Kryptering av virtuell hårddisk är problematiskt (Virtual Box, Vmware, KVM, etc.)

Jag tror att du tänker fel där- I en VM Virtual Machine så är även dess RAM-minne virtuellt.
Så vart det RAMet ligger lagrat någonstans det är inte så lätt att ta reda på heller.

Ja vid hibernate/sleep så dumpas maskintillståndet på hostens disk.

På tex VirtualBox/Oracles hemsida så kan du tanka hem förkonfigurerade VMs som brukar gå att starta på vilken host som helst. De är förkomprimerade så du måste expandera dem till rätt diskstorlek. Men som de skriver där så är det du eftersträvar en egenskap hos
Guest-OSet att när den ska gå i vänteläge så ska även vänteläget krypteras, men det tar faktiskt en del tid att göra det.
Det är tyvärr en egenskap som inte ser ut att gå att bygga bort utifrån.

Jag kör ibland en del datorer med VMs i men om jag inte lägger VM i sleep utan bara använder hostens hibernate/sleep, så kan jag i regel inte starta VM igen när hosten har väckts upp, man måste använda Guest-OS egen hibernate först innan man använder hostens hibernate.
Virtualiseringsprogramvaran byter bland annat IP-adress under en sådan full cykel hibernate/wakeup - hibernate/wakeup, dessutom så stannar VMs Guest-OS interna systemklocka.

Man brukar istället pausa alla VMs som är igång innan man skickar hosten i vänteläge.

Jag tror att du överdriver risken med att data skulle vara åtkomligt på det sätt du beskriver.
Ett definitivt säkerhetshål är istället de delade mappar som man har tilldelat, som ligger öppna mellan host och guest. Det hålet finns beskrivet på många ställen.

Jag tror att du kan skriva ett script för att pausa maskintillståndet i dina rullande Guest-OS och som i slutet av scriptet använder kommandot shutdown
i Windows för att skicka din host (antar nu Windows) i vänteläge, strömsparläge eller viloläge/hibernate.

Tror att det finns exempel på färdiga script på VirtualBox hemsida som du kan använda dig av.
Om man ska vara riktigt petig så ska Guest-OSet vara inställt på att ta emot fjärrkommandon utifrån, dvs i detta fallet kommandon från hosten.

Ja, det är riktigt att man måste vara observant på vad man håller på med förstås. Och lämnar man en dator som är parkerad i viloläge åt någon annan så är det väl teoretiskt möjligt att denne kan återuppväcka datorn och kopiera information därifrån.
Tex via USB-porten som bara skickar ut allt okrypterat direkt.

Å andra sidan så finns det väl exempel på några färdiga script att så snart en USB-sticka sätts i så om filkopiering begärs så ska de också automatiskt skrivas i krypterad form på USB-minnet.

Finns alla möjliga varianter man kan hålla på med.
En nackdel med heldiskkryptering vore om disken på något vis kraschar fysiskt att även om man skickar in den till IBAS eller AhlbergData, så kan de ändå ibland inte få ut något även om kryptonyckeln är korrekt.

Därför behöver man ta backuper i okrypterad form, eller att man bränner på DVD/BluRay, dvs medier som inte kan förstöras fysiskt under normala lagringsbetingelser.

Det är inget särskilt konstigt med att köra en VM med Guest-OS, det är nästan som att bara koppla ihop två datorer, och ställa den ena att ta emot fjärrkommandon/fjärrskrivbord.

Jag känner dock till flera vänner som har ett extra tangentbord och extra mus som enbart används för att kontrollera de rullande Guest-OSn, plus kanske flera skärmar.
Då tycker jag själv att jag lyckats bättre med AMD Radeons kontrollpanel för flera skärmar än när jag försöker ställa in med NVidia, eller nVidia som det hette förut.
Det hjälper då inte att bara läsa manualer, dvs RTFM, utan du måste aktivt experimentera en hel del själv för att förstå hur det hänger ihop.
Det tär en hel del tålamod, och ha tungan rätt i mun.

Måste du köra äldre Linuxdistar som Guest-OS så kom ihåg att de ibland inte mappar pekplattan på hosten korrekt. Och därför kan en äldre mus fungera smidigare.

Lyckas du krascha allting så är det praktiskt att ha en klonkopia på hela systemdisken som du plockar upp ur skrivbordslådan och byter med. Annars blir du sittande i många timmar med
alla uppdateringar och konfigureringar. Tänk på att din arbetstid är viktig den också.

Till och med så att de köpt extra Windows-licenser för att slippa aktiveringsprocessen från kallstarten.
Ifall de plockar runt diskarna mellan olika maskiner.

Har du många Guest-OS igång så bör du throttla ner VMs CPU-användning. Har du tex 16 kärnor så använder Win 11 minst 4, så 12 Guests kan den klara av, men då bör du ställa ner CPU-load på sammanlagt högst 85-90 % gemensamt på Guest, det gör att du har kvar lite slackspace om de är resurskrävande Guests.

De xtra 10-15 % som finns kvar ska då räcka till sådan systemoverhead, att maskinen inte kommer att kännas slö som sirap.

Var också observant på att Guest-OS inte har automatisk sleep /hibernate aktiverat, efter tex typ 30 minuters inaktivitet. Det är onödigt och klumpigt och lär inte spara någon energi ändå.
Eftersom hosten snurrar ändå.

WM Ware har visst många inställningar i dialogrutor som bör vara lätta att lära sig att konfigurera. Detta jämfört med VirtualBox många kommandoradskommandon som bara kan utföras i textform

Bra inlägg.

Men:


Jag vet inte om du formulerar dig olyckligt eller tänker fel här. Det finns inget inneboende i kryptering som gör att ett krypterat media är svårare att återställa. Det är givetvis svårare för en extern part att verifiera datat utan kryptonyckel. Eftersom du pratar om backuper borde vi också ha test av återläsning. Om testet lyckas kan vi separat lagra checksum på avbildningen (gärna två hashsummeuträkningar så att vi får redundans) och dataintegriteten som TS missuppfattar i sitt första inlägg kan verifieras.

Som en parentes är något fel med ens processer om en kraschande disk orsakar dataförlust.

Ja, det blir lite rundgång i resonemanget här. Men om vi antar en fysisk diskkrasch så är man ju helt stekt om den värdefulla nyckeln låg lagrad på det kraschade utrymmet. Så då hjälper ingen återställning i världen. Kryptering går hand i hand med att det också samtidigt finns redundans, alltså att nyckeln finns sparad på ytterligare ett ställe till.

Problemet är i och för sig intressant. Vad jag menade är att lämnar man hostdatorn obevakad i hibernate-läget så är det som att ha glömt att låsa dörren. Bara att skruva ur hårddisken, kopiera Hibernate.sys och klona resten, så har man en startbar disk att stoppa i en likadan dator och kan troligen komma åt allt innehåll.

Det finns också dynamisk kryptering där man kan skifta nyckeln under krypteringens gång, tex efter X antal GB, det gör det ännu svårare med sk brute-force dekryptering.

Fast alla dessa krypteringsmetoder som finns gör det också besvärligare för användaren att använda utrustningen förstås.


Jag vet inte hur du menar ? Om du ska från hosten läsa innehållet i den virtuella disken så bör du i alla fall pausa den VM som det gäller annars pågår ju läsning och skrivning på den virtuella disken.

Det är ju ändå du som sitter vid tangentbordet och antar jag också att du är root/admin och kan extrahera allt av värde om du nu vill det.
Eller låter du andra användare logga in på VMs Guest-OS utifrån ?
Jag ser egentligen frågeställningen som ett slags icke-problem.

I beskrivningarna för tex VirtualBox manualsektionerna så finns tex möjligheten att krympa eller öka den virtuella diskens storlek, allokera mer virtuellt minne etc, men det kan inte göras normalt on the fly utan när VM är nedstängd.

Jag vet inte om det finns många bra youtubeklipp på hur man gör, men tycker att det går väldigt smidigt att sätta upp en VM. Men direkttaccess till viss hårdvara, tja det kan gå hursomhelst egentligen då ?

Här finns en utförlig genomgång av sandboxing av en VM. Alltså förslag på åtgärder för att undvika att en VM infekterar sin host:
https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/8/html/configuring_and_managing_virtualization/securing-virtual-machines-in-rhel_configuring-and-managing-virtualization#setting-up-secure-executio n-on-ibm-z_securing-virtual-machines-in-rhel

Tipsen som finns där gäller så gott som alla virtualiseringsprogramvaror, och det är en generell genomgång.

I och för sig så kan du sätta upp ett skript som körs vid nedstängning/paus av en VM som dels ger paus kommandot och dessutom krypterar filen med maskintillståndet. Det innebär dock att krypteringen brukar skapa en ny fil, medans den gamla deletas, men då har du ändå den okrypterade filen kvar, visserligen då markerad som ledigt utrymme. Och är alltså öppen att läsas för den som har möjlighet att läsa lediga sektorer i RAW-mode

Hmm, på de flesta laptops så är det djupt nedgrottat i BIOS om jag inte minns fel ?
Och säkert är det så att man inte kan ändra på de inställningarna.
Default på de flesta är ju att när batteriet börjar bli tomt, så skickas laptoppen direkt i viloläge.
Och det verkar sitta i kretsarna och inte i OS-et.

Kanske går att ställa om så att den forcerar en full shutdown istället men då går dina
öppna filer förlorade på så vis.

Kommer dock ihåg något hack som jag nu har glömt hur man gjorde att vid nedstängning så sparades hela Windows-sessionen i en slags kontainer.
Och vid uppstart kunde man välja att antingen starta upp på nytt, eller återuppta en sparad session, men detta var ej krypterat.

Hela arrangemanget krävde förstås massvis av diskutrymme, och ett helvetes mycket tålamod.
Ungefär som en coredump men alltså hela alltet.

Fulldiskkryptering anses vara rätt så säkert, men i teorin så har den svagheten att alla systemfiler har ett känt bitmönster och kan man spawna ett stort antal kopior av en sådan diskavbild på miljontals CPUer som kör bruteforce så kan de i teorin hitta en nyckel som fungerar mycket snabbare än vanliga bruteforce-metoder.

OBS: - Tips är att när man labbar med många VMs så är det bra att komma ihåg att ge dem olika namn.

Plus att ha olika bakgrundsbilder på skrivborden, tex med namnet på VM i skrivbordsbilden,
det är lätt att såsa till det ifall man blir trög i skallen och
man sitter och jobbar med eller på fel VM.

Jag syftar först och främst på Linux då jag inte skulle ta i möget windows med tång ens. För det andra så har man väl laddaren i ifall man tvunget ska köra det på en laptop, annars får man ju köra det på en stationär dator. För det tredje så vet jag inte vad du ska in i BIOS och göra angående att hindra datorn från viloläge. Det är ju bara att ställa in i vm´s operativsystem att den ej ska gå i vila, någonsin under några som helst omständigheter.

Det har jag gjort på en del burkar utan problem. Det enda burken gör, är att släcka skärmen. Inget mer.

Tack för era synpunkter, det är intressant läsning! Jag har läst alla inlägg. Ja, även dina Enterprise, även om du behöver jobba lite på dina social skills..

Tyvärr verkar det som sagt inte finnas någon enkel lösning på det här problemet i närtid, vilket även styrktes av uttalandet från Kicksecure. Kryptering av guest virtual disk i VM är problematiskt, som nämndes i TS. En running host är ett säkerhetsproblem för en avstängd VM guest, och det kan vara bra att känna till i dessa tider.

Jag ska gräva vidare i detta vid sidan av mina studier.

Sorry, jag menade Regentia så klart!

Inget problem, jag läser alltid Regentias inlägg med största respekt.

En maskin för vissa projekt?
Alltså en helt annan burk alltså?

Här har jag skrivit ett inlägg om VirtualBox:

(FB) Ljudet sprakar och knastrar på Windows XP via VirtualBox

BUMP !!


Du behöver troligen installera Guest Additions, en file/mapp som du kopierar in till din Windows XP virtuella maskins filsystem. Den kan också monteras som en virtuell CD/DVD-enhet så att din virtuella XP kan se den.
Den heter på de senare versionerna VBoxGuestAdditions.iso

Med Autorun aktiverat på den virtuella CD/DVD-enheten så får du frågan om du ska köra den.
Den lägger alltså in alla de drivare som XP behöver för att skjutsa ut ljudet, den allra viktigaste är chipset, men också grafikemulatorn så att du kan använda flera skärmar, tror att XP Pro kan klara av att använda 2 skärmar, med max 2048x1536, dvs 4:3 format.

Sedan kan det ju vara lite kul att leta upp någon 32-bits webbläsare som fortfarande fungerar.
Den kan i och för sig inte presentera alla nyare webbsidor men det finns ju några gamla man kan surfa in på.

Tex det jättelika public service bolaget BBC hade för några år sedan fortfarande kvar intakta och fullt läsbara webbsidor från början av 2000-talet.

Ganska kul att läsa vad som var aktuellt då, eller hur ?

Här finns en guide om Guest Additions på Oracles hemsida:
https://www.virtualbox.org/manual/ch04.html#additions-windows

VirtualBox är en kompetent emulator/virtualiseringsverktyg men som kanske är klumpig att använda.
Många kommandon kan bara skötas från kommandotolken. Det finns relativt få GUI-dialoger i VBox.
VirtualBox tillåter flera VMs som rullar samtidigt förutsatt att du har mkt RAM och tillräcklig diskprestanda så att det räcker.

Du måste kanske investera i en gammaldags vanlig mus för att få musfunktionerna att fungera fint i dina virtuella Windows XP.
Du får då två muspekare på din skärm.

Det ser ut som att Windows 10 och Windows 11 stjäl alla kommandon på pekplattan på laptops och att det inte går att mappa dessa till den virtuella maskinen.
Jag gissar att det är någon inställning i VBox, och man får experimentera en hel del här, innan man hittar något som man trivs med.

Å andra sidan så har föregående postare alldeles rätt att VMWare Player är ett mycket mera ¨
kompetent virtualiseringssystem, där det finns större databaser för många olika maskinmiljöer.
Även för tex smartphones, Androids och iPhones.

Tyvärr ser det ut som den fria gratisversionen WMWare Player är borttagen från VM Wares hemsida.

Men en kopia finns kvar här:
https://www.techspot.com/downloads/1969-vmware-player.html

För närvarande råder en strid mellan NetFlix och VM Wares ägare Broadcom. NetFlix menar att VM Wares verktyg gör det möjligt att fulstreama tex NetFlix till abbonnenter som betalar betydligt lägre
priser. Pengar som NetFlix alltså säger sig förlora.
Broadcom har svarat med att höja NetFlix egna licensavgifter för deras produkter.

NetFlix använder alltså VM Wares produkter i stor utsträckning själva.
Det är alltså en strid i likhet med rättighetsinnehavarna och Piratebay.
Serverfarmerna som lagrar fulstreamarna på sina servrar tjänar förstås en hel del
på detta.

VM Wares hemsida här, men det krävs att du skapar ett konto för att ladda hem Hypervisorn, ett annat namn för en virtuell maskinhanterare:
https://www.vmware.com/products/desktop-hypervisor/workstation-and-fusion

Det är aldrig helt säkert att hålla på med virtuella maskiner. Dina VMs kommer alltid att dumpa data och cache på din host disk hur du än bär dig åt.

Kör bare-metal istället med fulldisk kryptering.

Alldeles riktigt att det är hela idén med en VM, att dels VMs virtuella hårddisk måste finnas någonstans, och någonstans måste maskintillståndet också dumpas, Om du
vill kunna återuppta sessionen i din VM.
Alltså jag förstår inte riktigt TS frågeställning ?

Antar att man har root-behörighet på hosten så kan du tvångspausa den aktuella VM och dumpa hela VMs innehåll på en fil.
Alltså i stort sett detsamma som att sätta VM i hibernate/sleep.
Den filen kan du sedan inspektera som du vill.

Jag förstår om TS tillåter remote inloggning på tex host och/eller VM
att det finns teoretiska möjligheter att få läsa innehåll i tex VM.
I så fall får man bara tillåta users med begränsade rättigheter, ej admins att kunna
logga in.

Så jag vet inte hur TS tänkt sig här ?
Man måste ju först identifiera vilka säkerhetshål som det kan finnas där.

Det har identifierats säkerhetshål med VMs som har VPNs aktiva, att hostens äkta publika IP-adress
kan "läcka" ut genom VM. Vet dock ej vilka tjänster och versioner av VM+Guest OS som det gäller.

MAC-adresser är inte idiotsäkra heller, och tex när man vill klona en VM till en ny kopia av VM så kan man välja att generera en ny MAC-address. Men du måste själv hålla reda på vilka MAC-addresser som du har assignat. Annars kan du få stora problem om två VMs som rullar samtidigt och som har samma MAC-adress. Då blir det slumpen som avgör vilka paket som kommer fram.

Vidare så skriver TS:


"En running host är ett säkerhetsproblem för en avstängd VM guest, och det kan vara bra att känna till i dessa tider. "

Såklart den är, men menar TS att hen inte har kontroll över hosten ?
Hur installerades då VM+Guest OS om inte TS hade root-behörighet på hosten ?
Verka ologiskt i mina öron....

Visst finns det tänkbara sätt att läsa innehållet i en VM, men det är ganska mycket jobb,
och innehållet är dessutom 1000-tals filer med helt ointressant innehåll.

Det svåra brukar vara att hitta det som verkligen är värdefullt. Det är därför som hackare
hellre använder sig av metoder där användaren själv lämnar uppgifterna frivilligt, alltså
"social friendly hackning".

Men det hjälper med träning, att labba själv med att konfig VMs och Guest OS och testa
sig fram till en lösning som verkar fungera bra för en själv.

För många krypteringssteg kan bli mycket tungrott och maskinerna kan bli
märkbart sega, har man dessutom en slö Internet-lina så märks det mycket.

Detta svar är kanske inte det svar som TS eftersträvar, men utan mera info så blir det
lite svårt att bena ut frågeställningen.