Wetenschappers van het Darmstadt Research Center for Advanced Security (CASED) hebben grote zwakten ontdekt in de beveiliging van talloze virtuele machines die klanten van de wolk van Amazon hebben gepubliceerd. Van de 1100 openbare Amazon Machine Images (AMI’s), die worden gebruikt om diensten in de wolk te verlenen, is ongeveer 30 procent kwetsbaar, waardoor aanvallers webservices of virtuele infrastructuren kunnen manipuleren of in gevaar brengen. De belangrijkste reden is de onvoorzichtige en foutgevoelige manier waarop de klanten van Amazon AMI’s behandelen en gebruiken. Wetenschappers van CASED hebben een kwetsbaarheidsscanner ontwikkeld voor virtuele machines die klanten aanmaken om te draaien op de infrastructuur van Amazon. Hij kan gratis worden gedownload op http://trust.cased.de/AMID.

Computeren in de wolk („cloud computing”) wordt alsmaar populairder. Steeds meer bedrijven en privégebruikers bieden diensten in de wolk aan. Terwijl beveiligingsdeskundigen zich hoofdzakelijk hebben toegespitst op beveiligingsaspecten van de onderliggende wolkinfrastructuur en de provider, lijkt het erop dat in de praktijk de bedreigingen die worden veroorzaakt door de klanten van de wolk tijdens het opzetten van diensten nog steeds onderschat of genegeerd worden. Hoe ernstig de gevolgen kunnen zijn die voortvloeien uit verkeerd gedrag van de gebruiker, werd nu aangetoond door een recente analyse die werd uitgevoerd door de onderzoeksgroep onder leiding van Prof. Ahmad-Reza Sadeghi bij CASED.

De wetenschappers van Fraunhofer SIT in Darmstadt en het System Security Lab van de Technische Universität Darmstadt onderzochten diensten die waren gepubliceerd door klanten van Amazon Web Services (AWS). Hoewel AWS zijn klanten zeer gedetailleerde beveiligingsaanbevelingen geeft op de website, ontdekten de wetenschappers dat minstens een derde van de machines die werden onderzocht gebrekkig geconfigureerd zijn. Het onderzoeksteam kon van de geanalyseerde virtuele machines gegevens halen die van groot belang zijn voor de veiligheid, zoals wachtwoorden, coderingssleutels en certificaten. Aanvallers kunnen dergelijke informatie gebruiken om criminele virtuele infrastructuren op te zetten, webdiensten te manipuleren of veiligheidsmechanismen zoals Secure Shell (SSH) te omzeilen.

"Het probleem ligt duidelijk bij de onachtzaamheid van de gebruikers en niet bij Amazon Web Services. We zijn ervan overtuigd dat klanten van andere wolkproviders zichzelf en ook andere wolkgebruikers in gevaar brengen door de veiligheidsaanbevelingen te negeren of te onderschatten”, benadrukt Prof. Sadeghi. In samenwerking met het beveiligingsteam van Amazon Web Services werden de getroffen klanten op de hoogte gebracht.

Foto’s/Multimediagalerij beschikbaar: http://www.businesswire.com/cgi-bin/mmg.cgi?eid=6766137&lang=nl

Deze bekendmaking is officieel geldend in de originele brontaal. Vertalingen zijn slechts als leeshulp bedoeld en moeten worden vergeleken met de tekst in de brontaal welke als enige juridische geldigheid beoogt.