Is de cloud per definitie lek?

Vier onderzoekers van de Massachusetts Institute of Technology (MIT) en de Universiteit van Californië trekken na onderzoek de conclusie dat het mogelijk is voor onbevoegden om alle draaiende virtuele machines af te luisteren. De methode zou ook nog eens generiek zijn, en dus toepasbaar op andere leveranciers van verschillende clouddiensten, specifiek de Elastic Compute Cloud (EC2) van Amazon.

Beveiliging is al vanaf het begin een punt van aandacht voor de zakelijke inzet van cloud computing. Critici menen dat je gegevens feitelijk buiten de eigen firewall wegzet, en dat dit per definitie de beveiliging schaadt.

Aanval

De hypothetische methode die de onderzoekers hebben toegepast, gaat ervan uit dat je eerst de fysieke server moet vinden waarop de doel-VM draait. Dat zou volgens het rapport kunnen met behulp van data als IP-adres en domeinnaam. Als deze 'cartografische' fase is afgerond, kunnen aanvallers een eigen VM op die specifieke server zetten. Dat kan 'brute force' door zelf nieuwe VM's af te nemen bij Amazon, tot er eentje op de doel-server wordt neergezet. De kans dat een VM op de juiste server wordt gezet, kan worden vergroot met wat de onderzoekers 'instance flooding' noemen; in een keer heel veel aanvragen neerzetten op het moment dat een server actief wordt. Die zal dan automatisch zijn eigen capaciteit vergroten door meer VM's te plaatsen op die specifieke machine.

De 'kwaadaardige' VM kan vervolgens gedeelde gegevens gaan afluisteren, bijvoorbeeld door gebruik te maken van hetzelfde fysiek geheugen en processors als de andere VM's. Een analyse kan er vervolgens voor zorgen dat aanvallers weten vanuit waar en op welk moment ze de virtuele server kunnen bestoken met aanvallen.

Het fundamentele probleem ligt volgens de onderzoekers in het feit dat een enkele fysieke infrastructuur wordt toegepast om data te bewaren van verschillende elkaar wantrouwende gebruikers. Zelf hebben de onderzoekers het geheel getest in een gecontroleerde, eigen omgeving gemodelleerd naar de EC2-cloud, maar ze zien geen reden waarom het niet op servers van publieke clouds zou kunnen.

Gemakkelijk is het allemaal niet, en Amazon reageert tegenover Computerworld dan ook dat het gevaar niet moet worden overdreven. "De zogenaamde Side-Channel-technieken van de onderzoekers zijn toegepast op een gecontroleerde omgeving die anders is dan de Amazon EC2-omgeving", verklaart een woordvoerster tegenover Computerworld. Ook heeft Amazon volgens de zegsvrouw al waarborgen ingebouwd om het in kaart brengen van servers tegen te gaan, maar welke dat zijn wilde ze niet kwijt.

Bron: Techworld