in

El arrendamiento de servidores en la nube puede dejar datos confidenciales en juego

servidor en la nube

Crédito: Pixabay/CC0 Dominio público

El alquiler de espacio y direcciones IP en un servidor público se ha convertido en una práctica comercial estándar, pero según un equipo de científicos informáticos de Penn State, las prácticas actuales de la industria pueden conducir a la “ocupación de la nube”, lo que puede crear un riesgo de seguridad y poner en peligro datos confidenciales de clientes y organizaciones. destinado a permanecer privado.

La ocupación ilegal de la nube ocurre cuando una empresa, como su banco, alquila espacio y direcciones IP (direcciones únicas que identifican computadoras individuales o redes de computadoras) en un servidor público, las usa y luego libera el espacio y las direcciones a la empresa del servidor público. un patrón estándar visto todos los días. La empresa de servidores públicos, como Amazon, Google o Microsoft, asigna las mismas direcciones a una segunda empresa. Si esta segunda empresa es un mal actor, puede recibir información que ingresa en la dirección destinada a la empresa original, por ejemplo, cuando usted, como cliente, sin saberlo, utiliza un enlace obsoleto al interactuar con su banco, y lo utiliza para su ventaja: nube. allanamiento.

“Hay dos ventajas en el arrendamiento de espacio de servidor”, dijo Eric Pauley, candidato a doctorado en ciencias informáticas e ingeniería. “Una es la ventaja de costos, el ahorro en equipos y administración. La otra es la escalabilidad. El arrendamiento de espacio en el servidor ofrece un conjunto ilimitado de recursos informáticos para que, a medida que cambia la carga de trabajo, las empresas puedan adaptarse rápidamente”. Como resultado, el uso de las nubes ha crecido exponencialmente, lo que significa que casi todos los sitios web que visita un usuario aprovechan la computación en la nube.

Si bien los investigadores de Penn State sospecharon que la ocupación de la nube era posible, diseñaron un experimento para determinar si los inquilinos de la nube eran vulnerables y cuantificar el alcance del problema. Los investigadores configuraron una serie de alquileres de servidores en la nube de Amazon Web Services en su región us east 1, la región que sirve a la costa este de los EE. UU. Alquilaron espacio de servidor por intervalos de 10 minutos, recibieron información enviada a la dirección inquilinos anteriores y luego se trasladó a otra ubicación de servidor, repitiendo el proceso. No pidieron ningún dato, ni enviaron ningún dato. Todos los datos no solicitados que recibieron estaban potencialmente destinados a inquilinos anteriores.

Por ejemplo, si una empresa de banca móvil alquilara un espacio de servidor, recibiría una dirección IP de la empresa pública de servicios en la nube. Después de renunciar a ese espacio de servidor y dirección IP, el próximo inquilino de ese espacio podría recibir cualquier información financiera personal enviada por el cliente del banco a la dirección IP.







https://scx2.b-cdn.net/gfx/video/2022/cloud-server-leasing-c.mp4
Explicación de la ocupación de nubes. Crédito: Facultad de Ingeniería, Penn State

Los investigadores señalan en las Actas del 43º Simposio IEEE sobre Seguridad y Privacidad que “implementaron más de 3 millones de servidores que recibieron 1,5 millones de direcciones IP únicas durante 101 días”. Identificaron servidores en la nube, servicios de terceros y servidores de nombres de dominio (DNS) como fuentes de infracciones de seguridad potencialmente graves.

“La percepción anterior era que el DNS era el único riesgo”, dijo Pauley. “Entonces, si el DNS era seguro, estaba bien. Desafortunadamente, esto no era una panacea”.

En los 5 millones de datos que recibieron, muchos contenían información confidencial, incluidas transacciones financieras, ubicaciones de GPS e información de identificación personal.

“No recibimos datos de salud a sabiendas, pero confirmamos que un adversario podría recibir esos datos”, dijo Patrick McDaniel, titular de la Cátedra William L. Weiss en Tecnología de la Información y las Comunicaciones en la Escuela de Ingeniería Eléctrica y Ciencias de la Computación, Penn State. “Por ejemplo, las solicitudes recibidas por una de nuestras direcciones IP fueron para el sitio web de Salud y Servicios Humanos, HHS.gov. No interactuamos más, pero otros podrían pretender ser un servicio del HHS y lograr que la gente interactúe”. En este caso, desde la perspectiva del usuario, creerían que están hablando con una agencia gubernamental legítima, exponiendo datos personales y de salud confidenciales.

Si las empresas utilizan la mensajería en la nube internamente o los servicios de impresión en la nube, cuando esas direcciones IP se sueltan, las solicitudes de información enviadas a esos servicios por parte del personal de la empresa que por error intentan usar las direcciones antiguas o que no saben que las direcciones han cambiado pueden entrar en el manos equivocadas

“Nuestro experimento recolectó, encriptó y envió todo lo que conseguimos a un lugar seguro para su análisis”, dijo McDaniel. “También tomamos medidas adicionales para garantizar que los datos de los usuarios detectados estuvieran protegidos”.

McDaniel señala que la investigación se realizó de conformidad con el programa de informes de vulnerabilidad de Amazon, que permite a los investigadores de seguridad que actúan de buena fe realizar su investigación.

Los investigadores contactaron de inmediato a las tres principales empresas de servidores en la nube, AWS, Microsoft y Google, así como a las agencias gubernamentales vulnerables de los EE. UU., para informarles sobre las vulnerabilidades en sus prácticas de servidor. Amazon, tras revisar la información y una auditoría interna, está implementando una serie de prácticas para intentar contener la okupación de la nube en sus servidores.

Para resolver las preocupaciones sobre la ocupación ilegal de la nube, los investigadores creen que tanto las empresas de servidores en la nube como los clientes que alquilan el espacio del servidor deben realizar esfuerzos de mitigación. Desde el lado del servidor en la nube, una de las formas de frustrar la ocupación ilegal de la nube es evitar la reutilización de direcciones IP. Sin embargo, esto está limitado por la cantidad de direcciones IP disponibles.

En segundo lugar, “las empresas de servidores pueden crear bloques de direcciones IP reservadas”, dijo McDaniel. “A una gran organización de clientes se le podría asignar un rango fijo de direcciones que son reciclables dentro de la empresa”.

En tercer lugar, las empresas de servidores pueden retrasar el reciclaje de las direcciones IP, pero cuanto más tiempo estén inactivas las direcciones IP, más le costará a la empresa del servidor.

Desde el lado del cliente, los usuarios pueden evitar producir configuraciones de direcciones IP que persisten después de que se sueltan las direcciones IP del servidor en la nube. Sin embargo, los investigadores descubrieron que esto rara vez sucede porque a menudo existe un control central y una supervisión limitados de las configuraciones de direcciones IP dentro de una organización. Durante las entrevistas con los usuarios de servidores en la nube afectados, los investigadores descubrieron que muchas organizaciones tienen poca visibilidad de cómo los departamentos y empleados utilizan las docenas o cientos de cuentas diferentes que utilizan capacidades de computación en la nube y, lo que es más importante, las dan de baja.

“En términos generales, los usuarios no eliminan las configuraciones que apuntan a las direcciones IP en los servidores de la nube”, dijo McDaniel. “Podría ser una impresora fuera de servicio que todavía está en el menú o un nombre de dominio o una nota adhesiva que dice conectarse a una dirección específica. Debido a que los problemas son muy amplios y están dispersos entre muchos, muchos usuarios, puede ser muy difícil tener métodos para arreglarlos Sin embargo, los hilos comunes son una falla al monitorear y desmantelar configuraciones obsoletas “.

Las direcciones IP solían ser de larga duración o estáticas, pero ahora son dinámicas y cambian en horas o minutos. Esto introduce una gran clase de vulnerabilidad, según los investigadores.

“Prestaría atención a la conclusión de que, a pesar de la atracción abrumadora de los servidores en la nube, la computación en la nube no está exenta de riesgos”, dijo Pauley. “Sin embargo, al administrar y observar su uso, podemos mitigar gran parte de ese peligro. El almuerzo gratis que la gente pensaba que eran las nubes no es gratis. Las empresas tienen que sopesar el riesgo para beneficiarse”.


Dew ayuda a poner a tierra la computación en la nube


Más información:
Medición y mitigación del riesgo de reutilización de IP en nubes públicas, Actas del 43.º Simposio IEEE sobre seguridad y privacidad, 2022.

Proporcionado por la Universidad Estatal de Pensilvania


Citación: El arrendamiento de servidores en la nube puede dejar datos confidenciales disponibles (11 de abril de 2022) consultado el 11 de abril de 2022 en https://techxplore.com/news/2022-04-cloud-server-leasing-Sensible.html

Este documento está sujeto a derechos de autor. Aparte de cualquier trato justo con fines de estudio o investigación privados, ninguna parte puede reproducirse sin el permiso por escrito. El contenido se proporciona únicamente con fines informativos.



Fuente

Apple enfrenta cargos adicionales en un caso antimonopolio de la UE iniciado por Spotify

Se anuncia el juego móvil Kingdom Hearts: Missing-Link, la beta cerrada llegará más adelante este año