Peneliti Menemukan Jalan Baru untuk Menyerang Awan

Amazon dan Microsoft telah mendorong layanan cloud-computing sebagai cara berbiaya rendah untuk mengalihdayakan kekuatan komputasi mentah, tetapi produknya mungkin memperkenalkan masalah keamanan baru yang belum sepenuhnya dieksplorasi, menurut para peneliti di University of California, San Diego, dan Massachusetts Institute of Technology.

Layanan cloud dapat menghemat uang perusahaan dengan memungkinkan mereka menjalankan aplikasi baru tanpa harus membeli perangkat keras baru. Layanan seperti Amazon's Elastic Computer Cloud (EC2) menghosting beberapa lingkungan pengoperasian yang berbeda dalam mesin virtual yang berjalan pada satu komputer. Hal ini memungkinkan Amazon memeras lebih banyak daya komputasi dari setiap server di jaringannya, tetapi itu mungkin datang dengan biaya, kata para peneliti.

Dalam percobaan dengan Amazon EC2, mereka menunjukkan bahwa mereka dapat melakukan beberapa versi dasar dari apa yang diketahui. sebagai serangan side-channel. Seorang penyerang side-channel melihat informasi tidak langsung yang terkait dengan komputer - emanasi elektromagnetik dari layar atau keyboard, misalnya - untuk menentukan apa yang sedang terjadi di dalam mesin.

[Bacaan lebih lanjut: Bagaimana cara menghapus malware dari Anda Para peneliti dapat menentukan server fisik yang digunakan oleh program yang berjalan di cloud EC2 dan kemudian mengekstrak sejumlah kecil data dari program-program ini, dengan menempatkan perangkat lunak mereka sendiri di sana dan meluncurkan serangan side-channel. Pakar keamanan mengatakan serangan yang dikembangkan oleh para peneliti itu kecil, tetapi mereka percaya teknik saluran samping bisa mengarah ke masalah yang lebih serius untuk komputasi awan.

Banyak pengguna yang sudah enggan menggunakan layanan cloud karena masalah regulasi - mereka perlu memiliki pegangan yang lebih baik di lokasi fisik data mereka - tetapi penelitian saluran samping membawa serangkaian masalah baru, menurut Tadayoshi Kohno, asisten profesor di departemen ilmu komputer Universitas Washington. "Ini benar-benar jenis kekhawatiran - ancaman yang tidak diketahui - yang akan membuat banyak orang ragu-ragu untuk menggunakan layanan cloud seperti EC2."

Di masa lalu, beberapa serangan side-channel sudah sangat sukses. Pada tahun 2001, para peneliti di University of California, Berkeley, menunjukkan bagaimana mereka mampu mengekstrak informasi kata sandi dari aliran data SSH (Secure Shell) yang dienkripsi dengan melakukan analisis statistik tentang cara stroke keyboard menghasilkan lalu lintas di jaringan.

Para peneliti UC dan MIT tidak dapat mencapai sesuatu yang canggih, tetapi mereka berpikir pekerjaan mereka dapat membuka pintu untuk penelitian masa depan di bidang ini. "Mesin virtual bukan bukti terhadap semua jenis serangan saluran samping yang sudah kami dengar selama bertahun-tahun," kata Stefan Savage, profesor di UC San Diego, dan salah satu penulis makalah.

Dengan melihat cache memori komputer, para peneliti mampu mengumpulkan beberapa informasi dasar tentang kapan pengguna lain di mesin yang sama menggunakan keyboard, misalnya untuk mengakses komputer menggunakan terminal SSH. Mereka percaya bahwa dengan mengukur waktu antara penekanan tombol, mereka akhirnya bisa mengetahui apa yang sedang diketik pada mesin menggunakan teknik yang sama seperti peneliti Berkeley.

Savage dan rekan-penulisnya Thomas Ristenpart, Eran Tromer dan Hovav Shacham juga mampu untuk mengukur aktivitas cache ketika komputer sedang melakukan tugas-tugas sederhana seperti memuat halaman Web tertentu. Mereka percaya bahwa metode ini dapat digunakan untuk melakukan hal-hal seperti melihat berapa banyak pengguna internet mengunjungi server atau bahkan halaman mana yang mereka lihat.

Untuk membuat serangan sederhana mereka bekerja, para peneliti tidak hanya harus mencari tahu EC2 yang mana. mesin menjalankan program yang ingin mereka serang, mereka juga harus mencari cara untuk mendapatkan program khusus mereka di atasnya. Ini tidak mudah dilakukan, karena komputasi awan, menurut definisi, seharusnya membuat informasi semacam ini tidak terlihat oleh pengguna.

Tetapi dengan melakukan analisis mendalam terhadap lalu lintas DNS (Domain Name System) dan menggunakan alat pemantauan jaringan yang disebut traceroute, para peneliti dapat menyusun teknik yang dapat memberi mereka kesempatan 40 persen untuk menempatkan kode serangan mereka pada server yang sama dengan korban mereka. Biaya serangan terhadap EC2 hanya beberapa dolar, kata Savage.

Mesin virtual dapat melakukan pekerjaan baik untuk mengisolasi sistem operasi dan program dari satu sama lain, tetapi selalu ada pembukaan untuk serangan saluran samping ini pada sistem yang berbagi sumber daya, kata Alex Stamos, mitra dengan konsultan keamanan iSEC Partners. "Ini akan menjadi bug kelas baru yang harus diperbaiki oleh orang-orang dalam lima tahun ke depan."

Perusahaannya telah bekerja dengan sejumlah klien yang tertarik dengan komputasi awan, tetapi hanya jika mereka dapat diyakinkan. bahwa tidak ada orang lain yang berbagi mesin yang sama. "Saya menduga penyedia komputasi awan akan didorong oleh klien mereka untuk dapat menyediakan mesin fisik."

Amazon belum cukup siap untuk berbicara tentang serangan side-channel Kamis. "Kami menganggap semua klaim keamanan sangat serius dan menyadari penelitian ini," kata seorang juru bicara. "Kami sedang menyelidiki dan akan mengirim pembaruan ke pusat keamanan kami."