Chcę hostować witrynę na komputerze stacjonarnym z systemem Ubuntu i maszyną wirtualną z systemem Windows. Oddam komputer w zamian za kilka miesięcy zdalnego hostingu. Chcę dodać jakąś blokadę (sprzętową lub inną), aby użytkownicy końcowi mieli trudności z ponowną instalacją systemu Windows i korzystaniem z maszyny w dowolny sposób, wbrew umowie.
Idealnie byłoby, gdyby maszyna zginęła, gdyby podjęto próbę ponownej instalacji systemu operacyjnego. To nie musi być całkowicie nie do pokonania , ale musi to być dość trudne, aby zapobiec dorywczo reinstalacji . Być może podczas uruchamiania system może sprawdzić, czy pewne pliki istnieją na komputerze i odmówić rozruchu, jeśli nie istnieją. Nie wiem, czy jest to możliwe, ale może BIOS jest chroniony hasłem i szuka plików przed uruchomieniem. Pliki, których szuka, mogą być wrażliwe na datę, tj. Wymagają zdalnej wymiany zgodnie z harmonogramem.
Odpowiedzi:
Jedynymi narzędziami, które masz do zapobiegania instalowaniu nowego systemu operacyjnego na standardowym sprzęcie komputerowym, byłoby zrobienie czegoś takiego:
Zamknij skrzynkę. Skorzystaj ze szczeliny Kensington, jeśli masz taką skrzynkę, w przeciwnym razie fizycznie ją zablokuj.
Skonfiguruj hasło konfiguracji systemu BIOS.
Skonfiguruj system BIOS, aby uruchamiał się tylko z pierwszego dysku twardego, aby nie uruchamiał zewnętrznego urządzenia USB, sieci LAN ani dysku CD-ROM. Wyślij komputer bez dysku CD-ROM i / lub dyskietki, jeśli to możliwe. Wewnętrznie odłącz lub epoksydowe porty USB.
Nie jestem pewien, czy możesz skonfigurować GRUB, aby nigdy nie uruchamiał się z zewnętrznego dysku, ale jeśli to możliwe, GRUB powinien być skonfigurowany w ten sposób.
Wybierz dobre hasła roota i hasła użytkownika.
Oczywiście, jeśli fizycznie otworzą obudowę, niewiele można zrobić, ale powinno to zapobiec przypadkowej ponownej instalacji innego systemu operacyjnego.
źródło
Jeśli dajesz komuś fizyczny dostęp do maszyny, nic nie możesz zrobić, aby go zatrzymać.
źródło
Możesz zastąpić wszelkie widoczne śruby bezpiecznym Torx, szczególnie śruby przytrzymujące dysk twardy w miejscu. W ten sposób nie mogą zainstalować innego systemu operacyjnego na innym dysku twardym, wymienić dysku twardego, a następnie uruchomić z nowego dysku twardego. Każdy może kupić bezpieczne sterowniki Torx, ale spowolni to normalną osobę, która prawdopodobnie nie będzie miała żadnego w swoim zestawie narzędzi.
źródło
Istnieje kilka komputerów Dell, które potrzebują hasła administratora, aby uruchomić komputer z innego dysku niż dysk twardy. Minusem jest to, że jeśli bateria CMOS zostanie wyjęta na 30 sekund, będą w stanie ominąć wcześniej ustawione ustawienia BIOS, ponieważ wszystkie zostaną całkowicie przywrócone. Ale to tylko moje 2 centy. Chyba że osoba, której to dajesz, naprawdę wie o resetowaniu systemu BIOS tylko po to, aby zainstalować system Windows, to nie dawaj mu komputera, ale w przeciwnym razie może to uniemożliwić przypadkową instalację.
źródło
Rób to, co robi większość firm, zmuś je do podpisania umowy, w której odmówisz wsparcia, jeśli zmienią system operacyjny.
źródło
Na pytanie z komentarzy:
Tak, możliwe, ale tylko na co dzień i podatne na problemy z siecią.
Możesz umieścić skrypt w sekcji init-script, która sprawdza dostęp do Internetu i robi to,
shutdownjeśli nie ma dostępu.Bardziej rozbudowane skrypty mogą pisać do protokołu lub uzyskiwać dostęp do strony internetowej na podstawie daty.
Jeśli użytkownik ma uprawnienia administratora, może wykryć skrypt, usunąć go, dezaktywować i manipulować nim na wszystkie sposoby.
Dlatego musisz wyłączyć tryb „ratunkowy” w GRUB-ie i wyłączyć możliwość modyfikowania GRUB-a przez przerwanie uruchamiania.
Jeśli użytkownik napotka przypadkowe problemy z siecią, urządzenie może zostać przypadkowo wyłączone.
źródło
To powinno dać ci poziom bezpieczeństwa, który wydaje się, że szukasz.
źródło
Opcją sprzętową jest bezpieczna obudowa komputera. Kupiłem tę skrzynkę wieki temu (nie jest już dostępna, ale daje wyobrażenie o tym, czego szukasz). Ma zamykane drzwi przednie i zamykany panel boczny (drugi panel boczny jest nitowany, nie zsuwa się). Zasadniczo, jeśli wszystko jest zamknięte, wszystko, co możesz uzyskać, to tylne złącza i kilka złączy na panelu przednim (dwa USB, jedno FireWire400). Nie ma dostępu do napędów, przycisku zasilania ani przycisku resetowania. Rzeczywista zakładka blokująca jest tylko plastikowa, więc jestem pewien, że można ją złamać z wystarczającą siłą, ale nie szukasz tutaj zabezpieczeń klasy CIA. Powinno wystarczyć, aby ich zniechęcić.
źródło