Bulut sunucusunu yöneten saldırganlar, AMD’nin SEV-SNP korumasına sahip sanal makinelerinden gizli bilgileri çekebilen iki yeni saldırı tekniğiyle gündemde. Araştırmacılar, Mior ve Skyfall adını taşıyan bu yöntemlerin, konuk VM üzerinde çalışan yazılımı okumanın ötesine geçip bazı durumlarda belleğe müdahale edebildiğini belirtti.
Mior belleği değiştiriyor, imzalı raporu da taklit edebiliyor
İki tekniğin de çalışması için saldırganın sunucunun hypervisor katmanı üzerinde kontrol sahibi olması gerekiyor. Mior için buna ek olarak sunucunun BIOS’una da erişim gerekiyor. Bu teknik, bir sanal makinenin belleğini değiştirebiliyor ve VM’nin hangi yazılımı çalıştırdığını doğrulayan imzalı raporu sahte şekilde üretebiliyor.
Skyfall ise aynı güven zincirini farklı bir noktadan zorluyor. Her iki yaklaşım da AMD SEV-SNP ile korunan VM’lerin gizliliğini hedef alıyor; SEV-SNP, sanal makine belleğini host tarafındaki müdahalelere karşı korumayı amaçlayan donanım destekli bir teknoloji olarak öne çıkıyor. Ancak araştırmacıların anlattığı modele göre, ana makine üzerindeki ayrıcalık yeterince yükseltilirse bu koruma katmanı da atlatılabiliyor.
Teknik notlar, Mior’un yalnızca veriye erişmekle kalmayıp güvenilirlik mekanizmasını da bozabildiğini gösteriyor. İmzalı rapor, normalde buluttaki bir VM’nin gerçekten beklenen yazılımı çalıştırdığını kanıtlamak için kullanılıyor. Mior bu raporu taklit edebildiğinde, dışarıdan bakıldığında sağlıklı görünen bir sanal ortamın içine müdahale edilmiş olabiliyor.
İki saldırı da doğrudan son kullanıcıya dönük bir zararlı yazılım kampanyası değil. Buna karşın, bulut barındırma ortamlarında hypervisor ve BIOS seviyesindeki yetkilerin ne kadar kritik olduğunu bir kez daha ortaya koyuyor. Araştırmacılar, bulut sağlayıcısının içinde ya da ona yakın konumda çalışan saldırganların, korumalı sanal makinelerdeki sırları almak için bu yolu kullanabileceğini aktardı.