标签: security

我有一个通过 ssh 运行的 git 服务器，每个用户在系统上都有一个 unix 帐户。

鉴于两个用户有权访问一个 repo，我如何确定哪个用户执行了哪个提交，因为提交用户名和电子邮件是由 git 客户端提交和控制的。

我担心用户可能会尝试冒充另一个用户，即使他们拥有相同的授权权限。

除了定期的现场备份（保存在防火保险箱中）之外，我们还每月一次将磁带发送到场外，并使用 AES 加密。因此，如果我们的站点有一天被外星热射线蒸发了，我们至少应该有一个最近的备份来恢复。

除了 128 位加密密钥仅存储在现场。因此，在真正发生灾难的情况下，我们实际上会留下一个加密备份，而无法对其进行解密。

问题：异地存储加密密钥的最佳策略是什么？

我们选择的任何方法都需要通过安全审核，所以“在家里保留一份副本”是不够的，而“将其与异地磁带一起保留”显然违背了首先加密它们的目的！我们正在考虑的几个选项包括：

• 银行的保险箱
• 以受密码保护的形式存储在云端或地理位置不同的网络中（例如使用 Keepass 或 Password Safe 等软件）

当然，第二个选项带来了另一个问题：我们如何保持该密码的安全。

我必须交出一台笔记本电脑，包括它的硬盘。由于它没有加密，我想至少快速擦除它。我知道这在 SSD 上不是最佳选择，但我认为比简单易读更好。

现在我正在擦除实时 USB 记忆棒，而且速度非常慢。我不知道这是为什么。当然，除了擦除该设备之外，计算机上几乎没有发生任何事情，所以我想熵可能很低（entropy_avail 说它是 1220）。只是打电话是否同样好

dd if=/dev/random of=/dev/sda1 bs=1k

四次？或者有什么方法可以调用会增加随机性的东西？还是瓶颈在某个地方完全不同？

我已将我的 Django 应用程序部署到 Elastic Beanstalk，目的是使用其环境变量配置接口来存储我的 API 密钥，而不是将它们存储在我的源中（如此处所述/sf/answers/1251502031/）。

这样做之后，我发现 Beanstalk 所称的环境变量实际上并不是 shell 环境变量（如这里提到的/sf/answers/1719538271/），而是存储在配置文件中的实例上（如此处描述/sf/answers/1719639841/）。

这对我来说似乎是一个安全问题。这不是违背了将密钥隐藏在源头之外的目的吗？我知道它们不再在 repo 中，但它们仍然可以在实例上访问。

我误解了风险吗？我是继承系统管理员，所以请原谅我的无知。我应该通过配置文件将 Beanstalk 变量作为 shell 环境变量加载并继续，因为该文件只能通过 root 访问，还是我的担忧有效？谢谢你。

乍一看，这似乎是一个愚蠢（或邪恶）的问题，但请允许我详细说明......

我们已经在公司网络和代理上实施了各种措施，以防止将某些文件类型下载到公司机器上。大多数文件，甚至是带有 exe 的 zip 文件，在单击下载这些文件时都会被阻止。

但是一些“有进取心”的用户仍然设法让下载工作。例如，我站在某人（不认识我或我在哪个部门）身后，他在我们眼前将以“.exe”结尾的 URL 更改为“.exe？”，然后浏览器去了就在前面并下载了“未知”文件类型。从那时起，我们就堵上了这个漏洞，但我想知道是否还有其他人知道绕过网络安全和检查软件下载文件的任何邪恶手段。

或者，如果您知道一些可以发誓是防弹的商业软件，我们可以试用一段时间。

任何帮助表示赞赏...

我很好奇是否存在标准的预期行为，以及在具有相同 UID 的 Linux/Unix 上创建多个帐户时是否被认为是不好的做法。我已经用这个在 RHEL5 上做了一些测试，它的表现符合我的预期，但我不知道我是否在使用这个技巧来诱惑命运。

例如，假设我有两个具有相同 ID 的帐户：

a1:$1$4zIl1:5000:5000::/home/a1:/bin/bash
a2:$1$bmh92:5000:5000::/home/a2:/bin/bash

这意味着：

• 我可以使用自己的密码登录每个帐户。
• 我创建的文件将具有相同的 UID。
• 诸如“ls -l”之类的工具会将 UID 列为文件中的第一个条目（在本例中为 a1）。
• 我避免了两个帐户之间的任何权限或所有权问题，因为它们实际上是同一个用户。
• 我对每个帐户进行登录审核，因此我可以更好地跟踪系统上发生的情况。

所以我的问题是：

• 这种能力是被设计出来的还是只是它碰巧起作用的方式？
• 这是否会在 *nix 变体中保持一致？
• 这是公认的做法吗？
• 这种做法是否有意想不到的后果？

请注意，这里的想法是将其用于系统帐户而不是普通用户帐户。

linux box被黑后取证分析的主要步骤是什么？

假设它是一个通用的 linux 服务器 mail/web/database/ftp/ssh/samba。它开始发送垃圾邮件，扫描其他系统.. 如何开始寻找黑客攻击的方式以及谁负责？

第三方安全专家建议我们在 Web 服务器（均托管在 DMZ 中）前运行反向代理作为最佳实践安全措施。

我知道这是一个典型的推荐架构，因为它在 Web 应用程序前面提供了另一个级别的安全性以防止黑客。

然而，由于反向代理在用户和内部 Web 服务器之间愉快地来回穿梭 HTTP，它不会提供任何防止对 Web 服务器本身进行黑客攻击的措施。换句话说，如果您的 Web 应用程序存在安全漏洞，代理将不会提供任何有意义的安全性。

并且考虑到攻击 Web 应用程序的风险远高于攻击代理的风险，在中间添加一个额外的框真的有很多好处吗？我们不会使用反向代理的任何缓存功能——只是一个来回传输数据包的愚蠢工具。

还有什么我在这里想念的吗？反向代理 HTTP 数据包检查是否变得如此出色，可以检测到有意义的攻击而没有重大性能瓶颈，或者这只是安全剧院的另一个例子？

反向代理是 MS ISA fwiw。

什么是边缘服务器？我们看到一些对它们的引用，但我们从未看到定义。

任何人都可以为 Windows 或 Linux 推荐一个免费且简单的 OCSP 服务器吗？