গবেষকরা ক্লাউড আক্রমণের একটি নতুন উপায় খুঁজুন

অ্যামাজন এবং মাইক্রোসফট ক্লাউড কম্পিউটিং পরিষেবাগুলিকে কম খরচে কাঁচা কম্পিউটিং পাওয়ারের আউটসোর্স করার চেষ্টা করছে, তবে পণ্যগুলি নতুন নিরাপত্তা সমস্যাগুলি চালু করতে পারে যা এখনো সম্পূর্ণরূপে অনুসন্ধান করা হয়নি। ক্যালিফোর্নিয়ার ইউনিভার্সিটি অফ ক্যালিফোর্নিয়া, সান ডিয়েগো এবং ম্যাসাচুসেটস ইনস্টিটিউট অব টেকনোলজি।

ক্লাউড সার্ভিসগুলি নতুন হার্ডওয়্যার কেনার ছাড়াই নতুন অ্যাপ্লিকেশন চালানোর অনুমতি দিয়ে কোম্পানির অর্থ সঞ্চয় করতে পারে। এ্যামেরস এর ইলাস্টিক কম্পিউটার ক্লাউড (ইসি 2) যেমন সার্ভিসগুলি একক কম্পিউটারে চালিত ভার্চুয়াল মেশিনের বিভিন্ন অপারেটিং পরিবেশের হোস্ট করে। এটি এএমএকে তার নেটওয়ার্কে প্রতিটি সার্ভারের বাইরে আরো কম্পিউটিং পাওয়ার নিঃসৃত করে দেয়, তবে এটি একটি খরচের দিকে আসতে পারে, গবেষকরা বলে।

আমাজন এর EC2 দিয়ে পরীক্ষায় তারা দেখিয়েছে যে তারা যা জানা আছে তার কিছু মৌলিক সংস্করণগুলি বন্ধ করে দিতে পারে পাশাপাশি চ্যানেল আক্রমণ হিসাবে একটি পার্শ্ব চ্যানেল আক্রমণকারী কম্পিউটার সম্পর্কিত অপ্রত্যাশিত তথ্য দেখায় - উদাহরণস্বরূপ - পর্দা বা কীবোর্ড থেকে ইলেক্ট্রোম্যাগনেটিক emanations, - মেশিনে কী ঘটছে তা নির্ধারণ করতে।

[আরও পাঠ্য: আপনার ম্যালওয়ার অপসারণ কিভাবে করবেন উইন্ডোজ পিসি]

গবেষকরা EC2 ক্লাউডে চলমান প্রোগ্রাম দ্বারা ব্যবহৃত ফিজিকাল সার্ভারকে চিহ্নিত করতে সক্ষম হন এবং তারপর এই প্রোগ্রামগুলি থেকে তাদের নিজস্ব সফ্টওয়্যার স্থাপন করে এবং একটি পার্শ্ব-চ্যানেল আক্রমণ শুরু করে, ছোটো পরিমাণ তথ্য সংগ্রহ করেন। সিকিউরিটি বিশেষজ্ঞরা বলছেন যে গবেষকরা দ্বারা পরিচালিত হামলাগুলি ছোটখাটো, কিন্তু তারা বিশ্বাস করে যে পার্শ্ব-চ্যানেল কৌশলগুলি ক্লাউড কম্পিউটিংয়ের জন্য আরো গুরুতর সমস্যার সৃষ্টি করতে পারে।

নিয়ন্ত্রকের উদ্বেগগুলির কারণে অনেক ব্যবহারকারী ইতিমধ্যে ক্লাউড সার্ভিসের ব্যবহারে অনিচ্ছুক। ওয়াশিংটনের কম্পিউটার বিজ্ঞান বিভাগের ইউনিভার্সিটির সহকারী অধ্যাপক তাদাইশি কোহনের মতে, তাদের তথ্যগুলির প্রকৃত অবস্থানের উপর আরো ভালো হ্যান্ডেল রয়েছে - কিন্তু পার্শ্ব-চ্যানেল গবেষণা সমস্যার একটি সম্পূর্ণ নতুন সেট নিয়ে এসেছে। "এটা ঠিক এই ধরনের উদ্বেগ - অজানা হুমকি - যা অনেক মানুষ যেমন EC2 হিসাবে ক্লাউড পরিষেবা ব্যবহার করতে দ্বিধা করা যাচ্ছে।"

অতীতে, কিছু পার্শ্ব চ্যানেল আক্রমণ খুব হয়েছে সফল। 2001 সালে, ইউনিভার্সিটি অব ক্যালিফোর্নিয়া, বার্কলে গবেষকরা দেখিয়েছেন যে, কীভাবে নেটওয়ার্ক স্ট্রোকের নেটওয়ার্ক তৈরির ট্র্যাফিকের একটি পরিসংখ্যানগত বিশ্লেষণ করে এনক্রিপ্টেড SSH (নিরাপদ শেল) ডাটা স্ট্রীম থেকে পাসওয়ার্ড তথ্য বের করতে সক্ষম হয়েছে।

ইউসি এবং এমআইটি গবেষকরা এমন কিছু অর্জন করতে সক্ষম ছিলেন না যা অত্যাধুনিক ছিল, কিন্তু তারা মনে করে যে তাদের কাজ এই এলাকায় ভবিষ্যতের গবেষণার জন্য উন্মুক্ত করতে পারে। ইউসি সান ডিয়েগো সহ সহযোগী অধ্যাপক স্টিফান স্যাভেজ বলেন, "ভার্চুয়াল মেশিন সব ধরণের চ্যানেলের আক্রমণের বিরুদ্ধে প্রমাণ দেয় না যা আমরা বছরের পর বছর ধরে শুনছি।"

কম্পিউটারের স্মৃতি ক্যাশে অনুসন্ধান করে, একই মেশিনের অন্য ব্যবহারকারীরা কিবোর্ড ব্যবহার করে যখন কিছু SSH টার্মিনাল ব্যবহার করে কম্পিউটার অ্যাক্সেস করার জন্য কিছু মৌলিক তথ্য সংগ্রহ করতে সক্ষম হয়। তারা বিশ্বাস করে যে কীস্ট্রোকের মধ্যে সময়কে পরিমাপ করে তারা অবশেষে বার্কলে গবেষকদের মত একই কৌশল ব্যবহার করে মেশিনে টাইপ করা হয়েছে তা বের করতে পারে।

সাভেজ এবং তার সহ-লেখক টমাস রিস্টেনপার্ট, এয়ারান টোমার এবং হোভভ শাখমও সক্ষম ছিলেন যখন কম্পিউটার একটি নির্দিষ্ট ওয়েব পৃষ্ঠা লোড হিসাবে সহজ কাজ সম্পাদন ছিল ক্যাশ কার্যকলাপ পরিমাপ করার জন্য তারা বিশ্বাস করে যে এই পদ্ধতিটি এমন কিছু করার জন্য ব্যবহার করা যেতে পারে যেমন একটি সার্ভারে কতজন ইন্টারনেট ব্যবহারকারীরা উপস্থিত ছিলেন তাও দেখেন।

তাদের সহজ হামলাগুলি কাজ করার জন্য, গবেষকরা শুধুমাত্র EC2 মেশিনটি তারা আক্রমণ করতে চায় এমন প্রোগ্রামটি চালাচ্ছে, এটিকে তাদের নির্দিষ্ট প্রোগ্রামটি পেতে একটি উপায় খুঁজে বের করতে হবে। এটি সহজে করা হয় না, কারণ ক্লাউড কম্পিউটিং সংজ্ঞা দ্বারা, এই ধরনের তথ্য ব্যবহারকারীকে অদৃশ্য করে তুলতে পারে।

কিন্তু ডিএনএস (ডোমেন নেম সিস্টেম) ট্র্যাফিকের বিশদ বিশ্লেষণ করে এবং নেটওয়ার্ক-নিরীক্ষণের টুলের সাহায্যে ট্রান্সারউইট নামক একটি পদ্ধতি ব্যবহার করে, গবেষকরা একটি কৌশল বের করতে সক্ষম হন যা তাদের আক্রমণের কোডটি 40 শতাংশের সুযোগ দিতে পারে। তাদের শিকার হিসাবে একই সার্ভার। EC2 উপর আক্রমণের খরচ মাত্র কয়েক ডলার ছিল, Savage বলেন।

ভার্চুয়াল মেশিন অপারেটিং সিস্টেম এবং প্রোগ্রাম একে অপরের থেকে আলাদা একটি ভাল কাজ করতে পারে, কিন্তু সিস্টেমে এই পার্শ্ব চ্যানেল আক্রমণ সবসময় একটি খোলার আছে যে সম্পদ শেয়ার, নিরাপত্তা অ্যাডভোকেট ISEC অংশীদারদের সাথে একটি অংশীদারিত্ব অ্যালেক্স Stamos, বলেন। "এটি একটি নতুন নতুন বর্গের বাগ হতে যাচ্ছে যা মানুষকে পরবর্তী পাঁচ বছরের মধ্যে ঠিক করতে হবে।"

তার কোম্পানীর ক্লাউড কম্পিউটিংে আগ্রহী এমন কয়েকটি ক্লায়েন্টদের সাথে কাজ করেছে, কিন্তু শুধুমাত্র যদি তারা নিশ্চিত হতে পারে যে অন্য কেউ একই মেশিন ভাগ করা হয়। "আমি ক্লাউড কম্পিউটিং প্রদানকারীদের অনুমান করছি তাদের ক্লায়েন্টদের দ্বারা শারীরিক যন্ত্র সরবরাহ করতে সক্ষম হব।"

অ্যামাজন বৃহস্পতিবার সাইড-চ্যানেল আক্রমণের বিষয়ে কথা বলার জন্য বেশ প্রস্তুত ছিল না। "আমরা সমস্ত সুরক্ষা দাবি অত্যন্ত গুরুত্ব সহকারে গ্রহণ করি এবং এই গবেষণা সম্পর্কে সচেতন থাকি," একটি মুখপাত্র বলেন। "আমরা তদন্ত করছি এবং আমাদের নিরাপত্তা কেন্দ্রগুলিতে আপডেট পোস্ট করব।"