自从有次过海关的时候电脑被TSA开包检查硬盘还掉下来了之后，我的被害妄想症就越来越没救了。
这篇文章假设有人可以物理接触你的电脑，以及你所在的网络不可信，这种情况下应该怎么保护你的服务器数据安全。
- 使用代理登录SSH以隐藏服务器IP。如果有多台服务器，选择一个位置最近的做跳板机，加密它的文件系统（OpenVZ再见）。设置另外机器的hosts.deny和hosts.allow为仅允许跳板机IP登录；如果使用不支持tcpwrapper的服务如dropbear，需手动设置iptables。
- 登录跳板机的方式要和登录另外机器的方式不同。
- 使用密码＋google authenicator登录跳板机，然后通过公钥登录别的机器。设置跳板机的sudo需要密码，且设置为不同于当前账户的密码；方法是在/etc/passwd中添加一行toor:x:0:0:root:/root:/usr/sbin/nologin，使用passwd修改toor的密码，在/etc/sudoers中添加一行Defaults runas_default=toor, runaspw。
- 使用密钥A登录跳板机，使用另一个密钥B登录别的机器。密钥B应保存在本地，通过ssh-agent转发到跳板机。不同设备上的密钥B可以设置不同的passphrase。dropbear不支持ed25519，而ecdsa据都市传说可能存在NSA的后门。
- 每三个月更换一次密钥。
- 保证密钥的passphrase的强度；不使用任何云服务保存密码和密钥；如果实在记性太差，在本地AES加密一次，然后做好伪装（比如将二进制密文附到图片文件之后或压缩文件之前，［密文｜!Rar…] 或 [\xFF\xD8…\xFF\xD9|密文]）。
- 设置fail2ban。
- 监控跳板机/var/log/wtmp中的登录IP。
- 如果没有必要，关闭SSH和其他各类开放端口。
- 所有明文服务尽可能走tls。如果客户端支持SNI，配置假证书以防止被猜测域名。可以使用lua-resty-sniproxy。
欢迎交流
