Fundamenteel beveiligingsrisico gevonden in de cloud

De simpelste methode om een virtuele machine op dezelfde server te krijgen, is gewoon een heleboel virtuele machines aanvragen bij de leverancier, en dan kijken of er eentje bij zit met een IP-adres in dezelfde range. Een grotere kans op succes ontstaat, door ongeveer gelijktijdig een virtuele machine aan te vragen als het doelwit. Dat tijdstip is te beïnvloeden door bijvoorbeeld een groot aantal verzoeken af te sturen op de webserver van het doelwit; die zal dan – volgens de basisprincipes van de cloud - dynamisch een extra virtuele machine toegewezen krijgen.

Eenmaal aangeland op de server waar een virtuele machine van het doelwit draait, blijkt het volgens de onderzoekers mogelijk allerlei karakteristieken van het verkeer op de virtuele server van het doelwit in kaart te brengen. Dat alleen al kan waardevol zijn. Inzicht in de hoeveelheid computercapaciteit die een bedrijf gebruikt en de tijdstippen waarop, kan een indicatie geven dat er iets staat te gebeuren – een overname, de publicatie van een tegenvaller – waar een buitenstaander zijn voordeel mee kan doen. De onderzoekers zijn er echter van overtuigd dat het mogelijk is om het verkeer op de virtuele server van een doelwit af te tappen, als je eenmaal met dat doel een virtuele machine op dezelfde server hebt weten te installeren. In het kader van hun onderzoek hebben ze dat niet geprobeerd, en dus ook niet bewezen.

Het onderzoek werd uitgevoerd op Amazons E2C. De onderzoekers zijn ervan overtuigd dat het probleem zich ook voordoet bij andere cloud-aanbiedingen.

De publiciteit rond het onderzoek komt Amazon natuurlijk slecht uit. Veel potentiële klanten hebben een ongemakkelijk gevoel bij het draaien van applicaties op een onbekende plek waar ze geen controle op hebben; en dat ongemakkelijke gevoel slaat om in grote twijfels waar het gaat om opslag van bedrijfsgegevens in de cloud. Amazon ontkent dan ook dat een aanval volgens de lijnen die de onderzoekers beschrijven mogelijk is, omdat het bedrijf daartegen maatregelen zou hebben genomen. Wat die maatregelen inhouden, wil Amazon niet toelichten.

De onderzoekers van de universiteit van San Diego gaan niet rechtstreeks in op die opmerking. Maar ze houden vol dat de enige bescherming tegen hun aanvalsmethode bestaat uit het voorkomen dat je een fysieke server deelt met anderen. Hoe je ondoordringbare muren kunt oprichten tussen virtuele machines die op dezelfde server draaien, is een nog onopgelost probleem, stellen ze, waar overigens wel hard aan gewerkt wordt.