国内云服务的安全问题

[chohoor]

最近在 aliyun 上新开了一个 centos7.2 的服务器，改完 hostname ，发现重启后还会变回去。研究了一下，发现是 cloud-init 在每次开机时都会改一下 hostname ，禁止这个服务，重启，成功，于是有感。

通过查资料发现，在创建云主机的时候是通过 cloud-init 注入密码，密钥，进行一些初始化的配置（看过 nova 代码，发现 kvm 底层就可以注入密码了，不用在虚拟机里添加其它服务）。

然而不仅仅是这些，在研究弹性伸缩的时候发现远程还可以通过 cloud-init 执行脚本！！这不是等于留了一个很大的后门给云服务商吗？细思极恐。

以前用阿里的服务器， rc.local 里有好些开机运行的脚本，最近开的这台虽然没有了，但是通过 systemctl 看到还是有阿里和一些不知道干什么的服务。

监控和安全这些功能，完全可以在虚拟机外部而不用给虚拟机预装服务就可以实现，有时候，我们只需要一个干净的，而不是通过被预装了 xx 服务的镜像来创建的服务器。然而，国内的服务商好像普遍都没有用户上传自定义镜像来创建服务器的功能，目前就知道国外的 vultr 可以。

楼主云计算专业还没毕业，以上个人见解。
对于云服务器后门，大家有什么看法。顺便请推荐国内哪家可以上传自定义镜像来创建服务器。

[mandymak]

@chohoor 母鸡是人家的，有甚么隐私可言。

[chohoor]

@mandymak vultr 还是可以自定义镜像的，至少系统是干净的。

[sxul07]

国内没见过 国外 KVM 的主机基本可以自己上传的 吧=。=

不过硬件在人家手上，真要弄啥你也没啥办法…

[stabc]

跑题一下，云计算专业都教啥？

[chohoor]

@sxul07 隐私是其一，还有就是被预装了服务，感觉很烦。

[iA7489]

vps2arch

[chohoor]

@stabc 我是云架构方向，基础课程和计算机系的差不多，多了 python ， django ， linux ， shell ，虚拟化， kvm ， openstack 架构，搭建，开发，运维这些

[chohoor]

@iA7489 the fastest way to [convert] a vps to arch linux!!!

[vultr]

有阿里云的 ecs 上 ping nginx.org 得到以下这些内容，不知道是不是只有我遇到这种情况。

ping nginx.org
PING nginx.org.cn (47.90.14.232) 56(84) bytes of data.
64 bytes from 47.90.14.232: icmp_seq=1 ttl=110 time=52.6 ms
64 bytes from 47.90.14.232: icmp_seq=2 ttl=110 time=52.7 ms
64 bytes from 47.90.14.232: icmp_seq=3 ttl=110 time=52.6 ms
64 bytes from 47.90.14.232: icmp_seq=4 ttl=110 time=52.7 ms
64 bytes from 47.90.14.232: icmp_seq=5 ttl=110 time=52.7 ms
64 bytes from 47.90.14.232: icmp_seq=6 ttl=110 time=52.6 ms
64 bytes from 47.90.14.232: icmp_seq=7 ttl=110 time=52.7 ms
64 bytes from 47.90.14.232: icmp_seq=8 ttl=110 time=52.6 ms
64 bytes from 47.90.14.232: icmp_seq=9 ttl=110 time=52.7 ms
64 bytes from 47.90.14.232: icmp_seq=10 ttl=110 time=52.7 ms
64 bytes from 47.90.14.232: icmp_seq=11 ttl=110 time=52.6 ms
64 bytes from 47.90.14.232: icmp_seq=12 ttl=110 time=52.6 ms
64 bytes from 47.90.14.232: icmp_seq=13 ttl=110 time=52.6 ms
^C
--- nginx.org.cn ping statistics ---
14 packets transmitted, 13 received, 7% packet loss, time 13022ms
rtt min/avg/max/mdev = 52.629/52.698/52.748/0.039 ms

[jimzhong]

哪个大学本科开云计算专业？

[chohoor]

@vultr 改 dns 试试呢

[xrpbtc]

吓担心， aws 一样是这样的

[chohoor]

@xrpbtc 安全和功能是成反比的，想要更多的功能就要给云服务商更多的权利，还是有很多功能依赖于这些后门。

[doubleflower]

洁癖啊，得电

[aveline]

Vultr 也是用的 cloud-init 哦，是不是更加细思恐极了呢……

呵呵

[vultr]

@chohoor 是的，改了 dns 就没事了，但很多人都是不改的，如果装的 nginx 都是被换过的，那就麻烦大了。

[hanmiao]

@chohoor 别介意蛤
利用 OSS 自定义镜像给阿里云 ECS 服务器安装操作系统
https://bbs.aliyun.com/read/301207.html


我真不是有心的 233

[tempdban]

看了 nova 代码…兄弟你这代码是怎么看的， kvm 怎么能直接注入文件？ nbd?
注入文件的几个招除了用 nbd 直接挂载,其他的都是要守护进程适配的。
先毕业，之后少提看了 nova 代码

[chohoor]

@tempdban 看到了挂载镜像文件注入那里，研究不深，多谢指点，有时间再多看看

[chohoor]

@hanmiao 额……好嘛，还是我太年轻了