სიახლეები
ბოლო წლებში კომპიუტერული ტექნიკის მწარმოებლებმა შეიმუშავეს ტექნოლოგიები, რომლებიც საშუალებას აძლევს კომპანიებს და ორგანიზაციებს უსაფრთხოდ აწარმოონ ე. წ. ღრუბლოვანი გამოთვლები (cloud computing), როცა მომხმარებელს კომპიუტერულ რესურსებზე წვდომა ინტერნეტის საშუალებით ეძლევათ. დღეისთვის არსებული დიდი ღრუბლების უმრავლესობას ფუნქციები განაწილებული აქვს ცენტრალური სერვერებიდან მრავალ გეოგრაფიულ მდებარეობაზე.
კონფიდენციალური გამოთვლების სახელით ცნობილი ეს მიდგომა იცავს მონაცემებს სხვა მომხმარებლებისა და ღრუბლის სერვისის მომწოდებლებისაგან. თუმცა, 2024 წლის 4 აპრილს, ციურიხის ფედერალური ტექნოლოგიების ინსტიტუტის (ETH Zurich) ვებ-გვერდზე გამოქვეყნდა ინსტიტუტის მკვლევართა ჯგუფის სტატია ელექტრო და ელექტრონიკის ინჟინრების ინსტიტუტის მიერ მაისში ჩასატარებელ 45-ე სიმპოზიუმის მასალებისთვის უსაფრთხოება და კონფიდენციალურობის თემებზე (IEEE S&P), სადაც ისინი ამტკიცებენ, რომ ჰაკერებს მაინც შეუძლიათ მიიღონ წვდომა ღრუბლოვან სისტემებზე და მათში შენახულ მონაცემებზე.
ETH-ს მკვლევარებმა განიხილეს ჰაკერული თავდასხმის ორი სცენარი, ორივე იყენებდა შეფერხების მექანიზმს, რომელიც დროებით არღვევს მონაცემების რეგულარული დამუშავებას, მაგალითად, სხვა ამოცანისთვის პროიორიტეტის მინიჭევით. სულ არსებობს 256 სხვადასხვა შეფერხება და თითოეული ახორციელებს პროგრამული ბრძანებების კონკრეტულ თანმიმდევრობას. მეცნიერებმა უსაფრთხოების ხარვეზები აღმოაჩინე კონფიდენციალური გამოთვლებისას AMD და Intel პროცესორებისთვის, რომლებიც სმარტფონებში გამოიყენება.
კონფიდენციალური გამოთვლები დაფუძნებულია ე. წ. სანდო შესრულების გარემოს (TEE) გამოყენებაზე, რომელიც უზრუნველყოფს აპლიკაციის იზოლირებას და მასზე წვდომას მხოლოდ ავტორიზებული კოდით. საჯარო ღრუბელში აპლიკაციები სწორედ TEE-ს ერთ-ერთი კომპონენტის, ჰიპერვიზორის გამოყენებით არის დაცული, რომელიც ღრუბლოვანი სერვისების მნიშვნელოვანი ნაწილია.
აღმოჩნდა, რომ ჰიპერვიზორები ცუდად არიან დაცული გარე შეტევებისგან, რომლებმაც შეიძლება შესაძლებელი გახადოს იმავე აპარატურასთან მომუშავე სხვა აქტიური ღრუბლოვანი მომხმარებლების მეხსიერებაში შენახულ მონაცემებზე წვდომა. გარდა ამისა, ჰიპერვიზორები შეიძლება გამოიყენონ ღრუბელ პროვაიდერებმა, რათა თავად გადახედონ თავიანთი მომხმარებლების მონაცემებს.
ორივე ეს რისკი მიუღებელია კომპანიებისა და სამთავრობო ორგანიზაციებისთვის, რომლებიც ამუშავებენ სენსიტიურ მონაცემებს. შვეიცარიის ფედერალური საბჭოს მიერ შედგენილ საექსპერტო ანგარიშში, რომელმაც შეისწავლა შვეიცარიის ღრუბლოვანი სტრატეგიის განხორციელების საკანონმდებლო ბაზა, უნებართვო წვდომა მოხსენიებულ როგორც სავარაუდო რისკი, რომელიც დაკავშირებულია საჯარო ღრუბლის გამოყენებასთან.
ერთ-ერთი ინტერფეისი ჰიპერვიზორსა და TEE-ს შორის ეხება შეფერხებების მართვას. ETH-ს მეცნიერებმა განახორციელეს ჰაკერული ტესტ-შეტევები, რათა გამოიყენებინათ ჰიპერვიზორი, როგორც კოორდინირებული შეფერხებების გაგზავნის საშუალება დაცულ სისტემაში. ამ დროს გამოვლინდა უსაფრთხოების ხარვეზი: არასანდო ჰიპერვიზორის მოთხოვნის დაბლოკვის ნაცვლად, TEE ატარებდა გარკვეულ გარედან გამოწვეულ შეფერხებებს და სისტემა აგრძელებდა გამოთვლებს. კოორდინირებული შეფერხებების გაგზავნით, მეცნიერებმა მოახერხეს TEE ისე ეფექტურად აერიათ, რომ მათ შეძლეს სრული კონტროლი მოეპოვებინათ სისტემაზე. ეს პრობლემა განსაკუთრებით გამოვლინდა AMD-ს შემთხვევაში, ხოლო Intel-ის პროცესორი მხოლოდ ერთ შეფერხებას ვერ გაუმკლავდა.
საჯარო ღრუბელში შენახული მონაცემების უსაფრთხოებაში ხარვეზების პოვნა ETH-ს კვლევითი ჯგუფისთვის მხოლოდ პირველი ნაბიჯია iPhone-ისა და Android-ის სმარტფონების მომხმარებლების მონაცემების და აპლიკაციების სრული დაცულობის უზრუნველყოფის გზაზე.
წყარო:
