This is a machine translation. The original page (in English) is available here.
Casa>Las noticias del mundo>A los investigadores a encontrar una nueva manera de atacar la nube
La parte superior de los Capturadores de teclado
Ver más...

A los investigadores a encontrar una nueva manera de atacar la nube

  •  
Valoración de los usuarios: no hay opiniones. Ser la primera vez! 0 - 1 votos
Amazon y Microsoft han estado presionando a la nube de servicios de computación como un método de bajo costo para externalizar potencia de cálculo, pero los productos pueden introducir nuevos problemas de seguridad que aún no se han explorado a fondo, de acuerdo con investigadores de la Universidad de California, en San Diego, y el Instituto de Tecnología de Massachusetts.

Los servicios en la nube puede ahorrar el dinero de las compañías por lo que les permite ejecutar nuevas aplicaciones sin tener que comprar hardware nuevo. Servicios como Amazon Elastic Computer Cloud (EC2) de host diferentes entornos operativos en máquinas virtuales que se ejecutan en un único equipo. Esto permite a Amazon exprimir más potencia de cálculo de cada servidor en su red, pero puede tener un costo, dicen los investigadores.

En los experimentos con Amazon EC2 que demostraron que podían sacar a algunos muy básicos versiones de lo que se conoce como ataques de canal lateral. Un canal lateral atacante se ve en información indirecta relacionada con el equipo -- electromagnética que emana de las pantallas o los teclados, por ejemplo, para determinar lo que está pasando en la máquina.

Los investigadores fueron capaces de identificar el servidor físico utilizado por los programas que se ejecutan en la nube EC2 y, a continuación, extraer pequeñas cantidades de datos de estos programas, mediante la colocación de su propio software y el lanzamiento de un canal lateral de ataque. Expertos en seguridad dicen que los ataques desarrollados por los investigadores son menores, pero ellos creen que canal lateral técnicas podría conducir a problemas más serios para la computación en nube.

Muchos usuarios ya están reacios a utilizar servicios en la nube debido a problemas regulatorios -- que necesitan para tener una mejor idea de la ubicación física de sus datos, pero el canal lateral de la investigación trae un nuevo conjunto de problemas, de acuerdo a Tadayoshi Kohno, un profesor asistente de la Universidad de Washington departamento de ciencias de computación. "Es exactamente este tipo de preocupaciones: la amenaza de lo desconocido-que va a hacer un montón de personas se atreven a utilizar servicios en la nube como amazon EC2."

En el pasado, algunos ataques de canal lateral han sido muy exitosas. En 2001, investigadores de la Universidad de California, Berkeley, mostró cómo fueron capaces de extraer la información de contraseña de cifrado SSH (Secure Shell) flujo de datos mediante la realización de un análisis estadístico de la forma del teclado tráfico generado en la red.

La UC y el MIT, los investigadores no fueron capaces de lograr cualquier cosa que sofisticado, pero se cree que su trabajo puede abrir la puerta a futuras investigaciones en esta área. "Una máquina virtual no es una prueba en contra de todos los tipos de ataques de canal lateral que hemos estado escuchando durante años", dijo Stefan Salvaje, profesor asociado a la UC San Diego, y uno de los autores de la ponencia.

Mirando en el ordenador de la memoria caché, los investigadores fueron capaces de recoger un poco de información básica acerca de cuando otros usuarios en la misma máquina se utiliza un teclado, por ejemplo, para acceder a la computadora usando un terminal SSH. Ellos creen que medir el tiempo entre pulsaciones de teclas que eventualmente podrían averiguar lo que está escrito en la máquina utilizando las mismas técnicas que los investigadores de Berkeley.

Savage y sus co-autores Thomas Ristenpart, Eran Tromer y Hovav Shacham también fueron capaces de medir la actividad de la memoria caché cuando el equipo estaba realizando tareas simples, tales como la carga de una página Web en particular. Ellos creen que este método podría ser utilizado para hacer cosas como ver cómo muchos de los usuarios de Internet visita un servidor o incluso que las páginas que estaban viendo.

Para hacer su simple ataques de trabajo, los investigadores no sólo averiguar que EC2 máquina se ejecuta el programa que quería atacar, también tuvieron que encontrar una manera de llegar a su programa en particular en él. Esto no es fácil, porque el cloud computing es, por definición, supone que para hacer este tipo de información invisible para el usuario.

Pero haciendo un análisis en profundidad de DNS (Sistema de nombres de Dominio), el tráfico y el uso de una red de vigilancia de la herramienta llamada traceroute, los investigadores fueron capaces de elaborar una técnica que podría darles un 40 por ciento de posibilidades de colocar su código de ataque en el mismo servidor como su víctima. El coste del ataque en EC2 era sólo un par de dólares, Savage dijo.

Las máquinas virtuales pueden hacer un buen trabajo de aislamiento de los sistemas operativos y los programas de cada uno de los otros, pero siempre hay una apertura para estos ataques de canal lateral en los sistemas que comparten recursos, dijo Alex Stamos, socio de la consultora de seguridad iSEC Partners. "Va a ser toda una nueva clase de errores que la gente va a tener que arreglar en los próximos cinco años".

Su empresa ha trabajado con un número de clientes interesados en la computación en nube, pero sólo si se puede estar seguro de que nadie más comparte la misma máquina. "Supongo que la computación en la nube de los proveedores van a ser empujado por sus clientes para ser capaz de proporcionar las máquinas físicas."

Amazon no estaba muy preparado para hablar de los ataques de canal lateral jueves. "Tomamos todas las demandas de seguridad muy en serio y son conscientes de esta investigación," dijo una portavoz. "Estamos investigando y que publicaremos actualizaciones a nuestro centro de seguridad."
Fecha de publicación:
Autor:
Casa>Las noticias del mundo>A los investigadores a encontrar una nueva manera de atacar la nube
IMPORTANTE! Instalación de equipo de monitoreo de herramientas en los equipos que no posean o no tienes permiso para monitor puede violar locales, estatales o federales.