Vulnerabilità nell’Hypervisor
Le implementazioni dei vari sistemi di virtualizzazione presentano un’importante vulnerabilità che potrebbe influire seriamente sulle implementazioni cloud.
Questa potenziale debolezza è importante perché allo stato attuale della tecnologia, la virtualizzazione è inevitabile.
Le implementazioni cloud dipendono dalla virtualizzazione per fornire servizi adattati dinamicamente alle diverse esigenze dei consumatori.
Non c’è davvero alcuna alternativa alla virtualizzazione disponibile o all’orizzonte oggi.
Tuttavia, le implementazioni di virtualizzazione sono vulnerabili ad un’intensivo sfruttamento delle risorse.
In un cloud, le macchine virtuali si muovono su e giù e si trasferiscono continuamente da una macchina fisica all’altra.
Queste macchine virtuali sono controllate da un processo, spesso chiamato hypervisor.
Il compito dell’hypervisor è supervisionare la continua e frenetica attività in un ambiente virtualizzato.
L’hypervisor avvia ogni macchina virtuale e quindi la supervisiona dall’avvio allo spegnimento.
L’hypervisor mantiene il contatto con ogni macchina virtuale e ne mantiene il controllo di base.
La comunicazione dovrebbe essere sempre dall’hypervisor alla macchina virtuale, mai il contrario.
Le macchine virtuali possono comunicare tramite rete, in realtà una rete virtuale che può connettersi con una rete fisica, proprio come i computer fisici.
Questa comunicazione di rete è vulnerabile agli attacchi allo stesso modo in cui è vulnerabile qualsiasi connessione di rete.
I dati devono essere protetti e l’uso non autorizzato della rete deve essere impedito. Le misure di protezione come firewall, crittografia e altre difese sono efficaci nella protezione dei sistemi virtuali, allo stesso modo dei sistemi fisici.
Tuttavia, le macchine virtuali hanno un’ulteriore vulnerabilità: la comunicazione attraverso l’hypervisor.
Se l’hypervisor presenta un bug che consente alle macchine virtuali di accedere all’hypervisor, una macchina virtuale potrebbe influenzare un’altra macchina virtuale tramite l’hypervisor anziché attraverso la connessione di rete nota e controllata.
Questa vulnerabilità è particolarmente insidiosa. Un utente malintenzionato che ottiene l’accesso a una macchina virtuale e sfrutta una vulnerabilità dell’hypervisor potrebbe accedere a molte altre macchine virtuali, comprese quelle di proprietà di altri consumatori.
Un malintenzionato, o un utilizzatore innocente con una sicurezza debole, potrebbe diventare un pericoloso punto di accesso per infettare e danneggiare tutti gli abbonati a un servizio cloud.
Se il servizio cloud danneggiato fosse di proprietà di uno dei grandi fornitori, i risultati potrebbero essere potenzialmente disastrosi.
Diamo un’occhiata a un esempio teorico di un devastante attacco ad un hypervisor.
Supponiamo che un attacco hypervisor riuscito sia diretto verso un cloud pubblico come Amazon Web Services, utilizzato da molte aziende e privati.
Un hacker che sfrutta un bug (ripetiamo ipotetico) dell’hypervisor potrebbe richiedere l’apertura e l’attivazione di un servizio presso il cloud provider, richiedere una macchina virtuale per pochi dollari, quindi utilizzare tale macchina virtuale per accedere alle macchine virtuali di altri utenti del cloud pubblico.
Uno di questi utenti potrebbe essere una società di streaming di intrattenimento come Netflix, che sembra essere un cliente del cloud AWS.
Le macchine virtuali della società di streaming potrebbero essere violate tramite l’hypervisor del cloud pubblico.
Con una sufficiente conoscenza del sistema di streaming, l’hacker sarebbe in grado di eseguire tutti i tipi di danno, streaming gratuito, streaming fraudolento addebitato ad altri abbonati della società di streaming ecc…, ci sono molte possibilità.
La parte peggiore è che i problemi sembreranno colpa della società di streaming, ma la vera vulnerabilità sarebbe da attribuire alla vulnerabilità dell’hypervisor del cloud pubblico (nel nostro esempio AWS), sul quale la società di streaming non ha alcun controllo.
Fortunatamente, il codice dell’hypervisor è relativamente breve e semplice.
Nessun codice è mai completamente sicuro, ma è più probabile che un codice breve e semplice non presenti difetti.
Rispetto ai sistemi operativi tentacolari come Windows o Linux, questo tipo di codice è facile da proteggere, gestire e mantenere. E nel caso si verificassero problemi non sarebbe estremamente complicato trovare una soluzione e produrre una patch, nel breve termine.
Al momento, gli esempi reali di attacchi all’hypervisor sono sconosciuti.
Non sono stati segnalati attacchi riusciti tramite vulnerabilità hypervisor come quella descritta, sebbene i ricercatori abbiano riscontrato alcuni difetti sfruttabili.
Questi sono stati rapidamente risolti. Sia i fornitori di cloud che gli sviluppatori di piattaforme virtuali sono consapevoli delle potenziali conseguenze di un bug sfruttabile dell’hypervisor e si sono sforzati di mantenere le piattaforme dell’hypervisor più robuste possibile.
Parte del rischio viene rimosso riducendo al minimo i casi in cui gli hypervisor superano i confini degli abbonati cloud.
Per tornare al nostro esempio, Netflix avrebbe probabilmente i propri hypervisor esclusivi che non interferiscono in alcun modo con altri hypervisor di altri abbonati al cloud Amazon.
Inoltre, un attacco di questo tipo su hypervisor è come una battuta di pesca che richiede una notevole conoscenza dell’implementazione del cloud e del modo in cui il cloud viene utilizzato dai suoi abbonati.
Un attaccante dovrebbe fare molte ricerche per pianificare un attacco con una ragionevole probabilità di successo, il tutto senza che si verifichi la possibilità di essere identificato e rintracciato.
Ciò richiederebbe abilità sia tecniche che commerciali non trascurabili.
Molti altri attacchi sono più idonei a produrre profitto con meno sforzi, ed è molto più probabile che gli hacker criminali inseguano denaro facile, che inseguire un costoso e rischioso hack dell’hypervisor.
D’altra parte, un hacker che riuscisse in un’intrusione dell’hypervisor otterrebbe un notevole rispetto dai suoi colleghi, il che potrebbe essere una motivazione più potente dell’avidità.
Ci sono stati alcuni exploit di hypervisor che si sono rivelati in laboratorio, ma non hanno portato a nessuna invasione di successo nota.
Considerando tutti i lati del problema, gli attacchi hypervisor sono, per ora, solo teorici e non una minaccia significativa.
Tuttavia, nell’istante in cui l’industria chiede di esercitare un’adeguata vigilanza, la minaccia aumenterà.
