17 de setembro de 2009
Um relatório recente descreveu os métodos de pesquisa cartográfica na nuvem conduzidos no Amazon EC2, o que poderia aumentar a chance de que um invasor iniciasse uma instância de computação no mesmo servidor físico que outra instância de computação tomada como alvo específico. Embora nenhum ataque tenha sido identificado nesse relatório, a AWS leva muito a sério todos os possíveis problemas de segurança. Por isso, estamos no processo de implementar proteções que impeçam que possíveis invasores usem as técnicas de cartografia descritas no relatório.
Além de investigar como colocar instâncias de computação no EC2 usando cartografia de nuvem, o relatório discorre sobre ataques de canal lateral hipotéticos que tentam adquirir informações a partir da instância de destino uma vez que o invasor tenha uma instância em execução no mesmo host físico. As técnicas de canal lateral apresentadas se baseiam nos resultados de testes feitos em um ambiente de laboratório cuidadosamente controlado com configurações que não correspondem ao ambiente real do Amazon EC2. Como os pesquisadores destacam, há uma série de fatores dificultariam consideravelmente para que esse tipo de ataque fosse colocado em prática.
Embora o relatório tenha apenas cenários hipotéticos, estamos levando essas observações muito a sério e continuaremos a investigar essas possíveis explorações. Também continuaremos a desenvolver recursos que aumentem os níveis de segurança para nossos usuários. Entre os exemplos recentes estão a AWS Multi-Factor Authentication (AWS MFA), que oferece aos clientes uma camada extra de segurança para administrar a conta da AWS de um cliente ao exigir uma segunda informação para confirmar a identidade do usuário. Com o AWS MFA habilitado, os usuários devem fornecer um código alternado de seis dígitos em um dispositivo físico que tenham em mãos, além das credenciais padrão da conta da AWS antes que possam fazer alterações nas configurações dessa conta.
Além disso, os usuários podem alternar as credenciais de acesso (por exemplo, um ID de chave de acesso da AWS ou um certificado X.509). Isso permite que eles substituam tranquilamente as credenciais de acesso existentes por uma nova sem precisar interromper os aplicativos. É possível aumentar a segurança dos aplicativos ao alternar regularmente as credenciais de acesso para proteger ainda mais uma conta, caso essas credenciais sejam perdidas ou comprometidas.