S’attaquer au cloud : possible, mais pas si simple

Une menace toutefois relative puisque acrobatique dans sa mise en place, et ardue dans sa réalisation. Les chercheurs ont en effet emprunté les voies du Side Channel Attack, une méthode très complexe qui consiste à récupérer des informations par voies détournées, matérielles ou logicielles. S'en prendre au nuage n'est donc pas encore à la portée de tout le monde, Thomas Roche, chercheur à l'Inria au sein de l'équipe MOAIS (1), nous explique. 

Comment fonctionne cette attaque ?
Considérons un pirate,
dont le but est de récupérer les informations confidentielles, à partir de calculs réalisés par un utilisateur de la plate-forme. Pour parvenir à ses fins, il devra réaliser trois opérations : cartographier le réseau, localiser l'application cible pour se retrouver sur la même machine physique et partager les mêmes ressources, afin de, en dernier lieu, lancer l'attaque. Sur la Figure 1 (voir ci-dessous) sont représentées les adresses IP internes du nuage EC2 obtenues grâce à des requêtes DNS effectuées sur des sous-domaines du nuage (exemple m1.small), et dont les noms désignent en plus une catégorie de serveur (small, medium ou large). La régularité d'affectation permet d'identifier rapidement le type de ressource physique utilisée par une application cible. Une faille très simple à réparer.

L'attaquant doit réussir à localiser l'application cible, c'est-à-dire trouver la machine physique hébergeant la machine virtuelle sur laquelle elle tourne, pour réaliser ce que les chercheurs appellent une corésidence.  Pour ce faire, deux méthodes : La première, appelée brute force, consiste à créer des dizaines d'instances, en partant du principe qu'un pourcentage d'entre elles se retrouvera au bon endroit. La seconde se base sur le fait que deux instances démarrées en simultané ont de fortes chances de se retrouver sur la même machine physique.
Regardons maintenant la Figure 2 (voir ci-dessous). Sur l'histogramme de gauche est représenté le nombre d'instances malicieuses lancées. Si 20 instances sont envoyées quasi simultanément, on peut se retrouver avec 8 corésidences. Plus on s'éloigne dans le temps, plus les chances se réduisent, jusqu'à disparaître dès la dixième heure. Sur l'histogramme de droite, on illustre le pourcentage de possibilités de voir l'adresse du manager changer augmenter au fil du temps, et donc de ne pas être hébergé par le même hôte.

Comment l’attaquant peut-il savoir s'il est bien en corésidence ?
Les chercheurs parlent de coresidence checks. Il y en a trois. Les adresses IP qui sont plus proches les unes des autres, dès lors qu'elles sont sur le même hôte. Ensuite des envois de ping, tout simplement, qui attesteront de la distance entre la machine interrogée et l'attaquant : plus le temps de réponse est faible, plus les chances d'être sur le même hôte sont grandes.
Enfin, il faut savoir que pour chaque machine physique, l'ensemble des machines virtuelles hébergé, est géré par l'une d'entre elles appelée manager. De fait, via un simple traceroute, l'attaquant pourra vérifier qu'il est géré ou non par le même manager, et donc sur le même hôte.