解讀云計算環(huán)境下的隱蔽信道分析

以“互聯(lián)網(wǎng)安全新思維”為主題的OWASP2011亞洲峰會在11月8日-9日成功舉辦。本屆大會從“網(wǎng)絡(luò)安全產(chǎn)品測評”、“OWASP應(yīng)用安全技術(shù)”“業(yè)務(wù)安全發(fā)展新思路”“云安全”等多個角度展開深入的討論。來自中國科學(xué)院軟件研究所基礎(chǔ)軟件國家工程研究中心系統(tǒng)安全與可信計算研究室負(fù)責(zé)人丁麗萍女士為大家分享《云計算環(huán)境下的隱蔽信道分析》。她從隱蔽信道、云計算環(huán)境下安全威脅和隱蔽信道以及她們所做的工作三個方面進(jìn)行了詳細(xì)了介紹。

隱蔽信道

隱蔽信道在操作系統(tǒng)層面的概念是指惡意進(jìn)程通過合謀信息系統(tǒng)共享資源的實現(xiàn)信息泄漏的方式，隱蔽信道分析是國內(nèi)外安全標(biāo)準(zhǔn)對脆弱性分析的強(qiáng)制性的要求，要求你在提交產(chǎn)品的同時提交隱蔽信道分析的報告，構(gòu)建場景進(jìn)行度量，并提出消除措施。具體分析工作有：識別、度量和處置。隱蔽信道分析是信息安全領(lǐng)域的重要難題，研究起來難度很大。原因在于以強(qiáng)制訪問控制研究作為基礎(chǔ)，海量代碼基于源碼拿出來在靜態(tài)的分析比較復(fù)雜，像內(nèi)核源碼好幾百萬行，各個產(chǎn)品都有一些技術(shù)壁壘，導(dǎo)致參考資料非常少。

信道的分析分三塊：識別、度量、處置：

識別是對系統(tǒng)靜態(tài)分析，對源代碼的分析，強(qiáng)調(diào)對設(shè)計和代碼進(jìn)行分析，發(fā)現(xiàn)所有潛在的隱蔽信道；

度量是對信道傳輸能力和威脅程度的評價，隱蔽信道到底它的傳輸能力帶寬多大，對系統(tǒng)整個威脅多大，做出評價；

處置是包括信號的審計、消除、限制。信道的處置包括消除措施破壞信道存在條件，限制包括把信道降低到系統(tǒng)能夠容忍的范圍內(nèi)，把它的帶寬減少。信道的審計強(qiáng)調(diào)對潛在信道的相關(guān)操作進(jìn)行監(jiān)測和記錄，這就是隱蔽信道的傳輸機(jī)理。

隱秘信道本質(zhì)上是信息傳輸?shù)耐ǖ溃攸c集中在傳輸介質(zhì)的研究，根據(jù)共享資源屬性不同分為存儲和時間類型，四級操作系統(tǒng)要求對存儲類隱蔽信道進(jìn)行傳輸分析，五級對時間和存儲都要進(jìn)行分析，由此延伸出存儲和時間信道兩種。在操作系統(tǒng)、數(shù)據(jù)庫或者網(wǎng)絡(luò)中發(fā)現(xiàn)一種共享資源作為隱蔽信道的傳輸，是隱蔽傳輸機(jī)制的核心；傳輸介質(zhì)的選擇，是能夠提高信道的容量和隱匿性的根源。

提高隱蔽信道的傳輸準(zhǔn)確率和隱匿性的另一種方式是改進(jìn)信道的編碼機(jī)制。利用字母頻率特征、編碼期望長度較大或者多元編碼機(jī)制。

操作系統(tǒng)隱蔽信道研究重點在于防患于未然。對于開發(fā)出來某一個版本里面的隱蔽信道做一些分析，對它進(jìn)行消除采取一些措施，側(cè)重于它的標(biāo)識、場景構(gòu)建、容量度量等方面。這是我們列出相關(guān)的研究。Kemmerer為認(rèn)為隱蔽信道是使用不是正常數(shù)據(jù)客體的項從一個主體向另一個主體傳遞信息的信道，并由該定義設(shè)計出共享資源矩陣法。Tsai等人認(rèn)為隱蔽信道是違反強(qiáng)制安全策略模型的兩個主體間的非法通信。提出語義信息流方法判斷內(nèi)核變量間的可見性，以此發(fā)現(xiàn)可見隱蔽信道，缺乏分析工具。咱們國家的卿斯?jié)h延續(xù)了語義信息流的思想，設(shè)計了一種代碼層次的標(biāo)識方法回溯搜索法，該方法引入“剪枝規(guī)則”，在標(biāo)識過程中刪除不能構(gòu)成隱蔽信道的共享變量。數(shù)據(jù)庫隱蔽信道研究的人更少了，數(shù)據(jù)庫系統(tǒng)中存在著大量共享資源，這個領(lǐng)域的研究值得涉足了。網(wǎng)絡(luò)隱蔽信道集中正面的研究，利用傳輸信道傳輸隱秘信息，比如數(shù)據(jù)段增加一些東西來隱匿傳輸信息到另外一個節(jié)點去。網(wǎng)絡(luò)隱蔽信道將信息泄漏威脅從系統(tǒng)內(nèi)部轉(zhuǎn)移到系統(tǒng)中間，研究比較多是Purdue University（普渡大學(xué)）提出了一種IP時間隱蔽信道，稱作IPCTC.

云計算環(huán)境下安全威脅和隱蔽信道

云計算環(huán)境下的安全威脅與隱蔽信道關(guān)系。云計算將基礎(chǔ)設(shè)施、平臺及應(yīng)用部署到云端，無論從觀念上還是技術(shù)都給信息安全帶來極大的挑戰(zhàn)，好多專家說云計算帶來威脅非常之大。

入侵者：云計算平臺為其提供了一個廉價、高效、穩(wěn)定的入侵平臺。

用戶：擔(dān)心將應(yīng)用程序與服務(wù)部署在不可控的環(huán)境中的安全性。

服務(wù)商：由于隱私保護(hù)和商業(yè)規(guī)則，云服務(wù)商無法記錄和監(jiān)控客戶執(zhí)行的操作，導(dǎo)致信息泄漏等攻擊方式難易記錄和發(fā)現(xiàn)。

從三個層面來說，云安全還是非常大的問題，很難解決。

虛擬化技術(shù)是云計算平臺的核心。虛擬化技術(shù)提供了大量的共享資源，成為隱蔽信息的發(fā)生的源泉。我們以一個虛擬機(jī)的生命周期為例來分析云計算面臨的威脅。隱蔽信道依賴于共享資源存在的，共享資源越多隱蔽信道越多。

一個虛擬機(jī)有創(chuàng)建、啟動、運(yùn)行、停止、銷毀生命周期。在生命周期中，都會面臨到很多威脅。它的運(yùn)行階段時間最長，啟動起來一直在運(yùn)行，運(yùn)行階段我們認(rèn)為用A1和A2表示，A1表示虛擬機(jī)之間基于共享子資源的隱蔽信道。比如由于CPU負(fù)載和Cache緩存的隱蔽信道，在云計算平臺中，雖然VMM為每個虛擬機(jī)分配了虛擬的CPU，但是最終的任務(wù)仍然要順序地在物理CPU上執(zhí)行，通過觀察物理CPU的負(fù)載狀況，能夠推測同一物理平臺上其他虛擬機(jī)內(nèi)的機(jī)密信息，基于Cache為緩存的隱蔽信道類似于CPU負(fù)載信道，通過使用Cache的延遲時間，泄漏虛擬機(jī)的機(jī)密信息。

A2表示虛擬機(jī)的內(nèi)部的隱蔽信道。例如Linux操作系統(tǒng)的事件標(biāo)識型隱蔽信道，該信道的收發(fā)雙方通過改變和觀察特定的事件的狀態(tài)合謀傳遞機(jī)密信息。A1和A2分別表示了虛擬機(jī)外部和內(nèi)部的兩種信息泄漏方式。

啟動和停止階段，我們用A3和A4表示。

A3表示篡改啟動鏡像類型的攻擊。惡意用戶篡改替換VM啟動的鏡像文件，導(dǎo)致客戶在云服務(wù)的啟動階段就已經(jīng)被植入惡意程序成為入侵者的攻擊對象。A4表示篡改持久化數(shù)據(jù)的虛擬機(jī)攻擊方式。當(dāng)虛擬機(jī)將客戶數(shù)據(jù)寫入持續(xù)久設(shè)備中時，將客戶信息泄漏給攻擊者或者造成客戶數(shù)據(jù)的故意丟失。A3和A4可以采取安全保護(hù)策略對系統(tǒng)采取防范。

A5、A6是傳統(tǒng)的攻擊方式，A5表示木馬或者病毒攻擊方式。A6表示返回時篡改攻擊。網(wǎng)絡(luò)環(huán)境下，A5和A6表示中間人攻擊方式或其他的網(wǎng)絡(luò)攻擊方式，劫持網(wǎng)絡(luò)會話執(zhí)行惡意操作。

這三種類型的安全威脅覆蓋了云服務(wù)的完整的生命周期。按照由低向高的層次，可視為針對VMM、VM和應(yīng)用程序攻擊。

前兩種攻擊方式利用云計算平臺動態(tài)易用、資源共享的特點，是安全研究領(lǐng)域的新問題。通過安全策略，配置私有云、共有云、混合云可以創(chuàng)建相對安全的、靈活實用的平臺。然而即使部署了安全策略，只要存在資源共享，因此隱蔽信道是云計算研究下的關(guān)鍵問題。

目前的工作

丁麗萍介紹到：“我們做的工作基于的Xen的虛擬機(jī)，這是我們改進(jìn)的CASVisor，我們在里面做了安全機(jī)制在VMM層做的防護(hù)，啟動的時候前啟動CASVisor，然后生成Dom0，在系統(tǒng)中可以運(yùn)行的WindowsXP等等不同操作系統(tǒng)，操作系統(tǒng)上面可以放置不同的應(yīng)用。這是它的架構(gòu)。”

基于XCP隱蔽信道分析，我們做了一些工作，基于共享內(nèi)存，在這個平臺下，我們對Xen做了分析，為了完成虛擬機(jī)域間的通信與協(xié)作，Xen提供了兩類共享資源，即超級條用和事件通道。就是域和域之間的通知機(jī)制。事件通道機(jī)制與超級調(diào)用機(jī)制一起完成了VMM和Domain之間的控制和交互使用超級調(diào)用機(jī)制。

基于共享內(nèi)存的隱蔽信道，為了實現(xiàn)虛擬機(jī)Domani之間的共享內(nèi)存，Xen提供了基于超級調(diào)用和事件通道的授權(quán)表機(jī)制每個Domain都擁有自己的授權(quán)表，Doma創(chuàng)建一個環(huán)形數(shù)據(jù)結(jié)構(gòu)并賦給虛擬域如Domb訪問權(quán)限，以此構(gòu)成共享內(nèi)存。

我們認(rèn)為現(xiàn)有的研究對隱蔽信道的分類基本上出于對于工程時間的考慮，分析方式并沒有體現(xiàn)出隱蔽信道在云計算環(huán)境下的特點，需要重新分類，我們對隱蔽信道分了三大類，CC1、CC2、CC3三類。CC1是進(jìn)程級泄漏方式，CC1操作系統(tǒng)內(nèi)部的，是進(jìn)程級的跟傳統(tǒng)操作系統(tǒng)類似的。CC2是網(wǎng)絡(luò)級隱蔽信道，惡意進(jìn)程Pk在虛擬機(jī)平臺DomU中，PX是其他硬件平臺虛擬機(jī)或者獨立操作系統(tǒng)中的進(jìn)程。進(jìn)程PK和PX只能通過網(wǎng)絡(luò)連接通信，因此CC2通信可抽象為網(wǎng)絡(luò)隱蔽信道。CC3系統(tǒng)級隱蔽系統(tǒng)，收發(fā)雙方惡意進(jìn)程分別處于同一硬件平臺上不同虛擬域中，機(jī)密信息經(jīng)過操作系統(tǒng)級的傳輸，泄漏給惡意用戶。CC3類型的隱蔽信道是云計算環(huán)境中的特有的隱蔽信道類型，是由硬件資源共享導(dǎo)致的信道，如基于共享內(nèi)存、Cache和CPU負(fù)載的信道。CC3信道對于云計算客戶的數(shù)據(jù)安全至關(guān)重要，如果具有業(yè)務(wù)競爭關(guān)系的客戶處在同一物理平臺上，CC3類型的信息泄漏將給帶來沉重的經(jīng)濟(jì)代價。

分析的過程，我們采用的這樣的方法，在云計算環(huán)境下的隱蔽信道重點對CC3類型的信道進(jìn)行分析。CC1和CC2類型的信息可以直接采用以前的分析結(jié)果。對CC類信道分析的通過安裝配置LLVM變異系統(tǒng)，修改Makefile為文件，使之調(diào)用LLVM進(jìn)行變異，使用編寫中間代碼分析共聚合信息流圖構(gòu)建工具，查找潛在隱蔽信道，系統(tǒng)中部署檢查到潛在隱蔽信道，驗證其是否能在真實場景下實現(xiàn)。通過實驗計算其容量，設(shè)計相應(yīng)的隱蔽信道處置措施。

基于源代碼有向信息流圖標(biāo)識方法是我們的專利，這是我們在這個領(lǐng)域中發(fā)表的17篇文章，在國內(nèi)外得到了認(rèn)可，我們提出了云計算環(huán)境下的隱蔽信道的分析方法，在云計算頂級會議上被錄用了，而且派了一個博士生宣讀了論文。

云計算掀起了當(dāng)今IT業(yè)又一次研究熱潮，產(chǎn)業(yè)界對云計算帶來了實際效益更加然而，云安全是制約云計算法的瓶頸。如果安全問題解決不了，云計算我們認(rèn)為很難發(fā)展，如何隔離用戶數(shù)據(jù)，保證數(shù)據(jù)的機(jī)密性、完整性可用性，將是今后工業(yè)界研究重點，也是解決云安全的關(guān)鍵。

我們隱蔽信道分析是靜態(tài)分析，不是運(yùn)行中系統(tǒng)的分析，是針對源代碼的分析，分析源代碼看看共享變量和資源是什么？通過對共享資源主客體之間的關(guān)系分析潛在信道構(gòu)建場景對它進(jìn)行消除。

服務(wù)器租用/服務(wù)器托管中國五強(qiáng)！虛擬主機(jī)域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]