Cloud computing, l'allarme del Mit: "Sicurezza a rischio"

ANALISI

Un'analisi del prestigioso Institute of Technology di Boston, condotta in collaborazione con la University of California, accende i riflettori sulle vulnerabilità dell'Internet delle cose

di Patrizia Licata
Cloud computing: molte le aziende tecnologiche che stanno investendo sull’Internet delle cose. Ma quanto sono sicuri i nuovi servizi? Secondo uno studio a firma del Mit di Boston, il cloud computing potrebbe essere facilmente oggetto di attacchi malevoli, perché permette ai criminali della rete di individuare con esattezza la posizione fisica dei dati dentro la “nuvola”.

Lo studio ha analizzato uno dei maggiori servizi cloud offerti oggi, l’EC2 (Elastic computer cloud) della Amazon, ma, avverte: “Riteniamo fermamente che queste vulnerabilità siano proprie di tutta la tecnologia di virtualizzazione esistente e riguardino anche gli altri provider”, come dichiara Eran Tromer, ricercatore del Computer Science and Artificial Intelligence Laboratory del MIT, che ha condotto la ricerca con tre colleghi della University of California di San Diego.

I servizi di cloud computing danno in affitto risorse computazionali, tra cui potenza di calcolo e storage. Queste tecnologie usano macchine “virtuali" il cui numero può essere ampliato o ristretto a seconda della domanda, ottenendo il massimo dell’efficienza. Ma i veri calcoli vengono effettuati da uno o più datacenter fisici, ciascuno contenente migliaia di computer. Inoltre, le macchine virtuali di diversi clienti possono trovarsi sugli stessi server fisici. E’ proprio questa la grande vulnerabilità del cloud.

Secondo i ricercatori, i criminali intenzionati a entrare nella “nuvola” si muovono innanzitutto individuando quale server fisico dentro il cloud viene usato dalla vittima; dopodiché viene impiantata sullo stesso server una macchina virtuale maligna. Infine, viene sferrato l’attacco. Trovare la vittima in mezzo a decine di migliaia di server può sembrare impossibile, ma i ricercatori fanno notare che basta un semplice lavoro da detective: “Pochi dollari investiti nel lancio di macchine virtuali possono produrre una chance del 40% di sistemare la macchina virtuale maligna sullo stesso server fisico dove si trova il target”.

Questo processo di mapping viene definito nello studio "cartografia”. Una volta sistemata la macchina virtuale maligna sullo stesso server della vittima, è possibile monitorare attentamente l’entrata e l’uscita delle informazioni e quindi estrarre i dati più sensibili. Altro punto debole del cloud sfruttato dai criminali è il fatto che tutte le macchine virtuali hanno indirizzi Ip, visibili a chiunque all’interno della “nuvola”.

Inoltre, sull’EC2 di Amazon, gli indirizzi vicini spesso condividono lo stesso hardware. Il criminale può creare una serie di sue macchine virtuali, vedere che indirizzo Ip hanno e cercare di capire quali condividono le stesse risorse fisiche del target (sistema detto “co-residence”) o, in maniera ancora più efficace, può creare la sua macchina virtuale nello stesso momento in cui la crea la vittima (“coincidenza nel timing”). Per raggiungere questo obiettivo, il criminale potrebbe inondare il sito Internet della vittima di richieste, costringendola a espandere la sua capacità di calcolo creando nuove macchine virtuali.

In sostanza, uno dei benefici chiave del cloud computing, la capacità di espandere o contrarre all’istante la capacità di calcolo, in base alle esigenze, diventa una grave debolezza. In entrambi i casi, entrare sul server fisico del target vorrebbe dire controllare il flusso delle sue informazioni: per esempio, se si registra un aumento di attività tra due broker l’hacker potrebbe dedurre l’avvicinarsi di un’importante transazione.

I ricercatori hanno dimostrato quindi la possibilità di osservare il flusso di informazioni più o meno sensibili, ma non quella di rubarle. "In questo contesto non abbiamo dimostrato il furto delle chiavi crittografiche, ma che ciò sarebbe possibile", dice Tromer. I quattro ricercatori hanno dimostrato anche la possibilità di carpire le password della vittima tramite il cosiddetto keystroke attack. Inoltre, se il criminale risiede sugli stessi server della vittima, può sferrare un attacco del tipo denial-of-service aumentando improvvisamente l’utilizzo delle risorse a disposizione.

Amazon ha già risposto allo studio dichiarando che “esistono nell’EC2 baluardi per prevenire gli attacchi che usano le tecniche di cartografia descritte”. Ma secondo Tromer l’unica vera soluzione al problema sarebbe evitare che i clienti condividano tra loro lo stesso server fisico. Creare barriere virtuali inviolabili tra macchine virtuali che risiedono sullo stesso server “è in realtà un problema aperto”.

23 Ottobre 2009