亞馬遜云計(jì)算漏洞　IT共享模式受挑戰(zhàn)

2009年云計(jì)算風(fēng)靡全球，亞馬遜、微軟等諸多公司提供的云計(jì)算產(chǎn)品和服務(wù)可以讓廣大的中小企業(yè)用戶不用購(gòu)買IT硬件設(shè)備，就能夠以較低的成本獲得所需要的計(jì)算能力，并在上面運(yùn)行自己的應(yīng)用。如亞馬遜公司的EC2云計(jì)算機(jī)就是其中非常典型的代表，通過(guò)虛擬機(jī)技術(shù)在一臺(tái)物理服務(wù)器上運(yùn)行多個(gè)不同的操作環(huán)境，供多個(gè)不同用戶使用，用戶通過(guò)在WEB上輸入用戶名和密碼訪問(wèn)自己的資源，最終用戶甚至根本不知道自己的應(yīng)用運(yùn)行在哪一臺(tái)物理機(jī)器上面。

然而，云計(jì)算也帶來(lái)了一些新的安全問(wèn)題，由于你要和其他所不知道的用戶共享IT基礎(chǔ)架構(gòu)，安全的重要性確實(shí)非同小可。實(shí)際上，云計(jì)算的安全問(wèn)題至今還沒(méi)有被業(yè)界完全認(rèn)清。近日，美國(guó)加州大學(xué)圣地亞哥分校和麻省理工學(xué)院的研究人員就發(fā)現(xiàn)，EC2存在安全隱患。

在對(duì)EC2的測(cè)試過(guò)程中，研究人員發(fā)現(xiàn)，通過(guò)現(xiàn)在所知的一種被稱作“旁道攻擊”（side-channelattacks）的技術(shù)，就可以對(duì)EC2計(jì)算機(jī)發(fā)起攻擊。旁道攻擊是一種針對(duì)密碼設(shè)備的新型攻擊技術(shù)，它并不是直接獲取計(jì)算機(jī)里存儲(chǔ)的信息，而是通過(guò)一種間接的方式，比如，通過(guò)對(duì)電腦屏幕和鍵盤所產(chǎn)生的電磁輻射信息進(jìn)行分析，就可以知道這臺(tái)計(jì)算機(jī)正在做什么。

研究人員通過(guò)在EC2計(jì)算機(jī)中植入他們的軟件就可以發(fā)動(dòng)旁道攻擊，可以對(duì)EC2云中運(yùn)行的程序所運(yùn)行的物理服務(wù)器進(jìn)行準(zhǔn)確定位，進(jìn)而可以獲得這些程序的少量數(shù)據(jù)。雖然安全專家認(rèn)為，這種旁道攻擊的安全威脅目前還比較小，但他們也相信這有可能會(huì)導(dǎo)致更加嚴(yán)重的云計(jì)算安全問(wèn)題出現(xiàn)。

華盛頓大學(xué)計(jì)算機(jī)系的副教授TadayoshiKohno表示，今天人們?cè)跊Q策使用云計(jì)算時(shí)都比較謹(jǐn)慎，很多人關(guān)心能不能對(duì)那些承載著自己數(shù)據(jù)的物理服務(wù)器加以控制。“旁道研究會(huì)帶來(lái)一系列新問(wèn)題，雖然其威脅到底有多大現(xiàn)在還不是很清楚，但這無(wú)疑會(huì)讓很多人在使用EC2等云服務(wù)時(shí)變得更加疑慮。”

實(shí)際上，在過(guò)去的10年中，由旁道攻擊引發(fā)的偶然的數(shù)據(jù)泄漏已經(jīng)成為了襲擊者獲取密碼的一種方法。比如2001年，加州大學(xué)伯克利分校的研究人員發(fā)現(xiàn)，通過(guò)對(duì)鍵盤敲擊在網(wǎng)絡(luò)上所產(chǎn)生的流量進(jìn)行統(tǒng)計(jì)分析，即便計(jì)算機(jī)的數(shù)據(jù)流已經(jīng)實(shí)現(xiàn)了SSH加密，但仍然能夠獲知用戶名和密碼信息。

雖然加州大學(xué)圣地亞哥分校和麻省理工學(xué)院的研究人員還無(wú)法精確地做到這一步，但他們認(rèn)為，其研究有可能會(huì)開(kāi)辟一個(gè)全新的研究領(lǐng)域。加州大學(xué)圣地亞哥分校副教授StefanSavage，是此次研究報(bào)告的合作者之一，他說(shuō)，“旁道攻擊已經(jīng)出現(xiàn)多年，現(xiàn)有的一臺(tái)虛擬機(jī)無(wú)法確實(shí)防御所有這些旁道攻擊。”

通過(guò)對(duì)計(jì)算機(jī)內(nèi)存緩存進(jìn)行分析，研究人員能夠獲得一些基本信息，比如同一個(gè)計(jì)算機(jī)上的其他用戶什么時(shí)候通過(guò)鍵盤來(lái)訪問(wèn)計(jì)算機(jī)，即便終端已經(jīng)實(shí)現(xiàn)SSH加密。他們相信，通過(guò)使用與伯克利研究人員相同的技術(shù)，通過(guò)測(cè)量鍵盤敲擊的時(shí)間間隔，就可以最終知道敲擊的具體字符是什么。

StefanSavage和他的三位合作者現(xiàn)在已經(jīng)能夠測(cè)量緩存的活動(dòng)，特別是當(dāng)計(jì)算機(jī)正在執(zhí)行一些簡(jiǎn)單任務(wù)時(shí)，比如裝載某個(gè)WEB頁(yè)面時(shí)。他們認(rèn)為，這種方法可以用來(lái)做一些事情，比如知道有多少互聯(lián)網(wǎng)用戶正在訪問(wèn)服務(wù)器，甚至知道他們正在瀏覽的具體頁(yè)面。

為了讓他們?cè)趯?shí)驗(yàn)中的簡(jiǎn)單攻擊生效，研究人員不僅需要知道哪一臺(tái)EC2計(jì)算機(jī)正在運(yùn)行他們計(jì)劃攻擊的應(yīng)用程序，還需要知道通過(guò)什么路徑將他們自己的軟件植入到這臺(tái)計(jì)算機(jī)中去。要做到一這點(diǎn)，顯然并不容易，因?yàn)樵朴?jì)算，從其本質(zhì)定義上來(lái)說(shuō)，其背后的IT資源分布情況對(duì)前端的用戶都是透明的。

但是，通過(guò)對(duì)DNS流量進(jìn)行深度分析以及使用traceroute這樣的網(wǎng)絡(luò)監(jiān)控工具軟件，研究人員還是可以將其攻擊代碼植入到同一臺(tái)服務(wù)器上去，其成功機(jī)率大約在40%左右。Savage表示，這種對(duì)EC2的攻擊成本非常低，僅需要幾美元。

一家專業(yè)安全咨詢顧問(wèn)公司 iSECPartners的合伙人AlexStamos也談到，虛擬機(jī)雖然可以很好地將操作系統(tǒng)和上面的應(yīng)用程序進(jìn)行隔離，但是由于計(jì)算機(jī)資源是共享的，對(duì)于上面的旁道攻擊程序來(lái)說(shuō)，仍然是后門大開(kāi)。“未來(lái)5年，人們需要對(duì)這種全新的漏洞進(jìn)行修復(fù)。”

他的公司也在和一些對(duì)云計(jì)算感興趣的客戶正在合作，客戶們對(duì)和其他人共享同一臺(tái)機(jī)器的模式比較謹(jǐn)慎。“我相信在用戶需求的推動(dòng)下，云計(jì)算供應(yīng)商能夠?yàn)樗麄兊目蛻籼峁�專有的物理機(jī)。”

亞馬遜公司目前還沒(méi)有對(duì)這種旁道攻擊加以具體置評(píng)。上周四該公司的一位發(fā)言人稱，“我們會(huì)非常認(rèn)真地對(duì)待所有的安全問(wèn)題，我們知道有旁道攻擊這方面的研究，現(xiàn)在公司正在調(diào)查，未來(lái)會(huì)對(duì)我們的安全中心進(jìn)行升級(jí)。”

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]