Эта работа стала очередной демонстрацией потенциальной уязвимости популярных публичных облачных сред.
Группа сотрудников Вустерского политехнического института, задавшись
целью продемонстрировать потенциальную уязвимость многоарендных облачных
сред, показала возможность получения ключей, с помощью которых в
виртуальных машинах Amazon Web Services шифруются конфиденциальные
данные.
Исследователи запустили в облаке собственную виртуальную машину, с ее
помощью выяснили, на каких виртуальных машинах на том же хосте работает
библиотека шифрования Libgcrypt и провели атаку, основанную на анализе
содержимого кэш-памяти последнего уровня, которая в процессорах делится
между всеми ядрами. Сперва ученые загружали определенный набор данных в
кэш, потом выполняли тесты и по полученной с их помощью информации
выясняли ключи.
В начале этого года использовавшуюся в рамках исследования уязвимость
Libgcrypt устранили. В Amazon заявляют, что «методика, описанная в
докладе, не ставит под угрозу ключи RSA, хранимые в облаке EC2», так как
«атака требует предварительного согласования между жертвой и атакующим и
опирается на уже устраненную брешь в стороннем ПО». То, что атака
крайне сложная, признают и сами авторы. Тем не менее в Amazon отметили,
что «высоко оценили исследование за освещение темы возможного извлечения
информации из совместно испольуземых кэшей коммерчески доступных
процессоров».
Источник: http://www.osp.ru/news/2015/1009/13030216/ |