[논문 리뷰] A Placement Vulnerability Study in Multi-tenant Public Clouds

Venkatanathan Varadarajan, Yinqian Zhang외 2명|arXiv (Cornell University)|2015. 07. 11.

Security and Verification in Computing참고 문헌 22인용 수 100

한 줄 요약

이 논문은 현대의 다중 테넌시 공용 클라우드에서의 배치 취약성을 조사하며, 가상 개인 클라우드(VPCs)와 같은 고도로 발전한 격리 기술의 도입에도 불구하고 공유 위치 공격(co-location attacks)이 여전히 가능함을 입증한다. 아마존 EC2, 구글 GCE, 마이크로소프트 아크라이드에서 새로운 공유 위치 감지 기법과 전략적 VM 실행 전략을 활용하여, 보안 기준 정책보다 10배 높은 성공률과 최대 114달러 저렴한 비용으로 공유 위치를 달성할 수 있음을 보여주며, 클라우드 인fra의 지속적인 보안 위험을 드러낸다.

ABSTRACT

Public infrastructure-as-a-service clouds, such as Amazon EC2, Google Compute Engine (GCE) and Microsoft Azure allow clients to run virtual machines (VMs) on shared physical infrastructure. This practice of multi-tenancy brings economies of scale, but also introduces the risk of sharing a physical server with an arbitrary and potentially malicious VM. Past works have demonstrated how to place a VM alongside a target victim (co-location) in early-generation clouds and how to extract secret information via side- channels. Although there have been numerous works on side-channel attacks, there have been no studies on placement vulnerabilities in public clouds since the adoption of stronger isolation technologies such as Virtual Private Clouds (VPCs). We investigate this problem of placement vulnerabilities and quantitatively evaluate three popular public clouds for their susceptibility to co-location attacks. We find that adoption of new technologies (e.g., VPC) makes many prior attacks, such as cloud cartography, ineffective. We find new ways to reliably test for co-location across Amazon EC2, Google GCE, and Microsoft Azure. We also found ways to detect co-location with victim web servers in a multi-tiered cloud application located behind a load balancer. We use our new co-residence tests and multiple customer accounts to launch VM instances under different strategies that seek to maximize the likelihood of co-residency. We find that it is much easier (10x higher success rate) and cheaper (up to $114 less) to achieve co-location in these three clouds when compared to a secure reference placement policy.

연구 동기 및 목표

• VPC와 같은 강력한 격리 기술이 도입된 후에도 현대의 공용 클라우드에서 공유 위치 공격을 가능하게 하는 배치 취약성이 여전히 존재하는지 조사하는 것.
• 기존의 공유 위치 감지 기법이 현재의 클라우드 환경에서 얼마나 효과적인지 평가하고, 새로운 신뢰할 수 있는 감지 기법을 개발하는 것.
• 주요 공용 클라우드 제공업체 전반에서 공유 위치 성공률를 극대화하고 비용을 최소화하는 데에 효과적인 새로운 VM 배치 전략을 식별하고 정량화하는 것.
• 특히 로드 밸런서와 PaaS 계층이 존재하는 다중 테넌시 클라우드 환경에서 공유 위치 공격의 가능성과 경제적 비용을 평가하는 것.

제안 방법

• 공격자가 피해자의 VM을 제어하지 못하거나 로드 밸런서 뒤에 있을 경우에도 작동하는, 공개 인터페이스를 통해 작동하는 새로운 공유 위치 감지 기법을 개발하였다.
• 아마존 EC2, 구글 GCE, 마이크로소프트 아크라이드에서 여러 고객 계정을 활용해 광범위한 실험을 수행하였으며, 각 클라우드 제공업체에 대해 최소 190회의 실행을 수행하였다.
• 공유 위치 확률을 극대화하기 위해 다양한 VM 실행 전략을 설계하고 평가하였으며, 보안 기준 배치 정책과의 성공률 및 비용을 비교하였다.
• 시간 기반 사이드 채널 방법을 활용해 공유 물리 호스트를 감지하였으며, 현대의 클라우드 네트워킹 및 가상화 스택에 적응시켰다.
• 직접적인 내부 네트워크 토폴로지 접근 없이도 네트워크 왕복 시간 측정 및 호스트 수준의 간섭 패턴을 공유 위치의 지표로 사용하였다.
• 다양한 인스턴스 유형, 지역, 클라우드 제공업체 설정에서의 감지 신뢰도를 평가하여 일반화 가능성 확보를 위해 노력하였다.

실험 결과

연구 질문

• RQ1 공격자가 피해자의 VM이 로드 밸런서 뒤에 있을 경우에도, 공개 인터페이스만을 사용하여 현대의 공용 클라우드에서 공유 위치를 효과적으로 감지할 수 있는가?
• RQ2 VPC와 향상된 격리 기술이 도입된 현대의 클라우드 환경에서, 기존의 공유 위치 달성 전략은 여전히 효과적인가?
• RQ3 아마존 EC2, 구글 GCE, 마이크로소프트 아크라이드에 새로운 배치 취약성이 존재하여, 공격자가 보안 정책보다 더 효율적으로 공유 위치를 달성할 수 있는가?
• RQ4 오늘날의 공용 클라우드에서 특정 확률의 공유 위치를 달성하기 위해 악성 사용자가 지불해야 할 금전적 비용과 시간적 비용은 얼마인가?

주요 결과

• 공유 위치 감지 기법은 클라우드 지도 기반 기법의 폐기 이후에도 시간 기반 사이드 채널 기법을 통해 현대의 공용 클라우드에서 여전히 가능하다.
• 모든 세 클라우드 제공업체에서 최적화된 실행 전략을 사용할 경우, 보안 기준 정책 대비 공유 위치 공격의 성공률이 10배 높아진다.
• 신규 전략을 사용할 경우 보안 기준 정책 대비 공유 위치 달성 비용이 최대 114달러 저렴하여 공격자에게 상당한 경제적 유인을 제공한다.
• 새로운 감지 기법은 피해자의 VM이 로드 밸런서 뒤에 있을 경우에도 공개 인터페이스를 통해 네트워크 성능 패턴을 분석하여 공유 위치를 성공적으로 식별한다.
• VPC와 같은 아키텍처적 개선에도 불구하고, 공유 하드웨어에서의 성능 격리 취약성은 신뢰할 수 있는 공유 위치 감지가 가능하게 하여 여전히 지속적인 배치 취약성을 드러낸다.
• 대규모 데이터 센터가 존재하더라도 공유 위치의 확률은 예상보다 크게 높아져, 다중 테넌시의 보안 가정이 훼손됨을 확인하였다.