Foto: Amazon
Droben in der Wolke müssen Daten ja sicher sein – offenbar ein klassischer Fall von denkste. Vier Wissenschaftler vom Massachusetts Institute of Technology (MIT) und der University of California in San Diego haben jetzt nachgewiesen, dass gezielte Hackerangriffe auf Cloud-Computing-Infrastrukturen keineswegs ein Ding der Unmöglichkeit sind. Um die Anfälligkeit konkret zu beschreiben, haben sich die Forscher einen prominenten Namen als Beispielfall herausgepickt: Der Service Elastic Computer Cloud (EC2) aus dem Haus Amazon wurde nämlich bereits Opfer einer Attacke.
Das Muster der Angriffe in der Wolke erklären die Wissenschaftler so: Das Virtualisierungs-Prinzip von Cloud-Service-Anbietern sieht vor, für eine Vielzahl von Kunden Virtual Machines (VMs) zu betreiben. Diese VMs gehören zu einer geteilten physischen Infrastruktur, die der Studie zufolge Einfallstore für Angriffe bietet.
Hacker sind – anders, als gemeinhin angenommen – sehr wohl in der Lage, physische Server zu identifizieren, auf denen eine ins Visier genommene VM in der Wolke läuft. Dann kann es Kriminellen gelingen, eine getürkte VM auf der gleichen Maschine zu platzieren und mit deren Hilfe ihr Opfer zu jagen.
Sie machen sich dabei den Umstand zu Nutze, dass eine VM Teil einer viel größeren Umwelt ist. Eine VM funktioniert innerhalb des großen Servers wie ein eigenständiger Computer mit virtuellen Grenzen zu anderen virtuellen Maschinen. Aus Sicht der Hacker bedeutet das, dass sie nacheinander diese VMs entschlüsseln müssen. Ist ihnen das in einem Fall geglückt, funktioniert der Rest so wie beim Domino: Erst fällt VM um VM, und am Ende ist der Server lokalisiert.
Einen guten Teil der benötigten Informationen finden die Angreifer in den IP-Adressen und Domain-Namen der jeweiligen VMs. So war es etwa beim Angriff auf die EC2-Infrastruktur von Amazon. Mit Hilfe der Analyse der IP-Adresse kann ermittelt werden, in welcher geographischen Region, Erreichbarkeitszone oder spezifischen Infrastruktur die VM angelegt ist. Die IP-Adresse spezifiziert außerdem einen Beispiel-Typus, der Hinweise auf die für die VM verfügbare Rechenleistung und Speicherkapazität gibt.
Hacker erhöhen mit Denial-of-Service-Attacken ihre Chancen
Darüber hinaus gleichen sich in der Regel die IP-Adressen von VMs, die auf dem gleichen physischen Server lagern und gleichzeitig vergeben sind. Aus diesen Parametern können Hacker eine konkrete Vorstellung davon gewinnen, wie sich eine gefälschte VM auf einem Server platzieren lässt. Im Prinzip können sie das so lange probieren, bis sie einen unerwünschten „Mitbewohner“ auf dem Server platziert haben.
Ihre Erfolgsaussichten können die Angreifer zum Beispiel mit einer Denial-of-Service-Attacke gegen den Zielserver erhöhen. So zwingen sie den Server zur Ausweitung der Kapazitäten durch Aufnahme neuer VMs. Wenn eine Gruppe von Hackern gleichzeitig mehrere neue VMs anfordert, steigen die Chancen ihres Unterfangens abermals.
Haben die Angreifer letztlich Zugang zum Server der Ziel-VM erlangt, können sie mit Hilfe der dort geteilten Ressourcen ungestört ihr Unwesen treiben. Indem sie beispielsweise Prozessor und Speicherkapazitäten auf dem Server ausspionieren, wissen Hacker Bescheid über Perioden hoher Aktivität auf dem Zielserver. Sie können dann gezielt Phasen mit hohem Traffic nutzen, um Passwörter und andere Daten vom Zielserver zu knacken.
Derartige Seitenkanal-Attacken seien bereits jenseits von Cloud Computing oft erfolgreich gewesen, sagte Eran Tromer, Mitverfasser der Studie, gegenüber unserer amerikanischen Schwesterpublikation www.computerworld.com.
Es gebe keinen Grund, warum diese Angriffe in der Wolke scheitern sollten. „Die grundlegende Verwundbarkeit wohnt jeder Virtualisierungs-Technologie inne, die von Infrastruktur-as-a-Service-Anbietern in der Cloud angeboten wird“, so Tromer.
Forscher mahnt Cloud-Kunden zur Vorsicht
Den Anwendern rät Tromer, die gemeinsame Unterbringung mit anderen Kunden auf einem physischen Server möglichst zu vermeiden. Zumindest solange, bis die Anbieter die beschriebenen Sicherheitslecks abgedichtet haben.