Segurança na Computação em Nuvem

LRG – Laboratório de Redes e GerênciaCarla Merkle Westphall

carlamw@inf.ufsc.br

Carlos Becker Westphallwestphal@inf.ufsc.br

Roteiro

• Ambiente

• Ameaças

• Desafios

2

3

Segurança CID – confidencialidade, integridade,

disponibilidade

Ameaças – condições ou eventos que forneçam potencial de violação de segurança

Vulnerabilidade – falha ou característica indevida que pode ser explorada

Ataque – conjunto de ações feitas por entidade não autorizada visando violações de segurança

Computação em nuvemHardware e Software entregues:• Sob demanda na forma de auto-atendimento• Independente de dispositivo e de localizaçãoRecursos necessários• Compartilhados• Dinamicamente escaláveis• Alocados rapidamente e liberados com

interação mínima com o provedor de serviço • Virtualizados Usuários pagam pelo serviço usado

4

5

6

http://cloudtaxonomy.opencrowd.com/taxonomy/

Tecnologias usadas

• Aplicações e serviços Web

• Virtualização

• Criptografia

7

• Em larga escala implementar segurança é mais barato (filtros, gerenciamento de patches, proteção de máquinas virtuais)

• Grandes provedores de cloud podem contratar especialistas

• Atualizações são mais rápidas em ambientes homogêneos para responder aos incidentes

• Imagens padrão de VMs e softwares podem ser atualizados com configurações de segurança e patches

“Mesmo valor de investimentos em segurança compra uma proteção melhor"

Segurança e economia

8

Defesas de ambientes de nuvem podem ser mais robustas, escaláveis e ter uma relação custo-benefício melhor, mas…

....a concentração grande de recursos e dados são um alvo mais atraente para atacantes

9

Ameaças• Desvio de sessão (session hijacking): o atacante

consegue se apoderar de uma sessão HTTP válida para obter acesso não autorizado

10

Ameaças• Fuga da virtualização: o atacante consegue sair

do ambiente virtualizado e obter acesso à máquina física

11

Ameaças

• Criptografia insegura e obsoleta:▫ avanços na criptoanálise, protocolos e

algoritmos antes considerados seguros passam a ser obsoletos e vulneráveis

▫ gerenciamento e armazenamento de muitas chaves, hardware não é fixo, difícil ter HSM

• Amazon S3 (serviço de storage) usa 256-bit Advanced Encryption Standard (AES-256)

12

Ameaças• Acesso não autorizado à interface de gerência:

com o auto-atendimento o gerenciamento de clouds geralmente é feito em uma interface web, sendo mais fácil para um atacante obter acesso não autorizado

13

Ameaças

• Vulnerabilidades do IP: acesso via Internet, rede não confiável, IP possui problemas de segurança (scanning IaaS proibido)

• Vulnerabilidades de recuperação de dados: devido a realocação de recursos é possível que um usuário tenha acesso a recursos de armazenamento e memória previamente utilizados que ainda podem conter dados

14

Ameaças

• Injeção de código malicioso: ▫ injeção de SQL – comando SQL é adicionado

ou substitui dados fornecidos pelo usuário que são interpretados (e executados)

▫ Cross-Site Scripting - permite a execução de códigos (scripts) no browser do lado do cliente

15

OWASP - 2010

SQL Injection – Ilustração

Fire

wal

l

Hardened OS

Web Server

App ServerF

irew

all

Dat

abas

es

Leg

acy

Syst

ems

Web

Ser

vice

s

Dir

ecto

ries

Hum

an R

esrc

s

Bill

ing

Custom Code

APPLICATIONATTACK

Net

wor

k L

ayer

App

lica

tion

Lay

er

Acc

ount

s

Fina

nce

Adm

inis

trat

ion

Tra

nsac

tions

Com

mun

icat

ion

Kno

wle

dge

Mgm

t

E-C

omm

erce

Bus

. Fun

ctio

ns

HTTP request

SQL query

DB Table

HTTP response

"SELECT * FROM accounts WHERE acct=‘’ OR 1=1--’"

1. Aplicação apresenta um formulário para o atacante

2. Atacante envia um ataque nos dados do formulário

3. Aplicação encaminha o ataque para o BD em uma consulta SQL

4. Banco de dados executa a consulta contendo o ataque e envia resultados cifrados de volta para a aplicação5. Aplicação decifra dados como normais e envia resultados para o usuário

Contas

Conta:5424-6066-2134-4334Conta:4128-7574-3921-0192Conta:5424-9383-2039-4029Conta:4128-0004-1234-0293

Conta :

SKU:

Conta :

SKU:

16

OWASP - 2010

Cross-Site Scripting - Ilustração

Aplicação com vulnerabilidade XSS armazenada

3

2

Atacante envia uma armadilha – atualize o meu perfil

Atacante envia um script malicioso em uma página web que armazena os dados no servidor

1

Vítima viu página – viu o perfil do atacante

Script envia silenciosamente o cookie de sessão da vítima para o atacante

Script executa no browser da vítima com acesso completo ao DOM e cookies

Custom Code

Acc

oun

ts

Fin

ance

Adm

inis

trat

ion

Tra

nsac

tions

Com

mu

nica

tion

Kno

wle

dge

M

gmt

E-C

omm

erc

e

Bus

. Fun

ctio

ns

17

Ameaças

• Uso nefasto e abusivo (Iaas, PaaS): poder computacional, rede e armazenamentos ilimitados são usados por usuário cadastrado. Usuário pode ser spammer, distribuir código malicioso ou outro criminoso. É só ter cartão de crédito !

Crack de senhas e chaves, disparo de ataques, DDOS (X-DoS, H-DoS), comando e controle de botnet (Zeus botnet)

18

19

Ameaças

20

• Interfaces e APIs inseguras (Iaas, PaaS, SaaS)

Acesso anônimo e ou tokens ou senha reusáveis, autenticação ou transmissão de dados sem criptografia, autorização imprópria, monitoramento e log limitados, dependências de APIs e serviços desconhecidas

Ainda...

• Usuários não conseguem monitorar a segurança de seus recursos na nuvem

• Possibilidade de auditoria da segurança insuficiente

• Não existem padrões de medidas específicas para cloud

• A computação nas nuvens separa os componentes de sua localização e isso cria questões de segurança que resultam desta falta de perímetro

21

22

23

Cloud Security Alliance• Domínios de governança• Domínios operacionais

1. Segurança tradicional, planos de continuidade e recuperação de desastres

2. Operações dos datacenters3. Tratamento de incidentes4. Segurança das aplicações5. Criptografia e gerenciamento de chaves6. Gerenciamento de identidades e de acesso7. Virtualização8. Segurança como serviço

24

Desafios - Criptografia• Criptografia forte • Gerenciamento de chaves escalável

▫ uma única chave por usuário?▫ uma única chave para todos os usuários? ▫ múltiplas chaves para o mesmo usuário?

• Usuários e provedores devem cifrar todos os dados em trânsito e também dados estáticos

25

Desafios - Multi-tenancy

26

• Diferentes quanto a segurança, SLA, governança, políticas

Desafios – Aplicações e IAM

• Segurança de aplicações (IaaS, PaaS, SaaS)• Gerenciamento de Identidades e de

Acesso (Identity and Access Management) ▫ Proliferação de identidades▫ Autenticação única (Single Sign On)▫ Federação de identidades▫ Privacidade do usuário▫ Controle de acesso

27

Tecnologias

• SAML, XACML• XML-Encryption, XML-Signature• WS (Web Services) Security

▫ WS-Trust▫ WS-Policy▫ ...

• OpenID, Google, Shibboleth, ...

28

Amazon EC2 http://aws.amazon.com/security/

• PCI DSS (Payment Card Industry Data Security Standard) Level 1

• ISO 27001• FISMA (Federal Information Security

Management Act) Moderate• HIPAA (Health Insurance Portability and

Accountability Act)• SAS 70 (Statement on Auditing Standards)

Type II

29

Amazon EC2 http://aws.amazon.com/security/

• Segurança física e operacional• Criptografia no sistema de arquivos• Uso do SSL (https)• Gerência de chaves: usuário cuida • Gerenciamento de Identidades e de Acesso

▫ Criar e gerenciar usuários▫ Identidades federadas▫ Credenciais para autorização▫ APIs de programação

30

Pesquisas

• Muito trabalho a ser feito• Vários assuntos de pesquisa• No LRG:

▫ Gerenciamento de identidade e acesso na computação em nuvem

▫ Dissertações de mestrado no PPGCC▫ TCC▫ Bolsas Pibic/CNPq

31

Referências• Grobauer, B.; Walloschek, T.; Stocker, E. (2011) "Understanding

Cloud Computing Vulnerabilities," Security & Privacy, IEEE , vol.9, no.2, pp.50-57, March-April 2011.

• Chaves, S.; Westphal, C. B.; Westphall, C. M.; Gerônimo, G. A. “Customer Security Concerns in Cloud Computing,” ICN 2011, pp. 7-11, 2011.

• Gonzalez, N.; Miers, C.; Redigolo, F.; Carvalho, T.; Simplicio, M.; Naslund, M.; Pourzandi, M.; , "A Quantitative Analysis of Current Security Concerns and Solutions for Cloud Computing,“ IEEE CloudCom, pp.231-238, 2011.

• CSA (2011). Security Guidance for Critical Areas of Focus in Cloud Computing – v3.0. Cloud Security Alliance. https://cloudsecurityalliance.org/

• CSA (2010). Top Threats to Cloud Computing V1.0. • CSA BR - https://chapters.cloudsecurityalliance.org/brazil/

32

Obrigada!

33