Cloud Computing Forum: Controlos semelhantes para ameaças diferentes

O professor da Faculdade de Ciências da Universidade de Lisboa, Miguel Pupo Correia, considera que muitos problemas de segurança na Cloud não têm solução tecnológica e por isso são salvaguardados no campo jurídico.

Para o professor da Faculdade de Ciências da Universidade de Lisboa, Miguel Pupo Correia, a confiança no modelo de cloud computing é inevitável, e deverá tornar-se semelhante à existente entre o negócio e o departamento de informática. Subsistem, entretanto, alguns problemas decorrentes do facto de “os controlos de segurança continuarem a ser semelhantes, aos do modelo tradicional, mas as ameaças serem diferentes”. Segundo o docente, “muitos problemas de segurança na cloud não têm solução tecnológica e por isso são salvaguardados no aspecto legal”.
Como principais problemas ou riscos de segurança, o especialista aponta o eterno problema dos funcionários ambiciosos, os quais descontentes com o patrão “roubam palavras passe e chaves privadas”. Com elas, podem aceder ou roubar dados, ou sequestra-los. Às vezes “ basta  correr dois comandos”.
O mesmo alerta para problemas ligados à “interface de gestão da cloud”, específicos do modelo. “Na cloud a superfície de ataque é maior devido à existência de uma interface de gestão da própria plataforma, envolvendo o controlo e monitorização das máquinas virtuais, utilizadores, etc.” explica, Miguel Correia. Outros focos de insegurança são a consola web, os Web Services,  REST API, disse o docente. E na própria interface da cloud podem “existir vulnerabilidades capazes de permitir personificar um utilizador: SQL injection, XML injection, cross site scripting, etc”.
O phishing para a obtenção de credenciais de autenticação acaba por ser o ponto de partida com o objectivo de desenvolver ataques: “ao sistema de taxação, ao interface de gestão visando o pedido abusivo de recursos”.  Miguel Correia explica que o facto de alguns serviços fornecerem automaticamente mais recursos se a utilização aumentar, facilita o incremento fraudulento artificial da factura a pagar aos serviços. Uma variante dos ataques de negação de serviços pode ocorrer quando o atacante acede ao serviço intensamente para aumentar a factura da vítima, é o de co-alocação de máquinas virtuais. “Na cloud as máquinas virtuais de vários clientes podem estar no mesmo servidor físico. Durante o ataque, o atacante instancia máquinas virtuais até obter uma co-alocada com uma da vítima”, explica o docente. A partir daí, a máquina virtual do criminoso ataca a outra, usando uma vulnerabilidade na virtualização, ou “usando recursos partilhados para obter informação confidencial”.
De acordo com dados citados por Miguel Correia, 45% dos hackers já tentaram atacar uma plataforma de cloud computing, 12% com objectivos financeiros. Gestores de TI presentes na conferência DEFCON 2010 manifestaram que o modelo de cloud computing é uma espécie paraíso de oportunidades para os hackers. A solução, na óptica do professor, é fazer uma apurada avaliação de risco, e perceber de que forma a organização pode ser afectada. Torna-se necessário avaliar também os serviços disponíveis, obter dos fornecedores compromissos específicos de responsabilização.

Controlos diferem de tipo para tipo

Os controlos necessários diferem muito entre os tipos de cloud IaaS, PaaS e SaaS, avisa Miguel Correia. “No modelo SaaS quase tudo tem de ser feito pelo fornecedor, e portanto o grau de confiança necessário tem de ser o máximo; no modelo IaaS o cliente tem um papel muito importante”, explica. Na opinião do professor há vários problemas dos modelos de computação anteriores que não foram resolvidos. Por isso, é necessário limitar o poder de empregados descontentes; e mitigar as vulnerabilidades na interface de gestão.
Para esclarecer dúvidas sobre boas práticas d segurança na cloud, o professor recomenda o guia CSA Security Guidance for Critical Areas of Focus in Cloud Computing V2.1., da Cloud Security Alliance. Miguel Correia participa no projecto de investigação europeu de segurança para o modelo de cloud computing, TCloud, financiado pelo 7º Programa-Quadro da Comissão Europeia, com 7,5 milhões de euros, durante três anos.

Ideias em experiência

Para resolver alguns aspectos de desconfiança de potenciais clientes em relação aos fornecedores de serviços de cloud há várias ideias a serem testadas. Uma delas consiste em colocar  “a raiz da confiança no hardware, mais precisamente no Trusted Platform Module (do Trusted Computing Group, disponível actualmente nos PC)”, explica Miguel Correia. “Usando o TPM é possível fazer atestação remota, ou seja, ter a certeza de qual é o software em execução”.
Outra ideia é distribuir os dados, informação ou outros activos por várias clouds, num universo delimitado de plataformas cloud. Neste sistema a os dados estão cifrados e as chaves repartidas por todas as clouds (usando secret sharing). De acordo com o docente universitário, na utilização de quatro clouds, o custo fica-se pelo dobro do valor relativo ao uso de apenas uma plataforma de cloud.