Aus Sicherheitsgründen möchte ich meinen Webbrowser auf einem VPS betreiben und per Remote Desktop über tailscale mit Linux unter Wayland darauf zugreifen.
Hat jemand eine ähnliche Lösung? Ist das sinnvoll?
Ich würde eher Richtung x11docker (unterst7tzt auch Wayland entgegen des Namens) oder Virtueller Maschinen schauen. Das bietet starke Isolation und du bist nicht auf einen Provider angewiesen. Wenn du dich jedoch vor jeglichen Seitenkanalangriffen schützen möchtest, wäre ein VPS eine gute Strategie.
1 „Gefällt mir“
Was spricht gegen eine lokale VM?
1 „Gefällt mir“
Vielen Dank, x11docker kannte ich noch gar nicht, das sieht schon mal sehr interessant aus.
Gründe sind Ressourceverbrauch, IP Adresse, Ausbrechen aus der VM…
1 „Gefällt mir“
Der ist auf dem VPS auch nicht weniger
Eine statische IP-Adresse die man nicht mal mit anderen teilt, wie es auf einem VPS normalerweise ist, ist perfekt um getrackt zu werden.
Browser-RCE+SbxEscape+PrivEscalation+VMEscape. Deine Feinde will ich nicht haben. Ich hoffe du verwendest Qubes+QubesWhonix und GrapheneOS im Alltag und sehr gutes Opsec. Ich bin mir nicht sicher, ob du weißt, was du da an Sicherheit forderst. Tust du’s?
2 „Gefällt mir“
Warum denkst du, dass du so ein extremes Setup benötigst?
1 „Gefällt mir“
Ein VM Exploit ist generell viel schwieriger als ein Browser Exploit oder Privilege Escalation, da die Angriffsfläche bedeutend kleiner ist und die Isolation mithilfe der CPU hardwarebasiert umgesetzt wird. Deswegen setzt ja QubesOS darauf.
Falls auch ein VM Exploit in deinem Bedrohungsszenario möglich ist, ist auch ein RCE Exploit über die Grafikweiterleitung vom VPS zu deinem Endgerät möglich.
1 „Gefällt mir“
Ich würde dir auch zu einer lokalen VM raten, am besten mit Kicksecure, da dort schon ein paar sinnvolle Einstellungen vorkonfiguriert sind und nur 2 GB an Arbeitsspeicher benötigt werden.
Wenn es härter sein soll, nimmt man sich dafür seperate Hardware und verwendet diese nur für den Webbrowser (an diesem Punkt kommen dann eigentlich nur noch Hardened-Chromium, Edge [vernüftig konfiguriert & nur wenn Privacy egal ist], Vanadium [wenn GOS] oder Tor infrage).
Benötigte man für diese Exploit Chain nicht aktiviertes JavaScript im Browser?
2 „Gefällt mir“