17 septembre 2009
Un rapport récent décrit les méthodes de recherche en cartographie cloud menées sur Amazon EC2 qui pourraient augmenter la probabilité qu'un pirate lance une instance de calcul sur le même serveur physique qu'une autre instance de calcul cible. Bien qu'aucune attaque spécifique n'ait été identifiée dans ce document, AWS prend très au sérieux tous les problèmes de sécurité potentiels, et nous sommes en train de déployer des protections qui empêchent des pirates potentiels d'utiliser les techniques de cartographie décrites dans le document.
Outre l'étude de la manière de colocaliser les instances de calcul sur EC2 en utilisant la cartographie cloud, l'article présente des attaques hypothétiques par canal auxiliaire qui tentent d'obtenir des informations de l'instance cible une fois qu'un pirate a réussi à faire fonctionner une instance sur le même hôte physique. Les techniques de canal auxiliaire présentées sont basées sur les résultats des tests d'un environnement de laboratoire soigneusement contrôlé avec des configurations qui ne correspondent pas à l'environnement Amazon EC2 réel. Comme le soulignent les chercheurs, il existe un certain nombre de facteurs qui rendraient une telle attaque beaucoup plus difficile dans la pratique.
Bien que ce rapport ne contienne que des scénarios hypothétiques, nous prenons les observations très au sérieux et continuerons d'enquêter sur ces failles potentielles. Nous continuerons également à développer des fonctionnalités qui créent des niveaux de sécurité supplémentaires pour nos utilisateurs. Des exemples récents incluent l'AWS Multi-Factor Authentication (AWS MFA) qui renforce la sécurité de l'administration du compte AWS d'un client en exigeant une deuxième information pour confirmer l'identité d'un utilisateur. Avec AWS MFA activé, les utilisateurs doivent fournir un code rotatif à six chiffres à partir d'un appareil en leur possession physique en plus de leurs informations d'identification de compte AWS standard, pour pouvoir être autorisés à modifier leurs paramètres de compte AWS.
De plus, les utilisateurs peuvent changer les informations d'identification d'accès (par exemple, un ID de clé d'accès AWS ou un certificat X.509). Ainsi, les utilisateurs peuvent remplacer en toute transparence les informations d'identification d'accès existantes par les nouvelles sans encourir de temps d'arrêt pour les applications. Les applications peuvent être sécurisées en faisant changeant régulièrement les informations d'identification d'accès pour renforcer la protection d'un compte en cas de perte ou de compromission des informations d'identification d'accès.