Ich suche nach einer Möglichkeit, auf meinem eigenen Computer eine Art Befehl auszuführen, der meine PHP-Skripte und eine Art Konfigurationsdatei in eine Blackbox einer einzelnen Datei „backt“, etwa wie My server.abc, in die niemand „einschauen“ kann und die ich einfach auf die Website einer Firma hochlade und die dann in deren großen „Cloud-Computer“ oder was auch immer geht und dann läuft, solange ich meine Rechnungen bezahle, und sie haben keine Ahnung, was sich in dieser verschlüsselten „Box“ befindet; sie sehen nur, dass sie Datenpakete sendet und empfängt. Die Konfigurationsdatei wäre nur eine sehr abstrakte Liste der Software, die ich darin haben möchte, etwa: „PHP 8, PostgreSQL 13, nginx 123, sshd“, und ein einfacher Benutzername/ein einfaches Passwort, damit ich per SFTP/SSH darauf zugreifen kann.
Ich bin mir völlig darüber im Klaren,könnteSeitechnisch unmöglich, aber nach meinem Computerverständnis klingt es, als wäre es möglich, auch wenn es eigentlich nicht möglich istverfügbaraus anderen Gründen.
Ich kann keinen Server zu Hause hosten. Vor allem keinen Webserver, von dem erwartet wird, dass er die meiste Zeit verfügbar ist. (Tatsächlich habe ich das viele Jahre lang gemacht, aber es war ein Albtraum, wenn das Internet ausfiel oder es einen Stromausfall oder Brandgefahr gab oder die Hardware kaputt ging oder es einen DDoS-Angriff gab.)
Ich kann keinen „Webhost“ verwenden, bei dem ich einer Firma dafür bezahle, dass sie mir einen kleinen SFTP-Login ermöglicht, wo ich meine Dateien ablege, und ein Web-Kontrollfeld. Fast keiner von ihnen unterstützt PostgreSQL (die Datenbank, die ich verwende), aber selbst wenn sie es täten, ist diese Umgebung einfach überhaupt nicht sicher.
Ich kann nicht irgendein Unternehmen für meinen eigenen dedizierten Server bezahlen, den ich selbst verwalte und verwalte. Nun, eigentlichkönntedas tun, aber da ich das viele Jahre lang getan habe und mich vor Stress fast in den Wahnsinn getrieben habe, möchte ich das, wenn möglich, vermeiden. Außerdem liegt es, obwohl es „dediziert“ ist, außerhalb meiner Kontrolle und es werden normalerweise sehr unsichere Remote-Management-Lösungen verwendet. Und wenn ich aus irgendeinem Grund nicht da sein und den Server beaufsichtigen und mitten in der Nacht Patches anwenden kann, wird es schnell unsicher. Außerdem würde ich FreeBSD, Linux oder Windows Server, wenn möglich, nie wieder in meinem Leben verwenden …
(Eine VM ist dasselbe wie oben, mit den zusätzlichen Problemen, die sich daraus ergeben, dass es sich um eine VM handelt, mit abweichenden Uhren und all dem Mist.)
Ich kann kein Unternehmen dafür bezahlen, einen „verwalteten“ dedizierten Server bereitzustellen, bei dem sie den ganzen Stress übernehmen. Vor allem, weil ich ihnen einfach nicht zutraue, kompetent zu sein, da ich in der Vergangenheit so oft mit IT-„Profis“ zu tun hatte, aber auch, weil es natürlich viel mehr Geld kostet.
Ich kann kein Unternehmen für einen unscharfen „Cloud“-Dienst bezahlen, weil das wiederum einfach nicht sicher ist. Es ist völlig unklar, wo und wie mein „Server“ existiert, und es könnte genauso gut ein VM-/Webhost-Konto sein. Außerdem, und vielleicht habe ich einfach nur Pech, habe ich vor ein paar Jahren tatsächlich versucht, sowohl AWS, Azure als auch die Cloud-Lösung von IBM zu verwenden, und ich konnte mich bei zweien nicht einmal registrieren/anmelden, und Azure war so lächerlich kaputt, dass es nicht einmal möglich war, einen Test-„Server“ einzurichten!
Ich bin mir bewusst,Existenzvon „Docker“ und ähnlichen Dingen, aber ich habe nie wirklich herausgefunden, wie man es benutzt. Ich habe wirklich viel Zeit damit verbracht. Es scheint überhaupt nicht das zu sein, was ich will.
Bitte erzählen Sie mir nicht, dass ich 100 % der Datenverarbeitung auf meinem Desktop-Computer erledigen muss und den ganzen Tag statische HTML-Dateien erzeuge, die ich dann über SFTP mit einem Webhost-Konto synchronisiere. Denn das ist der verzweifelte „letzte Ausweg“, den ich in Betracht ziehe, wenn ich meine Sachen nicht sicher ausführen kann. Natürlich bedeutet das, dass meine Website keine Interaktivität und keine Möglichkeit zum „Anmelden“ hat. Auf diese Weise wird alles viel schwieriger, aber ich kann anderen meine Daten und die meiner Benutzer einfach nicht anvertrauen, wenn ich dies nicht auf wirklich sichere Weise tun kann.
Antwort1
Die allgemein akzeptierte Vereinfachung lautet: Egal, welche Sicherheitsvorkehrungen und Verschlüsselungen Sie in Ihre Software eingebaut haben, diese schützen Sie nicht vor einem entschlossenen Gegner, der die vollständige Kontrolle über die Hardware hat, auf der Ihre Software läuft.
Wenn das der Fall ist: Wie und warum nutzen selbst große Unternehmen immer noch Cloud-Lösungen, bei denen sie selbst für wertvolle und sensible Anwendungen und Daten, deren Sicherheit gewährleistet sein muss, keine Kontrolle über die physische Hardware haben?
Vertrauen sie einfach darauf, dass der Hosting-Anbieter für die Sicherheit der Hardware und letztendlich ihrer Daten und Anwendungen sorgt?
Im Wesentlichen ja, aber daran ist nichts „einfach“.
Es gibt Kosten-Nutzen- und Risikoanalysen sowie Risikomanagementprozesse.
Im Allgemeinen nehmen diese Unternehmentechnische Maßnahmen die Risiken zu kontrollieren (oder zumindest alles zu tun), um sicherzustellen, dass es selbst dann, wenn ein Angreifer die Kontrolle über die Hardware übernimmt, nicht einfach oder trivial ist, diesen Zugriff zu nutzen, beispielsweise durch die Implementierung der Verwendung von (Vollplatten-)Verschlüsselung zum Speichern von Restdaten, Transportverschlüsselung für die gesamte Kommunikation zwischen Systemen und Benutzern, Signaturen und Nichtabstreitbarkeit für Transaktionen usw.
Dann verlassen sie sich bei ihrem Risikomanagement nicht allein auf Software und Verschlüsselungslösungen; sie tun ihrSorgfaltspflichtbei der Auswahl vertrauenswürdiger Parteien zur Verwaltung der Hardware und der Verpflichtung dieserVerträge mit SLAs und Vertragsstrafenum sie ehrlich zu halten.
Und Unternehmen im Allgemeinenprüfen und verifizierenob die eigenen Mitarbeiter und Teams sowie ihre Provider tatsächlich das halten, was sie versprechen und tun sollen.