Systèmes de fichiers réseau sécurisés pour Linux: que font les gens?

NFSv3 est répandu, mais le modèle de sécurité par défaut est ... pittoresque . CIFS peut utiliser l'authentification Kerberos, mais sans la sémantique POSIX, ce n'est pas un démarreur. AFS n'a jamais chiffré le trafic sur le câble et est krb4 - et, fondamentalement, un projet mort. De nouveaux systèmes de fichiers expérimentaux fantaisistes ne se matérialisent jamais ou sont axés sur la vitesse (et si vous êtes chanceux, la fiabilité des données) - par exemple, Luster utilise le même modèle de confiance client que NFSv3. Pour un usage domestique, sshfs est astucieux, mais cela ne se redimensionne pas.

Et puis bien sûr, il y a NFSv4, avec sec = krb5p. Génial en théorie, mais après dix ans, il semble être troublant dans le monde réel. Le client Linux vient de retirer la balise expérimentale. Et si vous regardez EMC Celerra, Isilon, etc., tout est NFSv3. (Celerra prend en charge NFSv4, mais il est vraiment enterré dans la documentation. Isilon a apparemment travaillé à l'ajout de la prise en charge RPCGSS à FreeBSD, alors peut-être que ça arrive, mais il n'est pas là maintenant.) Je ne peux même pas marquer ce post comme "nfsv4" parce que je suis nouveau ici et ce serait une nouvelle balise .

Alors vraiment . Que faites vous tous?

Puisqu'il s'agit d'une question spécifique (que faites-vous tous), répondons-y: rien. La plupart des administrateurs et des utilisateurs ne se soucient pas de la sécurité NFS, donc tout le monde utilise NFSv3. Il s'agit généralement d'un environnement contrôlé (dans le sens où seules les machines bien connues peuvent se connecter au réseau en premier lieu). Si quelqu'un se fait prendre en train d'abuser de l'infrastructure, il est renvoyé ou emprisonné.

Pour les données que vous ne voulez vraiment pas que quiconque puisse lire, vous les chiffrez explicitement, par exemple les bases de données de mots de passe Firefox, les clés ssh ou les clés pgp. Vous faites cela parce que vous savez que l'administrateur peut les lire sur le serveur de fichiers, de sorte que la sécurité du système de fichiers réseau ne sera d'aucune aide.

Vous semblez poser deux questions ici:

Qu'utilisons-nous réellement? et qu'est-ce que cela?

Ce que j'utilise en fait est CIFS, dans mes cas d'utilisation POSIX est moins important, donc je n'ai eu aucun problème. NFS3 est utilisé dans des zones où la sécurité n'est pas importante, comme mon serveur d'installation SLES. Et enfin, sshfs / gvfs pour un partage simple de l'espace utilisateur. Le chiffrement filaire n'est pas jugé nécessaire, ce n'est donc pas un facteur significatif pour nous.

Quant à l'autre question, il semble y avoir six exigences principales pour ce que vous recherchez:

1. Chiffre le trafic sur le câble.
2. Crypte l'authentification.
3. Sémantique Posix.
4. Forte application des ACL basées sur le serveur.
5. N'est pas un espace utilisateur.
6. Est réellement utilisé.

Je soupçonne que les points 5 et 6 seront les tueurs ici, mais c'est parti (aussi, c'est le point où une table serait vraiment pratique, mais markdown / StackExchange ne la prend pas en charge).

NFSv3 + IPSec

1. Chiffré sur le fil, passez
2. Aucune authentification chiffrée, échec
3. Posix sémantique, passe
4. Aucune application stricte des listes de contrôle d'accès basées sur serveur, échec
5. N'est pas un espace utilisateur, passez
6. Est réellement utilisé, passez

NFSv4 + Krb + IPSec

1. Chiffré sur le fil, passez
2. Authentification cryptée, réussite
3. Posix sémantique, passe
4. Forte application des ACL basées sur le serveur, réussite
5. N'est pas un espace utilisateur, passez
6. N'est pas réellement utilisé, échoue

CIFS

1. Non chiffré sur le fil, échec
2. Authentification cryptée
3. Sémantique Posix, passe (Samba & Kernel maintenant, Windows a une couche Posix depuis les jours NT)
4. Forte application des ACL basées sur le serveur, réussite
5. N'est pas un espace utilisateur, passez
6. Est réellement utilisé, passez

CIFS + IPSec

1. Chiffré sur le fil, passez
2. Authentification cryptée
3. Posix sémantique, passe (Samba & Kernel maintenant)
4. Forte application des ACL basées sur le serveur, réussite
5. N'est pas un espace utilisateur, passez
6. N'est pas réellement utilisé, échoue

SSHFS

1. Chiffré sur le fil, passez
2. Authentification cryptée, réussite
3. Posix sémantique, passe
4. Forte application des ACL basées sur le serveur, réussite
5. Is userland, fail
6. Est réellement utilisé, passez

AFP / NetATalk

1. Chiffré sur le fil, échec
2. Authentification cryptée, réussite
3. Posix sémantique, passe
4. Forte application des ACL basées sur le serveur, réussite
5. N'est pas un espace utilisateur, passez
6. Est réellement utilisé, échoue

Et je ne touche pas aux systèmes de fichiers distribués. Il n'y a tout simplement pas une seule chose qui fait tout. Certains se rapprochent (CIFS) et certains sont déjà là mais personne ne les utilise (NFS4 + IPSec, CIFS + IPSec). Pour une raison quelconque, un système de fichiers réseau sécurisé est quelque chose qui a été soumis à de nombreux compromis au fil des ans.

J'utilise openafs en production depuis des années, avec des clients Linux et Windows. Il fonctionne très bien, possède une communauté de développement active et est devenu beaucoup plus facile à installer et à administrer au cours des dernières années, car les différentes distributions Linux ont inclus un emballage pour cela. Il a ses verrues, mais j'ai trouvé qu'elles sont compensées par une plus grande flexibilité administrative, la possibilité de séparer les clients et les serveurs par des liaisons lentes, la facilité des sauvegardes hors site et d'autres AFSismes positifs.

Une chose que j'aime en particulier, c'est d'exécuter des serveurs Web de production sur Internet sur openafs, avec les ACL verrouillées. Sans ticket kerberos, il n'y a aucun processus sur la machine - même un qui s'exécute en tant que root - qui peut écrire dans le système de fichiers. Je ne peux pas compter combien de fois nous avons remarqué que les attaques échouaient complètement à cause de cette simple mesure.

Il y a de très gros utilisateurs d'Openafs - le plus grand utilisateur commercial que je connaisse est Morgan Stanley.

Qu'en est-il d'OpenAFS qui est toujours en vie et d'un VPN sous lui car son seul cryptage pour le moment est DES.

Je vois que beaucoup de gens dans ce fil parlent de masquage de données, c'est-à-dire que les attaques ne peuvent pas espionner vos données. Il est également important de penser à l'intégrité et à l'authenticité des données. Ces paquets nfs proviennent-ils vraiment de votre serveur nfs? Un paquet nfs a-t-il été modifié en transit?

Eh bien, pour moi, il semble que l'un de ces systèmes de fichiers distribués serait pour vous. Je ne voudrais pas vraiment recommander OpenAFS, car il est ancien, ne prend pas encore en charge IPv6, ..

Je suis assez content de GlusterFS moi-même. Gluster est assez mature, fonctionne bien et possède un bon ensemble de fonctionnalités. Cependant, comme récemment discuté dans IRC, Gluster ne prend pas non plus en charge IPv6 de manière stable. Cette fonctionnalité sera programmée pour 3.6 ou 3.7.

Il existe également un projet appelé HekaFS, qui s'appuie sur Gluster, qui ajoute des fonctionnalités d'authentification plus avancées et SSL. Il est extrêmement bien documenté et très bien conçu.

Ce qui peut également vous intéresser est XtreemFS , qui est conçu pour le calcul de grille mondial, il est donc livré avec SSL et d'autres éléments par défaut. Mon choix d'utilisation est tombé sur Gluster, car la communauté semble plus active et bien mieux documentée.

Les deux sont bien sûr compatibles avec Posix.

J'utilise NFS. Mais le serveur à serveur NFS se fait sur une dorsale réseau dédiée, donc le chiffrement n'est pas nécessaire et l'authentification est en quelque sorte inutile. Définissez simplement chaque exportation pour partager uniquement un répertoire sélectionné avec un serveur basé sur IP.

Avec tout le respect que je vous dois, vous regardez complètement ce problème dans le mauvais sens et vous devriez vous éloigner de la console pendant quelques heures.

Presque tout le stockage io n'est pas chiffré car cela n'a pas d'importance au niveau de cette couche de la pile d'abstraction. J'en doute? Mettez un robinet sur votre commutateur fibre brocart et vous verrez que le canal fibre, tout comme iscsi et nfs, est tout un désordre non chiffré - par conception. Résoudre ce problème est moyen, pas un problème de protocole de stockage. Par exemple, vous voulez des nfs sécurisés et chiffrés? Création d'un lan chiffré point à point entre le client nfs et le serveur à l'aide d'ipsec / ssl / tls ou d'une solution matérielle pure.