意已決就讓他做吧
→ Winggy:至少讓他有點事情做  早說過這是枝微末節沒有產品化潛力..
→ Winggy:另外... L 先生不知道有沒有聽過一個名詞叫 forensics ..
推 luciferii:他要是真的在作...就不會有這一大串偏離現實的大樓了XD
→ Lordaeron:沒聽過呢, 我還在等你的機制Winggy老兄, 別跟我說哪篇
→ Lordaeron:好笑的取hash 的方式來處理,hash 的範圍有多大,大家心裏
→ Lordaeron:有數, 這種東西連emule 都會collision
→ Lordaeron:Winggy,不要再搬英文出來扯了, 你的機制和取證,全部講
→ Lordaeron:成一篇吧, 我期待你的哪篇文章的高論. 要討論就來吧.
→ Lordaeron:別每次都留下一個term, 然後就沒下文了.
推 luciferii:又在提hash..你的理解程度跟sniffer有拼...
→ luciferii:至於 Forensic 這個term要解釋，基礎篇的篇幅...大概只
→ luciferii:要4190頁A4...如果你照Winggy的鐘點費付他，可能他考慮
→ luciferii:為你在BBS寫上一篇...
→ Winggy:這年頭的小朋友怎麼都喜歡用自己的無知嗆別人幫他上課....
→ Winggy:wipe log 的案例也不是沒處理過 大部分的資料還是可回復
→ Winggy:gmail 帳密在大陸會被盜的原因不知道的人大概沒在注意新聞
→ Winggy:自從CNNIC申請了一個 trCA後 在大陸上 SSL 請多保重
→ Winggy:http://ppt.cc/d3@D  你看完這本書再來談機制取樣
→ Winggy:forensic 現在已經有 enCase 這麼方便的工具了 自己學
→ Lordaeron:luciferii 我的理解也就是哪樣,不然你指的哪篇我從到到
→ Lordaeron:尾看不出你大朋友所說的什麼機制呢
→ Lordaeron:你的理解力特好, 你就講講吧, 特徵碼呢
→ Lordaeron:還是什麼其它方法可以不整上傳的,他沒講,你有講我沒看到
→ Lordaeron:Winggy 請問原因是什麼? 我看來看去就不知原因呢, 你高
→ Lordaeron:見嘛, 給一下吧
→ Lordaeron:致於你口中的哪本偉大的書, 小的手中剛好有.
→ Lordaeron:所以不用你教了, 但我希望你用你的encase 來弄個系統
→ Lordaeron:我幫你公開徵求破解者而且要讓encase 失效的看看
→ Lordaeron:luciferii 等你的回應哦,我沒錢給你的哦你可以學
→ Lordaeron:Winggy, 說一些term就閃人, 然後又開另一個term
→ Lordaeron:我是不需要鐘點費的,就等你的回應, 別再回些被mark只有
→ Lordaeron:一篇這種文字了.
推 luciferii:你自己裝個sniffer起來不就知道特徵碼是什麼了，要有實
→ luciferii:作精神喔，反正你也不會信任別人講的。:D
→ Winggy:呃.. 我擔心L先生可能負擔不起買一套 enCase 跟我的鐘點..
→ luciferii:還有我猜你可能沒有那本書，所以你不知道 Encase 是什麼
→ Winggy:所以我有個建議, 我知道偵九隊有, 如果你朋友可以去 hack
→ luciferii:才會問出那個怪問題....
→ Winggy:警政署網站的話... 我相信偵九隊很願意免費為您驗證
→ Winggy:另外那本書你一定誤會了  那本是入門書 並沒有很偉大
→ Winggy:我只是推薦你看看 就會知道哪些是可能自動化去收集資料的
推 luciferii:扣掉蒐證和保存的專業器材不談，其實Encase不貴了啦
→ luciferii:今年才知道資拓宏宇有在賣，有興趣的可以去弄一套玩
→ Winggy:我只記得他們當初賣的是整個 kit ...
推 luciferii:私家用的話買軟體就好了...山上和警方當然要有全套工具
→ luciferii:(只是會不會用和有沒有在用就不知道了...)
→ Winggy:當初的報價到七個位數啊......
→ Winggy:L 先生 忘記提醒 千萬要跟你的朋友說在前面  刑責要自付...
推 luciferii:那整套是將近八位的七位數，軟體是靠近六位的七位數啦
→ Lordaeron:luciferii 我沒本事看code 就知它怎麼編碼的呢,你本事大
→ Lordaeron:Winggy兄原來你的encase 就這點本事? 不是可以偵什麼隊?
→ Lordaeron:你公開一台機器來玩,就是比賽,偵什麼隊都沒用.
→ Lordaeron:來吧,不要兩立在這講什麼專業器材了,上陣實戰吧.
→ Lordaeron:EnCase 有多大本事我又不是查不到
→ Lordaeron:還有資拓宏宇這樣的資策會分出來的公司,有什麼好賣名字
→ Lordaeron:的? 大家都知道他們在幹嘛的
→ Lordaeron:就不用再扯了. 我還在等你的link 說明google 是怎麼被破
→ Lordaeron:的哦. 還有上次的機制還未講呢
→ Lordaeron:要吐我沒follow google怎麼被hack 不知道, 我就等著被
→ Lordaeron:你吐...
推 luciferii:你真的不知道 Encase在幹嘛對吧...不知道幹嘛要去破它?
推 luciferii:還有gmail那件事你明明就已經被吐了...被吐還看不懂應該
→ luciferii:自己多去看懂...總不能什麼事情都要人家每句解釋吧
→ luciferii:我就看懂Winggy吐的內容，他講的也很清楚。
推 luciferii:機制在那本入門書裏也提了，怎麼你有書都不看要一直問，
→ luciferii:人家給書單要好好用功才才行。
→ Winggy:我真的不曉得要對這位小弟弟證明什麼....
→ Lordaeron:你回答不出來的,真的不用再說些什麼,省省就可以了
→ Winggy:尤其這位小弟弟還拿著我十年前說的話當金科玉律
→ Lordaeron:luciferii:http://tinyurl.com/3qdpo4v , see?
→ Lordaeron:更別說,大陸廣告賣到爛掉, 什麼大不了的功能呢
→ Lordaeron:你還是教我,怎麼看個sniffer 的log 就可以知道特徵碼是
→ Lordaeron:怎麼編的吧.
→ Lordaeron:你和Winggy繞半天了,都只有一直在拖開話題而已.
→ Lordaeron:一直以為哪種enCase 多強, 以為別人都不知filesystem
→ Lordaeron:破你的EnCase 就是不讓你恢復你想看的log
→ Lordaeron:see?
推 luciferii:笑...Encase 被個小毛頭批成這樣，看來整個國際司法界都
→ luciferii:該作廢了...lol
→ luciferii:忘記打廣告，http://blog.hitcon.org/ 去參加一下看有沒
→ luciferii:有人好心會教你。對不懂的領域嘴砲只能自爽，但是行內人
→ luciferii:都會看笑話的...
→ askeing:如果有機會，能去DEF CON的話應該會更好玩～
→ Lordaeron:哈...小毛頭,你還是省省吧, 內行人呢
→ Lordaeron:你到現在都還在顧左右而言他,我問的問題從沒正面回答過
→ Lordaeron:更別說有人連file system這種簡單的東西,都不知道可以
→ Lordaeron:破壞到你無法復原的, 還說Encase 呢
→ Lordaeron:現在就丟出台灣駭客年會? 你參加過? 它跟Encase 何關?
→ Lordaeron:你很懂的話,還是快教我怎麼只看sniffer的log就知編碼
→ Lordaeron:方式吧, 別再跟我打哈哈, 特徵碼了.
→ Lordaeron:等你呢, 內行人....Encase.....哈....
→ Lordaeron:忘了講,先吐Encase 可不是我,但看完功能後的確連
→ Lordaeron:final data in NTFS 都不如.
→ Winggy:我想可能有人認為 forensic 只是把檔案救回來就沒了....
→ Winggy:還會嗆 lucifer 有沒有參加過駭客年會  你是第一個
→ Lordaeron:so?駭客年會跟Encase 何關?台灣的警察單位除了Encase還
→ Lordaeron:有在用FTK呢,Encase 多偉大呢?
→ Lordaeron:再來既然這麼有本事來個駭客年會的,就問你們要不要開台
→ Lordaeron:機子來比試了嘛, 扯哪麼多, 扯哪麼久幹嘛呢
→ Lordaeron:你愛用Encase, FTK 什麼鬼都沒問題的.
→ Lordaeron:到現在機制沒回我,吐我沒follow google 的事件, 也沒回
→ Lordaeron:我哪裏有說明. 依然在顧左右而言他. 兩位, 回一下吧.
→ Winggy:google 前面已經講過可能原因  看不懂只能說你不夠專業了
→ Winggy:這麼愛比, 這個網站給你嘍 http://www.president.gov.tw/
→ Winggy:我保證一定可以讓你的 "朋友" 大大顯個身手
→ Winggy:警察單位用 ftk 應該是我七八年前做一個訓練課程開始的吧..
→ Winggy:畢竟不是每個單位都有預算去買設備
推 luciferii:Defcon 倒是每年都會辦搶旗賽，有興趣找你的朋友去打進
→ luciferii:決賽吧:D 加油
推 luciferii:FTK功能上差 Encase 還蠻大的，不過不用錢嘛XD
→ luciferii:只是要呈堂的話，要多花點功夫。
→ Winggy:對  證據力是重點....
→ askeing:搞不好人家不把DEF CON的比賽放在眼裡 ╮(﹋﹏﹌)╭
在那自比 不得了的駭客 , 還猛吹鐘點費 抬身價. 問題解沒一個, 還屁一堆!
再把問題說一次: 解不了, 就不要只會吹抬青! 也不要找偵九國安的藉口.

放在 PC 上的私人資料會不會被冒充或惡意的掃毒軟體掃走? (不用扯雲端掃毒)
租用雲端的虛擬機跑需要 license key 的 CADtool, license key 在雲端虛擬
機上會不會被管雲端的 操作管理人員 掃(偷看)走?

技術上要怎麼打開 license key 來用, 又不必怕被掃走?

→ luciferii:老師可能還是不懂你的問題是因為太蠢所以大家只想吐巢
→ luciferii:不想認真理你...
→ luciferii:如果是你的學生來問，可能還會有人認真講解一下...可惜
→ luciferii:你已經是就教授了...於是只好變成茶餘飯後的話題...
→ askeing:我是認真覺得老師可以去跟搞VM的人提議
→ askeing:或是去VMWorld開個topic，也許意見會更多更全面
→ askeing:至少就我角度來看，一開始的假設跟最後的結論根本就衝突
→ askeing:假設：不信任雲端公司，雲端公司可能偷撈資訊
→ askeing:結論：信任VMM，設立查核機制
→ askeing:事實：VMM完全在雲端公司的掌控下…
→ askeing:這樣還滿詭異的就是 O_Oa
推 luciferii:討論雲端服務的信任是一回事，不過老師硬要扯防毒和
→ luciferii:License Key 就一整個好笑...
看看這個文章:
Protecting the confidentiality of virtual machines against untrusted host

2010 International Symposium on Intelligence Information Processing
and Trusted Computing

另一個 hHype 前面已提過, 比較偏重 security policy 設定, 有個 實驗的 rHype
http://www.research.ibm.com/secure_systems_department/projects/hypervisor/

看到防毒掃檔掃記憶體就跳?! 乾脆就稱惡意的/冒充的掃毒軟體 還不是一個樣?

→ Winggy:老師  加油  要實做喔
哈! 台灣資安落伍囉, secure hypervisor 都已有好幾個了.

※ 編輯: ggg12345        來自: 140.115.5.45         (06/14 04:54)
→ Winggy:老師你沒問題的, 人家的 isolation 只有做到 VM level
→ Winggy:還沒有辦法跟 VMM isolate, 所以老師還是有機會贏 IBM
→ Winggy:如果最後還可以做到 physical isolation 更好
→ Winggy:就不需要擔心雲端供應商的實體安全做不好整台儲存設備被偷
→ Lordaeron:超好笑的,你參加了def con什麼鬼呢? 還在扯Encase?
→ Lordaeron:你們要是真有本事, 就拿出來,拿不出來就開始扯東扯西
→ Lordaeron:問的每個問題都不回答, 一直扯開話題, 好笑....
→ Lordaeron:真本事啊, 拿出來吧, 別老拿台灣式的大拜拜來說嘴了
→ Lordaeron:另外, FTK 是2008年的事了, 七八年前呢, 原來這叫專業?
→ Lordaeron:這兩年還有書教如何用open source tool 來取證的
→ Lordaeron:用Encase 就像我給的link的人兄說的哪樣而已囉.
→ Lordaeron:牛皮吹很大呢.....
推 luciferii:不知道老師要貼同樣的老東西貼幾次，而且還跟主題無關又
→ luciferii:自己搞不懂...lol
推 luciferii:至於樓上，越用google糗越大...(笑)
→ Winggy:ftk 我 2001 年就在用了喔.. 我不知道你哪邊查來的 2008