Forskare hitta ett nytt sätt att attackera molnet

Amazon och Microsoft har drivit cloud computing-tjänster som ett billigt sätt att outsourca rå datorstyrka, men produkterna kan introducera nya säkerhetsproblem som ännu inte har undersökts fullt ut, enligt forskare på University of California, San Diego och Massachusetts Institute of Technology.

Cloud-tjänster kan spara företag pengar genom att låta dem köra nya program utan att behöva köpa ny maskinvara. Tjänster som Amazonas Elastic Computer Cloud (EC2) är värd flera olika operativmiljöer i virtuella maskiner som körs på en enda dator. Detta gör att Amazon klämmer ut mer datorkraft från varje server i sitt nätverk, men det kan komma till en kostnad, säger forskarna.

I experiment med Amazons EC2 visade de att de kunde dra av några väldigt grundläggande versioner av det som är känt som sidokanalattacker. En sidokanalattacker tittar på indirekt information relaterad till datorn - till exempel de elektromagnetiska utsöndringarna från skärmar eller tangentbord - för att bestämma vad som händer i maskinen.

[Vidare läsning: Så här tar du bort skadlig kod från din Windows PC]

Forskarna kunde identifiera den fysiska servern som används av program som körs på EC2-molnet och sedan extrahera små mängder data från dessa program genom att placera sin egen programvara där och starta en sidokanalattack. Säkerhetsexperter säger att attackerna som utvecklats av forskarna är mindre, men de tror att sidokanalsteknik kan leda till allvarligare problem för cloud computing.

Många användare är redan ovilliga att använda molntjänster på grund av lagstiftningsrelaterade frågor - de behöver ha ett bättre handhavande på deras fysiska plats - men sidokanalforskningen ger en helt ny uppsättning problem, säger professor Tadayoshi Kohno vid University of Washingtons datavetenskapliga avdelning. "Det är just dessa typer av oro - hotet om det okända - det kommer att göra många människor tveksamma till att använda molntjänster som EC2."

Tidigare har vissa sidokanalattacker varit mycket framgångsrik. Under 2001 visade forskare vid University of California, Berkeley hur de kunde extrahera lösenordsinformation från en krypterad SSH (Secure Shell) dataström genom att utföra en statistisk analys av hur tangentbordsströmmar genererade trafik på nätverket.

UC- och MIT-forskarna kunde inte uppnå någonting så sofistikerat, men de tror att deras arbete kan öppna dörren för framtida forskning på detta område. "En virtuell maskin är inget bevis mot alla slags sidokanalattacker som vi har hört talas om i flera år", säger Stefan Savage, docent med UC San Diego och en av författarna till papperet. > Genom att titta på datorns minnescache kunde forskarna få en del grundläggande information om när andra användare på samma maskin använde ett tangentbord, till exempel för att komma åt datorn med en SSH-terminal. De tror att genom att mäta tiden mellan tangenttryckningar kunde de så småningom räkna ut vad som skrivs på maskinen med samma tekniker som Berkeley-forskarna. Savage och hans medförfattare Thomas Ristenpart, Eran Tromer och Hovav Shacham kunde också att mäta cachevirkningen när datorn utför enkla uppgifter, t.ex. att ladda en viss webbsida. De tror att den här metoden kan användas för att göra saker som att se hur många Internetanvändare som besökte en server eller ens vilka sidor de visade.

För att göra sina enkla attacker fungerade, var forskarna tvungna att inte bara ta reda på vilken EC2 maskinen körde programmet de ville attackera, de fick också hitta ett sätt att få sitt program på det. Detta görs inte enkelt, eftersom cloud computing enligt definition skulle göra denna typ av information osynlig för användaren.

Men genom att göra en djupgående analys av DNS-domännamn (Domain Name System) -trafik och använda ett nätverksövervakningsverktyg som kallas traceroute kunde forskarna utarbeta en teknik som skulle ge dem en 40 procent chans att placera sin attackkod på samma server som deras offer. Kostnaden för attacken på EC2 var bara några få dollar, sa Savage.

Virtuella maskiner kan göra ett bra jobb att isolera operativsystem och program från varandra, men det finns alltid en öppning för dessa sidokanalattacker på system som delar resurser, säger Alex Stamos, en partner med säkerhetskonsult iSEC Partners. "Det kommer att bli en helt ny klass av buggar som människor kommer att behöva fixa under de närmaste fem åren."

Hans företag har arbetat med ett antal kunder intresserade av cloud computing, men bara om de kan försäkra sig att ingen annan delar samma maskin. "Jag antar att cloud-computing-leverantörerna kommer att drivas av sina kunder för att kunna tillhandahålla fysiska maskiner." Amazon var inte riktigt redo att prata om sidokanalattacker torsdag. "Vi tar alla säkerhetsanspråk mycket allvarligt och är medvetna om den här forskningen", sa en talesman. "Vi undersöker och kommer att lägga upp uppdateringar till vårt säkerhetscenter."