Cloud brengt nieuwe beveiligingsproblemen

Cloud computing levert nieuwe beveiligingsproblemen op. Dat zegt Dan Kaminsky, de beveiligingsonderzoeker die vorig jaar een gevaarlijk DNS-lek ontdekte. Bedrijven doen er voorlopig verstandig aan uit te wijken naar een ‘privé-cloud’.

De cloud levert grote beveiligingsproblemen op, zegt Dan Kaminsky. De baas van de hackafdeling van computerbeveilingsbedrijf IOActive, die vorig jaar een gevaarlijk DNS-lek ontdekte, sprak zaterdag 28 februari 2009 tijdens ‘Cloudcamp' in Seattle, een conferentie over cloud computing-technologie.

Kenmerkend aan clouds is volgens Kaminsky dat bedrijven hun gegevensbeheer overlaten aan anderen. Het grootste beveiligingsprobleem ligt daarbij volgens Kaminsky juist binnen de beheerlaag. Kwaadwillenden kunnen die ontduiken of, nog erger, overnemen.

Bedrijven weten meestal niet op welke locatie hun gegevens zich exact bevinden, omdat clouds krimpen en uitdijen naar gelang de behoefte aan hardware. Diezelfde eigenschap biedt mogelijkheden voor aanvallers. Wanneer zij zich als klant aanmelden, kunnen ze proberen malware achter te laten op de cloudhardware, bedrijfsapplicaties realtime aanvallen, of achteraf proberen sporen te vinden van bedrijfsgegevens.

Hardware voor ‘multitenacy’

Volgens Kaminsky betekent dat alles niet dat bedrijven cloud computing moeten mijden. Kaminsky vindt clouds een aantrekkelijke mogelijkheid om pieken in het gebruik van software niet te laten beperken door een tekort aan hardware.

De beveiligingsonderzoeker denkt dat de oplossing ligt in het ontwerpen van hardware voor ‘multitenacy'. Die zou fysieke barrières moeten hebben tussen de stukjes hardware die verschillende bedrijven ‘pachten'. Softwarematig is het probleem volgens Kaminsky namelijk moeilijk op te lossen, omdat elke virtualisatielaag zijn eigen zwakke plekken zou hebben.

Privé-cloud

Tot deze hardware voor 'multitenacy' beschikbaar komt doen bedrijven er volgens Kaminsky verstandig aan voorlopig uit te wijken naar een privé-cloud. Dat is een cloud die draait binnen het eigen datacenter, of op eigen servers binnen andermans datacenter. Daarbij beheren bedrijven hun eigen servers met behulp van cloudtechnologie.

Serverversie 9.10 van Ubuntu, die in oktober wordt verwacht, biedt bijvoorbeeld uitgebreide cloud-computing functionaliteit. Bovenop de serverversie ‘Karmic Koala', zoals de nieuwe versie is gedoopt, kunnen bedrijven cloudgebaseerde applicaties bouwen binnen hun eigen datacenter op eigen hardware. Ze kunnen daarbij gebruik maken van application programming interfaces (API) van Amazon's Elastic Compute Cloud (EC2)-platform.