17. September 2009
In einem kürzlich veröffentlichten Bericht werden Cloud-Cartography-Forschungsmethoden auf Amazon EC2 beschrieben, die die Wahrscheinlichkeit erhöhen könnten, dass Angreifer eine Compute-Instance auf einem physischen Server ausführen, auf dem sich bereits eine andere spezifische Ziel-Compute-Instance befindet. Obwohl im Rahmen dieses Papers keine spezifischen Angriffe ermittelt werden konnten, wird jedes potenzielle Sicherheitsproblem bei AWS ernst genommen. Wir arbeiten bereits an der Veröffentlichung von Sicherheitsmechanismen, die einen Missbrauch der im Paper beschriebenen Cartography-Methoden verhindern.
Neben der Untersuchung der Zusammenstellung von Compute-Instances auf EC2 mittels Cloud Cartography werden im Paper hypothetische Seitenkanalattacken beschrieben, mit denen Angreifer nach der erfolgreichen Ausführung einer Instance auf demselben physischen Host versuchen, an Informationen von einer Ziel-Instance zu gelangen. Die dargestellten Seitenkanalmethoden basieren auf Testergebnissen in einer sorgfältig kontrollierten Laborumgebung mit Konfigurationen, die nicht der tatsächlichen Amazon EC2-Umgebung entsprechen. Die Forscher weisen darauf hin, dass die Durchführung eines entsprechenden Angriffs in der Praxis aufgrund von verschiedenen Faktoren wesentlich schwieriger wäre.
Der Bericht enthält zwar nur hypothetische Szenarien, doch wir nehmen die Beobachtungen sehr ernst und werden diese potenziellen Schwachstellen weitergehend untersuchen. Außerdem werden wir kontinuierlich Funktionen entwickeln, die die Sicherheit unserer Benutzer erhöhen. Ein kürzliches Beispiel ist AWS Multi-Factor Authentication (AWS MFA), das Kunden bei der AWS-Kontoverwaltung für ihre Kunden eine zusätzliche Sicherheitsebene bietet, indem zur Bestätigung der Identität eines Benutzers die Angabe einer weiteren Information erfordert wird. Wenn AWS MFA aktiviert ist, müssen Benutzer neben den Anmeldeinformationen für ihr AWS-Konto einen sechsstelligen, rotierenden Code von einem physischen Gerät angeben, das sich in ihrem Besitz befindet. Erst dann können Sie Änderungen an den Einstellungen ihres AWS-Kontos vornehmen.
Zusätzlich können Benutzer verschiedene Zugriffsanmeldeinformationen in Rotation verwenden (z. B. eine AWS-Zugriffsschlüssel-ID oder ein X.509-Zertifikat). Das ermöglicht den Benutzern, die bestehenden Zugriffsanmeldeinformationen nahtlos mit neuen zu ersetzen, ohne dass der Anwendungszugriff unterbrochen wird. Durch die regelmäßige Rotation der Zugriffsanmeldeinformationen kann die Sicherheit von Anwendungen erhöht werden. Sollten Anmeldeinformationen verloren gehen oder kompromittiert werden, kann so der Schutz eines Kontos verbessert werden.