Clouds Seguras:
Disponibilidade e Privacidade
nas Nuvens
Miguel Pupo Correia
Universidade de Lisboa, Faculdade de Ciências, LASIGE
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
Sumário da apresentação
Introdução
Desafios de Segurança na Cloud
Soluções para a os riscos de segurança
Projecto TCLOUDS
Conclusões
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
2
Cloud
Ideias fundamentais
– Computing as a utility
– Pay-as-you-go (cloud pública)
– Resource pooling, elasticity
Concretização
– Datacenters de grandes dimensões
– Fornecedor de cloud vs clientes
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
http://creativecommons.org/licenses/by/3.0/
3
Cloud
Modelos de serviço:
Infrastructure as a Service (IaaS): máquinas virtuais ou storage
(p.ex., Amazon EC2 / S3, Windows Azure)
Platform as a Service (PaaS): ambiente de programação e
execução escalável (p.ex., Google AppEngine)
Software as a Service (SaaS): software de diversos tipos
(correio electrónico, produtividade, etc.)
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
4
Segurança
Diz respeito a obter 3 atributos num sistema:
Confidencialidade – ausência de revelação de dados a
entidades não autorizadas
Integridade – ausência de modificações não autorizadas ao
sistema e aos seus dados
Disponibilidade – prontidão do sistema para fornecer o seu
serviço
Outros: autenticidade, não-repudiação,…
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
5
DESAFIOS DE SEGURANÇA NA
CLOUD
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
6
Causas da insegurança (adicional)
As causas da insegurança advêm dos sistemas e dados
– deixarem de estar na empresa (nas suas instalações e sob a sua
administração, pelo menos em parte)
– ficarem fisicamente longe (acesso pela rede)
– estarem obrigatoriamente na internet
O primeiro aspecto pode ser um problema ou um benefício…
Vejamos alguns problemas concretos
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
7
Indisponibilidade
Problemas na internet – relativamente frequentes
– Congestão
– Problemas em equipamento próximo do cliente (routers, ISP)
– Problemas mais globais (bug Cisco / teste RIPE Agosto 2010)
Problemas no fornecedor de Cloud (p.ex., vários no AppEng.)
Ataques de negação de serviço (p.ex., Amazon 2009)
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
8
Perda e corrupção de dados
Pode acontecer na cloud como em qualquer sistema
Danger Inc. / Sideckick perdeu contactos, notas, fotos, etc.
dos seus clientes e demorou dias a recuperá-los (Out. 2009)
Ma.gnolia perdeu todos os dados dos clientes, meio terabyte (Fev. 2009)
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
9
Violação de confidencialidade/privacidade
Os dados estão nas máquinas do fornecedor de cloud
– Pode ser de confiança, há defesas legais
Mas existe o problema do malicious insider (embora também
exista em qualquer empresa)
– Pode facilmente capturar chaves privadas, passwords etc.
Demonstração de como o operador/sysadmin pode capturar
chaves privadas RSA (sistema de virtualização é o Xen)
– Video
– Basta correr
2 comandos!
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
10
Ataques via interfaces de gestão
Na cloud a superfície de ataque é maior devido à existência
de uma interface de gestão da própria cloud
– Controlo/monitorização das máquinas virtuais, utilizadores etc.
– Através de consola web, web services, REST API
Ataques através da própria interface
– Podem existir vulnerabilidades que permitem personificar um
utilizador: SQL injection, XML injection, cross site scripting, etc
– Microsoft, “Secure Use of Cloud Storage”, Julho 2010
– “Segurança no Software”, Miguel Correia & Paulo Sousa, FCA
2010
Phishing para obter credenciais de autenticação
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07-12-2010
11
Ataques contra o sistema de taxação
Taxação da utilização é feita em termos de
– Máquinas virtuais/hora, tráfego recebido/enviado, tempo CPU
Certos ataques podem custar directamente dinheiro:
Elevado número de acessos/pedidos/…
– Alguns serviços na cloud fornecem automaticamente mais
recursos se a utilização aumenta
– Atacante pode aceder ao serviço intensamente para aumentar
factura da vítima (variante de ataque DDoS)
Ataque via interface de gestão para aumentar o consumo de
recursos
– p.ex., personificar a vítima e instanciar 10 mil máquinas virtuais
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
12
Co-alocação e ataque entre MVs
Na cloud as máquinas virtuais de vários clientes podem estar no
mesmo servidor físico
Ataque em dois passos:
O atacante instancia máquinas virtuais até
obter uma co-alocada com uma da vítima
A MV do atacante ataca a outra
MV
boa
MV
má
Máquina física
– p.ex., usando uma vulnerabilidade na virtualização
– ou usando recursos partilhados para obter informação
confidencial
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
13
Hacking
“An in-depth survey carried out amongst 100 of the elite IT
professionals attending this year's DEF CON 2010 Hacker
conference in Las Vegas recently has revealed that hackers
view the cloud as having a silver lining for them.”
“45% of hackers said they had already tried to exploit
vulnerabilities in the cloud”
“12% said they hacked cloud systems for financial gain”
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
14
SOLUÇÕES PARA A OS RISCOS
DE SEGURANÇA
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
15
Analisar o risco envolvido
Que assets vão ser colocados na cloud? (ou que parte deles?)
Como seria a empresa afectada:
–
–
–
–
–
–
Se o asset fosse tornado público?
Se um operador da cloud acedesse ao asset?
Se o processo/função fossem manipulados por alguém se fora?
Se o processo ou função não funcionassem como desejável?
Se a informação fosse modificada?
Se o asset ficasse indisponível durante um período de tempo?
Avaliar os diversos serviços de cloud disponíveis
(p.ex., se permitem concretizar os controlos necessários)
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07-12-2010
16
Confiar é bom, desconfiar é melhor
Confiança é inevitável (mas já tinha de confiar no IT)
– confiar que o fornecedor tem uma arquitectura adequada e
concretiza todos os controlos que deve
Muitos dos problemas anteriores são insolúveis hoje em dia
– Outros são solúveis mas é difícil saber se fornecedor resolveu:
– Limitar o poder de um malicious insider
– Garantir que não há vulnerabilidades na interface de gestão
É necessária accountability (responsabilização?)
– Contrato, analisar, monitorizar (desconfiar é melhor)
– Há relações semelhantes noutros campos, como as telecoms
que dependem de fornecedores
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
17
Controlos de segurança
Os controlos de segurança são semelhantes aos de outros
sistemas e datacenters
– Mas como vimos há ameaças diferentes
“Cloud computing is about gracefully losing control while
maintaining accountability”
– CSA Security Guidance for Critical Areas of Focus in Cloud
Computing V2.1, Dez. 2009
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
18
Controlos de segurança
Os controlos necessários diferem muito entre IaaS, PaaS e
SaaS
– No modelo SaaS quase tudo tem de ser feito pelo fornecedor (o
grau de confiança necessário é o máximo)
– No modelo IaaS o cliente tem um papel muito importante
A Cloud Security Alliance (CSA) identificou 13 áreas críticas
para a segurança em cloud e fornece recomendações p/cada
– CSA Security Guidance for Critical Areas of Focus in Cloud
Computing V2.1, Dez. 2009
– http://www.cloudsecurityalliance.org/
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
19
12 áreas críticas da CSA
Cloud Architecture
– 1: Cloud Computing
Architectural Framework
Governing in the Cloud
– 2: Governance and Enterprise
Risk Management
– 3: Legal and Electronic Discovery
– 4: Compliance and Audit
– 5: Information Lifecycle
Management
– 6: Portability and
Interoperability
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
Operating in the Cloud
– 7: Traditional Security, Business
Continuity and Disaster
Recovery
– 8: Data Center Operations
– 9: Incident Response,
Notification, and Remediation
– 10: Application Security
– 11: Encryption and Key
Management
– 12: Identity and Access
Management
– 13: Virtualization
07/12/2010
20
Controlos de segurança
Níveis adicionais de complexidade permitem sobreposições
mas também omissões
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
21
PROJECTO TCLOUDS
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
22
Tclouds - Trustworthy Clouds
Privacy and Resilience for Internet-scale Critical Infrastructure
Projecto financiado pelo 7º Programa-Quadro da Comissão
Europeia (7,5 MEuro)
Início: 1 de Outubro de 2010; duração: 3 anos
Missão:
– To develop an advanced cloud infrastructure that can deliver
computing and storage that achieves a new level of security,
privacy, and resilience yet is cost-efficient, simple, and scalable
– To change the perceptions of cloud computing by demonstrating
the prototype infrastructure in socially significant application
areas: energy and healthcare
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
23
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
24
Estrutura e resultados do TCLOUDS
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
25
Ideias em investigação – Clouds confiáveis
O software é gerido pelo fornecedor, pelos seus operadores,
logo não é de confiança
Uma solução (parcial) consiste em pôr a raiz da confiança no
hardware, mais precisamente no Trusted Platform Module (do
Trusted Computing Group, disponível actualmente nos PCs)
– Usando o TPM é possível fazer atestação remota, ou seja, ter a
certeza de que o software em execução é um determinado
P.ex., pode servir para garantir que a funcionalidade de
snapshot de MVs está desligada, evitando assim o ataque
demonstrado
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
26
Ideias em investigação – Clouds-de-clouds
Se não se pode confiar numa, confia-se em várias
– Windows Azure, Amazon S3, Rackspace, Nirvanix
DepSky – cloud-de-clouds de armazenamento segura
– Disponibilidade: mesmo que uma falhe há as restantes
– Confidencialidade: os dados estão cifrados e as chaves
repartidas por todas as clouds
(usando secret sharing)
– O custo é o 2x o de usar 1 cloud
e não 4x (erasure codes)
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
27
CONCLUSÕES
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
28
Conclusões
O uso de clouds traz grandes desafios de segurança
Os controlos disponíveis ainda não permitem lidar com
alguns desses desafios
– Logo uma análise de risco cuidadosa é necessária
– Ainda não adequada para aplicações críticas como energia,
aplicações com dados de pacientes, …
Para muitas empresas o nível de segurança é suficiente
– Para algumas, até melhor do que o que têm…
Está a haver um grande esforço de investigação
– Novos controlos vão surgir nos próximos anos
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
29
Obrigado. Perguntas?
Miguel P. Correia
– http://www.di.fc.ul.pt/~mpc/
– http://www.seguranca-informatica.net/
– http://segurancanosoftware.blogspot.com/
Projecto TCLOUDS
– http://www.tclouds-project.eu/
Cloud Security Alliance
– http://www.cloudsecurityalliance.org/
TClouds No. 257243
Trustworthy Clouds Privacy and Resilience for Internet-scale Critical Infrastructure
07/12/2010
30