腾讯云太恶心了，非常不安全

2023-01-15 23:31:16 +08:00
 dizzylight

买了一个腾讯 ec2 服务器部署了 frp 作为中转间接可以外网访问家庭主机的一些服务。接到腾讯短信提醒：

腾讯云] 尊敬的腾讯云用户，您好！您的腾讯云账号（账号 ID：100001xxxxxx ，昵称：100001xxxxxx ）下的服务器：10.0.x.x [Ubuntu-DqgQ]，实例 ID：lhins-krgdgxxx ，地域：华东地区 (上海)，时间：2023-01-14 13:03:25(GMT+8:00)，检测到存在待处理的恶意文件：/home/ubuntu/.local/FRP/frp_0.44.0_linux_amd64/frps ，威胁等级：严重，您的服务器疑似被黑客入侵，建议您及时确认，避免造成严重损失，请前往主机安全（ https://mc.tencent.com/xxxxx ）查看详细信息。

打着安全名义在不经过客户同意下随意扫描文件，不知道是否只是腾讯云这么干，估计阿里华为更差（亚马逊就没有这些破事儿），基本上裸奔了没有任何隐私性，建议大家千万不要把重要敏感的东西放到云上。

20504 次点击
所在节点    信息安全
126 条回复
wangyu17455
2023-01-16 11:09:08 +08:00
安全加固那个勾不是你自己勾上的？勾上了就等于预装杀毒软件，杀毒软件扫你盘很奇怪吗，你不想让他扫就别勾安全加固啊
cwcc
2023-01-16 11:10:52 +08:00
@hello2090 服务商看到文件和监控软件扫描文件也是两回事。服务商能接触到物理机理论上当然能看到你的文件，只要你不全盘加密。扫描文件是防毒软件和监控软件必须做的事情，没有办法不扫描就找到病毒的杀毒软件。当然基础的隐私还是会有保障的，比如扫描文件不等于随便上传文件内容到别的服务器。但这就和苹果的口头承诺一样，如果想知道真实的答案，最后总要实事求是，自己去论证这些服务的安全性。
hello2090
2023-01-16 11:14:21 +08:00
@cwcc 至少政企、高校和医疗行业都称它为公有云，有一定的公共环境性质，自然不是纯私有的环境

那公共环境和私有环境的区别是什么？肯定不光光是扫描病毒吧
AngryPanda
2023-01-16 11:17:08 +08:00
用自己的镜像可以避免楼主的问题吗？
Depth
2023-01-16 11:28:21 +08:00
我刚看了一下，腾讯购买云主机有两个界面，一个是快速配置（包含了安全加固、防 DDOS 等服务）一个是自定义配置，镜像啥自己选，默认不包含。有可能楼主在创建云主机的时候没有看，直接购买默认包含该服务了。
cwcc
2023-01-16 11:29:59 +08:00
@hello2090 部署环境就是很大的区别。比如政企都是自己部署局域网、机房和服务器的。即使部分是云租户，也在验收等保安测等过程中会要求云提供商授予客户端可控得加解密和数据访问权限才行。所以，你可能把我说得公共环境理解错了，我说的是和互联网环境直连的，并且是面向大众的共同使用的平台就是公共环境，私有环境就是自行部署机器的环境，物理层面和其他计算设备和上级管理进行了隔离。当然这个对于我们个人来说，是不是私有和公有的意义不大，个人云的数据保护力度是最基础的。如果个人真的很在意安全，那最好都上企业级服务了，还有专人客服。
azure2023us
2023-01-16 11:34:15 +08:00
跑个题，

中转用 wireguard 。云端 wiregurad server ，内网软路由 部属 wireguard client （ openwrt ）

云端 server 添加下面的 iptables 策略，就可以实现 2 个 client 之间相互通信。

````
iptables -I FORWARD -i wg0 -o wg0 -j ACCEPT
15855pm
2023-01-16 11:37:18 +08:00
我昨天刚在腾讯云轻量服务器装了 frp😹
ltkun
2023-01-16 12:29:11 +08:00
其实玩过私有云的就知道了 什么虚拟机都可以直接进入 只要有管理员权限 所有不管啥公有云都是一样的不保险 因为没有真正的 root 权限
ragnaroks
2023-01-16 12:39:06 +08:00
@hello2090 "那公有云这个概念里的公有就是你的文件云厂商可以随便看的意思吗？" => "是"。我几年前因为做彩票预测（站内说不定还能搜到）被杭州警方调查，警方本来是直接让阿里云给接口进去机器看文件，但是阿里云极力协调最终以给磁盘镜像的形式提供。在律师的鼎力相助下最终获得了几万块的国家赔偿，虽然全部给律师了。
codingbody
2023-01-16 12:46:02 +08:00
@cwcc 什么灰产？
wu67
2023-01-16 12:56:23 +08:00
上了云其实就没有多少安全可言了, 只不是有些厂商还是掩饰一下, 有些甚至不屑于掩饰.
通常来说都是增加获取成本和法律约束来达到相对的安全 /心理防线. 但是实际操作嘛, 你跟我讲 XX, 我都想笑
HarrisonZ
2023-01-16 13:13:04 +08:00
国内云供应商提供的 OS image 里面都有自己的扫描 agent 来做一些增值业务。可以使用自己制作的干净的 image 来创建 vm 。并且对数据进行 AES 加密。
lrabbit
2023-01-16 13:16:31 +08:00
我用 docker 部署的 frp ，一直没啥事
iamkiptim
2023-01-16 13:19:49 +08:00
其实都是政策要求，厂商也是被迫扫盘。
FrankAdler
2023-01-16 13:24:03 +08:00
同样腾讯云，买来就 DD 了个纯净的系统，跑过 xray 、trojan 、frp 、ss 等都没有被封啥的
yanwen
2023-01-16 13:27:14 +08:00
买回来首先第一件事 DD 一个干净的系统（自己认为干净就行），然后随便干啥都不理你了
lyping
2023-01-16 13:28:15 +08:00
选系统的时候，默认勾选了安装安全组件。但可以取消。取消选择应该就没这些事情吧！
ptrees
2023-01-16 14:17:35 +08:00
盲猜是这样:本来是不扫的,但是有人真的被黑了以后去闹,最后不得不加上扫描.国内很多事情都是这样,双向选择罢了.
aver4vex
2023-01-16 14:27:38 +08:00
这种随意扫描用户文件的事儿又不是第一次。不管腾讯，阿里，还是其他的厂商都会这样做。用国内的服务要有觉悟。

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://tanronggui.xyz/t/909154

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX