Antoine Benkemoun

24 Juin, 2010

La sécurité de la virtualisation : suite et fin

Posté par Antoine dans la catégorie Blog|Libre|Sécurité|Virtualisation

Cet article complète le précédent sur le sujet de la sécurité de la virtualisation en abordant l’aspect réseau de stockage et essaye de présenter les risques réels de sécurité des plateformes de virtualisation. Il s’agira également du dernier billet sur ce sujet bien que je compte revenir sur ce sujet par la suite.

La sécurisation du stockage

La virtualisation n’ajoute pas de risque particulier à partir du moment où l’on suppose que l’attaquant dispose d’un accès physique aux données. Ce type d’exploit est donc uniquement inhérent au stockage sur disque.

Les réseaux de stockage en Fibrechannel n’ajoutent également pas de risque particulier. Seul les hyperviseurs ont accès aux supports de stockage distribués par le réseau de stockage. De plus, il est possible de gérer finement les accès aux différents supports de disque par les biais des techniques de « zoning ». Le zoning est une technique équivalente aux « Private VLAN » de Cisco dans le cas des réseaux Ethernet.

Contrairement à ce qui a été présenté Samedi dernier, la connexion des équipements Fibrechannel au réseau Ethernet n’ouvre pas de faille supplémentaire. Il n’est pas possible d’utiliser cette interface pour accéder aux données transitant sur le réseau de stockage. L’interface Ethernet permet uniquement d’accéder aux informations de configuration du commutateur.

Supposons qu’il soit possible d’accéder aux données transitant sur le réseau Fibrechannel par le biais de cette interface Ethernet. Toute tentative de spoofing d’adresse MAC serait parfaitement inutile car les réseaux Fibrechannel n’utilisent pas d’adresses MAC mais des WWN qui n’ont rien à voir. Les protocoles de communication sont différents et ne sont pas compatibles.

Cette problématique est cependant intéressante dans le cas des réseaux iSCSI qui n’ont même pas été mentionnés. Il n’est absolument pas souhaitable que les LAN iSCSI soient routables vers d’autres réseaux. Il est même recommandé d’avoir des équipements uniquement dédiés aux fonctionnalités iSCSI dans la mesure du possible.

Récapitulons…

Les potentielles interfaces d’attaque vers les hyperviseurs sont très peu nombreuses. Dans le cas de la virtualisation totale et de la virtualisation matérielle assistée, ces interfaces sont même inexistantes. Dans le cas des interfaces de paravirtualisation, leur utilisation est standardisée par le biais d’API mais la découverte de failles reste envisageable bien qu’aucune n’ait été trouvée à ce jour.

Les mécanismes de DoS sont régulés voire supprimés par les mécanismes classiques d’ordonnancement présents dans toutes les solutions de virtualisation.

Quels sont les risques ?

Les risques réels de sécurité inhérents aux plateformes de virtualisation se situent, d’une part, au niveau des interface de gestion. Les interfaces de gestion ne sont pas propres à la virtualisation mais leur utilisation dans ce cas particulier est généralisé.

L’accès aux interfaces de gestion doivent être sécurisés par les mécanismes réseau traditionnels ainsi que par le biais de méthodes d’authentification. Dans le cas d’une compromission de ces interfaces, les données et l’accès aux machines virtuelles reste indemne. Les interfaces ne disposent généralement pas d’accès particulier aux données, elles disposent uniquement d’une vue globale permettant la configuration des supports de stockage. En ce qui concerne l’accès aux VM, il reste protégé par les protections classiques telles que le couple login et mot de passe. Le passage dans des modes plus privilégiés attireraient inévitablement l’attention car cela nécessiterait des redémarrages non planifiés.

Conclusion

Traditionnellement, on considère qu’une technologie est sécurisée jusqu’à preuve du contraire. Il n’est pas utile de céder au sensationnalisme en décriant des potentielles failles qui n’ont pas été découvertes et qui n’ont jamais été exploitées (dans le cas de Xen).

Si nous suivons cette supposition traditionnelle, nous pouvons affirmer que la virtualisation est une technologie sécurisée. Comme toute technologie informatique, il est nécessaire d’être vigilant lors de son implémentation en suivant quelques règles de bon sens.

Pour revenir au sujet de la présentation effectué lors de la nuit du hack, j’ai été largement déçu par cette présentation aux conclusions au mieux hâtives et des nombreuses autres imprécisions que je n’ai pas évoqué ici.

5 Commentaires to "La sécurité de la virtualisation : suite et fin"

1 | Les tweets qui mentionnent Antoine Benkemoun » La sécurité de la virtualisation : suite et fin - Sécurité informatique, Virtualisation, Administration système et Réseaux -- Topsy.com

juin 25th, 2010 at 14 h 49 min

Avatar

[…] Ce billet était mentionné sur Twitter par Hobbestigrou, Vincent Oostenbroek. Vincent Oostenbroek a dit: Antoine Benkemoun " La sécurité de la virtualisation : suite et fin – Sécurité informatique http://minu.me/2kzl […]

2 | Istace Emmanuel

juin 27th, 2010 at 5 h 35 min

Avatar

Je vais me repeter, mais relisez mes slides… Vous verz que j’arrive aux même conclusion que vous. Je rappel que je faisais un état des lieux dans les entreprises !!! Si on prend uniquement les best practice, évidement que la virtualisation est genial, mais en entreprise les BP sont rarement appliquées correctement. On ne parle pas de « cas d’école » ou tout est bien propre, on parle de société « avare » la plupart du temps pour lesquel moin ça coute mieux c’est, et la sécurité est juste un superflue pour elle.
D’un autre coté, les 30minutes dispos pour un sujet si large ne me permettait, et ça a été précisé au début, de ne faire que du résumé et de la vue d’ensemble.

3 | Antoine

juin 27th, 2010 at 8 h 37 min

Avatar

Bonjour,
Nous arrivons aux mêmes conclusions certes mais nous ne disons clairement pas la même chose pour y arriver… Là est la différence qui me parait fondamental. Je ne reviendrai pas sur ce que j’ai dit dans mon billet, vous l’avez probablement déjà lu.
Je suis tout à fait d’accord avec vous sur le fait qu’il existe des Best Pratices qui ne sont pas utilisées pour des raisons vaguement économiques. Cependant certaines choses que vous avez dites ne sont pas justes. De plus, le ton de votre présentation montrait les failles comme existantes, simples et exploitables or elles n’existent même pas sur les produits actuels (Xen du moins).
Je pense que ce type de présentation nécessite un tact particulier afin d’éviter que les gens ne croient que les solutions de virtualisation sont des passoires ce qui n’est pas le cas.
Je reste disponible par email (via le formulaire de contact) pour en discuter avec vous si vous le souhaitez.

4 | Istace Emmanuel

juin 29th, 2010 at 18 h 12 min

Avatar

Bien sur, mais tout ce que j’ai dit s’est déjà avéré au moins un fois sur les produits du marché en regroupant VmWare, Citrix, Microsoft, Parrallels, etc, etc,..
Je serais heureux en effet que l’on débâte de cela par email, nous avons apparemment deux expériences différentes en matière de virtualisation cela pourrait s’avérer enrichissant.

5 | elgato

juillet 2nd, 2010 at 16 h 18 min

Avatar

sert à riennnnnnnnn

Ajoutez votre commentaire

A propos de ce blog

Ce blog a pour objectif de partager des informations avec tous les internautes. Comme indiqué dans le titre, je traiterais de différrents sujets gravitant autour de la sécurité informatique, de la virtualisation, de la l'administration système et du réseau.