COMO ROUBAR DADOS DO SEU VIZINHO NA NUVEM

Um estudo comprova que o software hospedado em uma parte da nuvem pode espionar software hospedado nas proximidades.

A computação em nuvem ensina as pessoas a não se preocupar com equipamento físico para hospedagem de dados e execução de software. Mas um novo estudo sugere que este poderia ser um erro muito caro.

Dark Cloud : Um novo ataque demonstrado por pesquisadores revela que as
pessoas podem querer pensar duas vezes antes de armazenar material sensível na nuvem

Pesquisadores da Universidade de Wisconsin, Universidade da Carolina do Norte em Chapel Hill e a empresa de segurança computacional RSA têm mostrado que é possível para um software hospedado por um provedor de computação em nuvem roubar segredos de outro software hospedado na mesma nuvem. Em seu experimento, eles rodaram um software malicioso em um hardware projetado para imitar os equipamentos utilizados por empresas que oferecem soluções em nuvem como a Amazon. Eles foram capazes de roubar uma chave de criptografia usado para proteger e-mails a partir do software pertencente a outro usuário.

O ataque demonstrado é tão complexo que é improvável que seja um perigo para os clientes de qualquer plataforma em nuvem hoje em dia, mas a experiência responde a uma pergunta de longa data sobre se tais ataques são ainda possíveis. A prova sugere que alguns dados muito valiosos não devem ser confiados a nuvem, diz Ari Juels, cientista-chefe da RSA e diretor dos laboratórios de pesquisa da empresa. "A lição básica é que, se você tem uma carga de trabalho muito sensível, você não deve executá-lo ao lado de alguns desconhecidos e potencialmente vizinho desonesto", diz Juels.

Uma razão para a computação em nuvem estar crescendo rapidamente é que as empresas podem economizar dinheiro graças às economias de escala que vêm de grandes Datacenters assumindo trabalho feito anteriormente por operações de menor escala e caseiro. 

O novo ataque atinge em cheio um dos pressupostos básicos que sustentam a computação em nuvem: a de que os dados de um cliente é mantido completamente separado a partir de dados pertencentes a qualquer outro cliente. Esta separação é supostamente fornecida pela tecnologia de virtualização em um software que imita um sistema de computador físico. A "máquina virtual" oferece um sistema familiar na qual deseja instalar e executar o software, escondendo o fato de que, na realidade, todos os clientes estão compartilhando o mesmo sistema de computador em uma escala de Datacenter mais complexa.

O sucesso do ataque depende de encontrar formas de quebrar essa ilusão. Ele descobriu o porque as máquinas virtuais em execução no mesmo compartilhamento de recursos de hardware físico, as ações de um pode interferir no desempenho do outro. Devido a isso, um atacante no controle de uma máquina virtual pode espionar dados armazenados na memória ligados a um dos processadores que executam a nuvem ambiente de memória que serve de dados usados ​​recentemente para acelerar o acesso futuro a ele, um truque conhecido como um ataque canal-lateral (side-channel attack).

"Apesar do fato de que, em princípio, está isolado da vítima, a máquina virtual sob ataque vai vislumbrar o comportamento da vítima por meio de um recurso compartilhado", diz Juels.

O software desenvolvido pela Juels abusou de um recurso que permite que o software obtenha acesso prioritário a um processador físico, quando ele precisar. Ao solicitar o uso do processador, o atacante poderia sondar o cache de memória para a evidência dos cálculos onde a vítima estava realizando com sua chave de criptografia de e-mail.

O atacante não conseguia ler diretamente os dados da vítima, mas ao notar o quão rápido ele pode gravar dados no cache, ele pode inferir algumas dicas sobre o que havia sido deixado lá por sua vítima. "A VM atacada vai vislumbrar o comportamento da vítima", diz Juels. Através da recolha de milhares desses fragmentos, foi finalmente possível revelar a chave de criptografia completa.

Apesar de sua complexidade, os pesquisadores dizem que os provedores de nuvem e os clientes devem tomar a sério a ameaça. "As defesas são um desafio", diz Juels, que informando a Amazon sobre o seu trabalho.

Michael Bailey, um pesquisador de segurança da computação na Universidade de Michigan, observa que o software atacou um programa de criptografia de e-mail chamado GNUPrivacy guard que já é conhecido por vazar informações, e que o experimento não foi realizado dentro de um ambiente de nuvem comercial real . No entanto, diz ele, o resultado é significativo e irá inspirar outros pesquisadores, e talvez reais atacantes, para provar que tais ataques podem ser práticados.

"A razão pela qual eu estou animado é que alguém finalmente deu o exemplo de um side-channel attack", diz Bailey. "É uma prova de conceito que levanta a possibilidade de que isso pode ser feito, isso vai motivar as pessoas a olhar para as versões mais graves."

Um conceito que particularmente respeita uma demonstração do que seria usar o método para roubar as chaves de criptografia usadas para proteger sites que oferecem serviços como e-mail, compras e serviços bancários, diz Bailey, apesar de que seria muito mais desafiador. Juels diz que está trabalhando em explorar o quão longe ele pode empurrar o seu novo estilo de ataque.