Virtuelle Server schnell gehackt

Der Forschungsalltag von Wissenschaftlern ist in der Regel von der Bewilligung sogenannter Drittmittel dominiert. Nur ihre Bewilligung garantiert einen gewissen Freiraum und die nötige Zeit, um sich auf die anstehende Arbeit zu konzentrieren. André König und sein Forscherteam an der TU Darmstadt haben eine Etappe abgeschlossen und sind jetzt dabei, sich um weitere Fördermittel zu kümmern.

Resultat der Forschung war bisher die Bestätigung einer These, nach der sich eine Grundcharakteristik von virtuellen Maschinen ins Negative verkehren kann: Virtuelle Maschinen sind Computer-Simulationen, die deutlich flexibler und effizienter einsetzbar sind, weil sie von der darunter liegenden Hardware-Schicht abgekoppelt sind. Und sie können, wie König betont, wie alle anderen Software-Dateien auch schnell und ohne großen Aufwand von einem zum anderen Ort verschoben werden.

Genau das machen sich Hersteller wie VMware zunutze, wenn sie Tools wie vMotion anbieten, mit denen man virtuelle Maschinen samt Anwendungsinhalt auf andere physikalische Server verlagern kann. Viele Anwender schätzen diese Methode, weil sie eine bessere Auslastung der Ressourcen oder einen Weg für Backup und Disaster Recovery offeriert.

Nutzer merken es nicht

Genau dieses Verfahren birgt ein beträchtliches Risiko: "Der Nutzer merkt nämlich nicht", sagen die Darmstädter Wissenschaftler an, "wenn eine virtuelle Maschine bei einem Hacker-Angriff illegal aus dem jeweiligen Firmen- oder Behörden-Netz heraus verschoben wird. In wenigen Sekunden kann so ein gesamter Rechner mit allen gespeicherten Daten in falsche Hände geraten."

In einer Testumgebung mit dem freien Hypervisor-System "Proxmox" haben sie den Nachweis geführt, dass sich mittels der Verfolgung sogenannter Echomuster – auch als "Anpingen" ("Echo Request") bezeichnet – nachweisen lässt, dass sich beim Kopieren, Verschieben oder dem Klauen von virtuellen Maschinen bestimmte Bewegungsmuster feststellen lassen. Werden diese rechtzeitig wahr genommen, könnte ein Diebstahl verhindert werden.

Virtuelle Maschinen laden zum Diebstahl ein

König betont: "Daten, die einmal entwendet sind, lassen sich nicht mehr zurückholen – der Angriff muss daher vor der vollständigen Migration der Maschine erkannt und gestoppt werden." Man will jetzt untersuchen, wie weit sich die bisherigen Ergebnisse generalisieren lassen.

Der Wissenschaftler erklärt im Gespräch mit CIO.de Drilldown Virtualisierung: "Uns ging es darum zu beschreiben, wie das Echomuster aussieht bei einer virtuellen Maschine, die von einem auf einen anderen Rechner kopiert wird. Zunächst haben wir nur eine Plattform in dem deutschen Testbett geprüft." Wenn man diesen Ansatz kommerzialisieren und konkrete Schutzmechanismen entwickeln möchte, müsste man weitere VM-Umgebungen untersuchen.

Messung der Antwortzeiten mit Ping-Mechanismus

Konkret gehe es, so König, um die Messung der Antwortzeiten, wenn Datenpakete zwischen verschiedenen Adressen im Internet hin und her geschickt werden. Diese Prüfverfahren fänden schon jetzt bei der Kontrolle des Internet-Verkehrs statt. Es gehe nun darum, sie auf das freiwillige und unfreiwillige Verschieben von virtuellen Maschinen im Internet anzuwenden. So werde die Reihenfolge der versandten Datenpakete gemessen, wie lange sie von A nach B brauchen oder ob einige während des Transports verschwinden. Dieser grundlegende Ping-Mechanismus ist sehr einfach, man muss ihn nur, führt König aus, auf die Diebstahlsproblematik von virtuellen Maschinen anwenden.

In einem nächsten Schritt soll die Versuchssituation mit anderen Hypervisoren nachgestellt werden – interessant wären natürlich die am Markt führenden von VMware, Citrix, Microsoft und Red Hat, oder wie es in einer Cloud-Umgebung von Amazon oder anderen Anbietern aussieht. Noch sind die erforderlichen "Drittmittel" aber noch nicht aufgetaucht. Oder hat schon ein Venture Capitalist angeklopft, so wie es in den USA bei Erfolg versprechenden Projekten durchaus üblich ist?