从云端盗取数据

从云端盗取数据

一项研究表明托管在云端某处的软件可以窥探附近运行的其他软件

黑暗之云：研究者所演示的一种新型攻击方法表明，人们在把自己的机密材料存储到云端前应三思。

 

云计算让人们不必再操心存储数据和运行软件所需的物理设备。但计算机安全公司RSA的研究者的一项研究指出，这种方式可能是个会让人付出高昂代价的错误。

 

研究者展示，云计算供应商托管的软件有可能从在同一个云上托管的其他软件中偷窃秘密。在实验中，他们设计了用来模拟亚马逊等云计算公司的设备的硬件，在其上运行恶意软件。这样他们可以从属于其他用户的软件中盗取用于保护电子邮件的密钥。

 

他们展示的这种攻击过于复杂，现在不大可能会对云平台的用户造成实际威胁，但这个试验回答了一个长久以来的问题：这样的攻击究竟是否可能。证据表明，一些非常重要的数据根本不应该委托给云端，RSA的首席科学家和公司实验室主任阿里•朱尔斯（Ari Juels）说。“最基本的教训就是如果你有些高度机密的工作负载，你不应该让它运行在某些陌生且可能不可靠的邻居旁边，” 朱尔斯说。

 

云计算发展迅速的原因之一是，由于用大型计算中心接管过去公司内小规模计算操作的工作而带来的规模经济效益，企业可以节约花销。而RSA的研究可能会让公司和政府部门暂停把更多系统迁移到云上的计划。此项研究是朱尔斯与北卡罗来纳大学教堂山分校及威斯康星大学的研究者共同完成的。

 

新的攻击方法动摇了支撑云计算的基本假设之一：一个客户的数据是与其他客户的数据完全隔离的。一般认为，这种隔离可由虚拟化技术提供，即用软件模拟一个物理计算机系统的。 “虚拟机”提供了安装和运行软件的熟悉系统，隐藏了实际上所有客户是在共享一个数据中心规模的复杂计算机系统的事实。

朱尔斯的攻击方法靠的是找出突破这种幻象的手段。他发现，因为虚拟机运行在同样的共享硬件资源上，一个虚拟机上的行为可以影响到其他虚拟机的运作。因此，控制了一个虚拟机的攻击者可以窥探储存在运行云环境的处理器缓存中的数据——缓存存储最近使用过数据方便以后快速访问——这种技巧被称作旁道攻击（side-channel attack）。

 

朱尔斯说，“虽然理论上是同攻击目标隔离开的，但攻击虚拟机可以通过共享资源瞥见受害者的行为。”

 

朱尔斯开发的软件利用了一种可以让软件在需要时获得访问物理处理器的优先权的功能特点。通过频繁要求使用处理器，攻击者可以侦测缓存来发现受害者正在执行涉及到他的电子邮件密钥的运算的迹象。

 

攻击者不能直接读取受害者的数据，但通过观察向缓存写入数据的速度有多快，它能够推测出一些关于受害者在缓存中留下了什么的线索。“攻击虚拟机可以捕捉到受害者的行为的片段，” 朱尔斯说。通过收集数千个这样的片段，它最终可能找出完整的密钥。

 

尽管这种攻击方式十分复杂，研究者称云计算服务商和用户还是应该严肃对待这种威胁。“防御这种攻击很具挑战性，” 朱尔斯说，他已经向亚马逊介绍了他的研究。

 

密歇根大学的计算机安全研究者迈克尔•贝利（Michael Bailey）评论说，被攻击的软件，名为GNUPrivacy guard的电子邮件加密程序已经被发现存在信息泄漏的问题，而且这项实验也不是在一个真实的商业云环境中进行的。但他也说，实验结果意义重大，并将鼓舞其他研究者——可能还有真正的攻击者——来证明这样的攻击是实际可行的。

 

“我感到兴奋的原因是终于有人给出了一个旁道攻击的实例，”贝利说。“对这个概念的证实会提高这种攻击被实现的可能性——它会激励人们寻找更认真的版本。”

 

一个特别需要关注的例子是采用这种方法来盗窃用于保护提供电子邮件、购物和银行服务的网站的密钥，贝利说，虽然这更具挑战性。朱尔斯说他正致力于探索能把这种新形式的攻击推进到何种程度。

 

原文链接