Tendencias21
Una máquina de ataque virtual demuestra la vulnerabilidad de la nube

Una máquina de ataque virtual demuestra la vulnerabilidad de la nube

Investigadores de la empresa de seguridad informática RSA han comprobado que es posible robar datos alojados en la nube utilizando una máquina de ataque virtual. El software espiado y el software atacante comparten la misma memoria caché de hardware, lo que permitió al segundo sondear pistas sobre su víctima. Aunque el estudio demostró que el proceso de ataque resulta demasiado complejo para extenderse y amenazar a los servidores alojados en nube, los expertos recomiendan separar cargas de trabajo altamente sensibles. Por Patricia Pérez.

Una máquina de ataque virtual demuestra la vulnerabilidad de la nube

La computación en la nube puede aportar muchos beneficios a la empresa al tiempo que ahorrar costes económicos, dejando atrás cualquier preocupación por el equipo físico para alojar información y ejecutar programas. Sin embargo, todavía son muchos los reacios a entregar datos a terceros, bien por temor a los hackers, a la pérdida accidental de archivos o al robo a los proveedores en la nube.

Un estudio llevado a cabo por investigadores de la empresa internacional de seguridad informática RSA da la razón a los más temerosos. Según publica la web MIT Technology Review, se ha demostrado que es posible para un software alojado en la nube robar información valiosa de otro software hospedado en la misma. Para probarlo, ejecutaron un software malicioso en un hardware diseñado para imitar el funcionamiento de compañías de cloud computing como Amazon. Así, fueron capaces de robar una clave de seguridad de e-mail desde el software de otro usuario.

El ataque, desarrollado por RSA en colaboración con investigadores de la Universidad de Carolina del Norte y Wisconsin, ambas en EEUU, demostró ser tan complejo que es poco probable que se convierta en un peligro para los clientes de las plataformas actuales, pero sí abre el debate sobre la seguridad en la nube.

En su publicación, los autores del estudio sugieren que la información más valiosa no debería confiarse a este tipo de alojamientos. “La lección principal es que si tienes una carga de trabajo sensible no debes trabajar junto a alguien desconocido y potencialmente poco fiable”, señala Ari Juels, jefe científico de RSA y director de los laboratorios de investigación.

Virtualización

El ataque debilita uno de los pilares básicos que sustenta la computación en la nube, el hecho de que los datos de un cliente se mantienen completamente separados de los pertenecientes a cualquier otro. Esta separación es posible en teoría a través de la tecnología de virtualización, software que imita el sistema de un equipo físico.

El resultado son máquinas virtuales (VM) que ofrecen a sus usuarios un sistema familiar para instalar y ejecutar software, ocultando el hecho de que, en realidad, todos los clientes comparten el mismo sistema informático, complejo y a una escala similar a la de un almacén.

El trabajo de Juels y sus compañeros de equipo se centra en demostrar este funcionamiento y sus posibles deficiencias. Así, detectaron que el ataque sólo funciona cuando ambas VM se ejecutan en el mismo hardware físico, como “co-residentes” en una sola máquina. Al compartir recursos, las acciones de una pueden afectar a la eficacia de la otra.

De esta forma, las dos VM comparten la misma caché de hardware, que almacena datos utilizados recientemente para acelerar el acceso futuro a los mismos. El procedimiento de la VM atacante es llenar la memoria caché, de manera que la máquina objeto del ataque, que está procesando en clave criptográfica, puede sobrescribir algunos de los datos de la otra. Al observar qué partes de la caché se cambian, la VM atacante aprende sobre la clave en uso.

Según los autores del estudio, es lo que se conoce como “ataque de canal lateral”, al aprovechar las cachés del procesador para observar el comportamiento de la víctima. “A pesar del hecho de que, en principio, la víctima está aislada, la máquina de ataque virtual vislumbra su comportamiento a través de un recurso compartido”, matiza Juels.

El atacante no consigue leer directamente los datos de la víctima, pero al notar la rapidez con la que escribe en la memoria caché puedo inferir algunas pistas sobre lo que habría dejado en ella. “Mediante la recopilación de cada uno de esos vistazos, se puede revelar la clave de cifrado al completo”, explican en la publicación.

Una máquina de ataque virtual demuestra la vulnerabilidad de la nube

Ataque factible

El software atacado en la prueba fue GNUPrivacy Guard, un programa de encriptación de correo electrónico conocido por filtrar información. Michael Bailey, investigador de seguridad informática en la Universidad de Michigan, subraya que, aunque el experimento no se realizó en un entorno de cloud computing real, “el resultado es significativo e inspirará a otros investigadores, y tal vez a atacantes reales, a demostrar que este tipo de acciones puede ser factible”.

Y es que, a pesar de su complejidad, los investigadores apuntan que los proveedores de cloud y sus clientes deben tomarse en serio la amenaza. “Las defensas son un reto”, recuerda Juels, quien ha informado a Amazon sobre su investigación. “Me emociona que por fin alguien dé un ejemplo de un ataque de canal lateral”, reconoce Bailey. “Es una prueba que plantea la posibilidad de que esto puede llevarse a cabo realmente y motivará a seguir investigando”, continua.

Una demostración relacionada consistiría en usar el método para robar las claves de cifrado utilizadas para proteger sitios web que ofrecen servicios como el correo electrónico, las compras y la banca aunque, según Bailey, sería mucho más difícil. Con todo, Juels asegura estar trabajando para comprobar hasta dónde puede llegar su nuevo estilo de ataque.

Mientras tanto, una fórmula que los administradores de la nube pueden tomar para evitar fugas como ésta es usar un equipo diferente para tareas de alta seguridad. “En entornos de alta seguridad, una práctica que viene de antiguo sería no usar el mismo ordenador para tareas que deben aislarse unas de otras, es decir, mantener una especie de cámara de aire entre las tareas. Ésta sigue siendo la más alta garantía de defensa contra los ataques de canal lateral (y muchos otros)”, escribieron los autores.

RedacciónT21

Hacer un comentario

RSS Lo último de Tendencias21

  • Revelan cómo nace el miedo en el cerebro y una posible vía para paralizarlo 19 marzo, 2024
    Un nuevo estudio ha logrado descifrar una serie de modificaciones en la química cerebral que, al influir sobre circuitos neuronales específicos, provocan que el miedo se generalice y aparezca en situaciones en las que no debería hacerlo. Este sistema es el que genera la sensación de miedo exacerbada y permanente que experimentan las personas que […]
    Pablo Javier Piacente
  • Crean el mapa 3D más extenso de los agujeros negros supermasivos activos del Universo 19 marzo, 2024
    En una verdadera proeza astronómica, los científicos han creado el mapa más extenso hasta el momento de los agujeros negros supermasivos activos y cuásares en el cosmos: el avance marca un salto significativo en nuestra comprensión de estos gigantes cósmicos y podría ayudar a entender mejor las propiedades de la materia oscura.
    Pablo Javier Piacente
  • Descubren cómo las primeras células de la Tierra aprovecharon el H2 como fuente de energía 19 marzo, 2024
    Un nuevo informe descubre cómo el gas hidrógeno, la energía del futuro, proporcionó energía en el pasado, en el origen de la vida hace 4 mil millones de años. Y confirmaría que la vida se originó en respiradores hidrotermales.
    HHU/T21
  • Algo extraño ocurre en el Cometa Diablo que nos visita durante el eclipse solar de abril 19 marzo, 2024
    Un cometa casi tan famoso como el Halley está brillando en el cielo nocturno de la Tierra y podría ser visible durante el eclipse solar total del 8 de abril que tendrá lugar sobre Norteamérica, pero algo extraño parece suceder en su núcleo.
    Redacción T21
  • Resuelto el misterio de una criatura marina con un caparazón repleto de ojos 18 marzo, 2024
    Los quitones o chitones son moluscos marinos dotados de pequeños ojos desperdigados por todo su caparazón, con lentes confeccionados con un mineral llamado aragonita. Estos primitivos órganos sensoriales son capaces de distinguir formas y luz: un nuevo estudio ha revelado por qué evolucionaron tan rápidamente y cuál es su papel en el desarrollo de los […]
    Pablo Javier Piacente
  • La mayor erupción volcánica de la era geológica actual ocurrió en Japón hace 7.300 años 18 marzo, 2024
    Un estudio detallado de los depósitos volcánicos submarinos alrededor de la caldera Kikai, en Japón, descubrió que un evento que tuvo lugar en esa región de Asia hace 7.300 años fue, con claridad, la mayor erupción volcánica registrada en el planeta durante el Holoceno, la época geológica actual iniciada hace aproximadamente 11.500 años.
    Pablo Javier Piacente
  • Las enfermedades neurológicas ya son el primer problema de salud mundial 18 marzo, 2024
    El 43% de la población mundial padece enfermedades neurológicas: afectan a 3.400 millones de personas y cuestan la pérdida de 443 millones de años de vida saludable. España supera en un 18% la media mundial de afectados por patologías que van desde dolores de cabeza tensionales hasta accidentes cerebrovasculares.
    Redacción T21
  • La Inteligencia Artificial aprende lo que significa estar vivo 18 marzo, 2024
    La IA ha descubierto en seis semanas unas células que la ciencia había tardado 134 años en identificar. Puede que haya tropezado también con un tipo de célula totalmente desconocida. ¿Qué va a pasar con los biólogos humanos?
    Eduardo Martínez de la Fe
  • Las ranas les guiñan el ojo a los machos elegidos para el apareamiento 17 marzo, 2024
    Un curioso estudio ha descubierto que las ranas les guiñan el ojo al macho para indicarle que le gusta. En respuesta al parpadeo, el macho lanza repetidamente un grito entrecortado y salta junto a ella para aparearse.
    N+1/T21
  • Los perros son nuestros terapeutas de cuatro patas 16 marzo, 2024
    Investigadores de Corea del Sur colocaron auriculares con electrodos a 30 adultos y luego midieron los cambios en sus ondas cerebrales mientras interactuaban con un caniche llamado Aro. Los resultados indicaron que pasear al perro hizo que los participantes se sintieran más relajados, cepillarle mejoró la concentración y jugar con la mascota produjo ambos efectos.
    Redacción T21