Appuyez sur la touche ECHAP pour entrer dans le système hôte :-p
Par Cédric PERNET, mardi 17 juillet 2007 à 15:24 :: General :: #162 :: rss
La virtualisation de serveurs informatiques est assurément une notion clef depuis quelques années, pour de nombreuses entreprises.
De plus en plus de malware, quand ils se retrouvent dans ce type de système d'exploitation virtuel, altèrent leur comportement afin de compliquer la tâche des personnes qui souhaitent étudier leur comportement.
En poussant la réflexion plus loin, on peut se demander si en plus de détecter leur environnement virtuel et de se comporter différemment, ils ne seraient pas capables...d'en sortir, et de contaminer le système "hôte".
Prenons par exemple VMWare.
Ce produit propriétaire dispose d'un canal de communication entre le système "hôte" et le système "guest", qui permet d'obtenir quelques informations sur l'hôte à partir du système virtuel.
(Ken Kato nous en fournit ici les détails en anglais dans un très bon document)
Un attaquant pourrait ainsi obtenir des renseignements sur le système hôte, et même récupérer le contenu textuel de son presse-papier par exemple.
D'autres vulnérabilités permettraient d'exécuter du code arbitraire au redémarrage d'un système d'exploitation sous VMWare...
Les autres logiciels de virtualisation ne sont pas exempts de reproches. La plupart contiennent des vulnérabilités, et le fait qu'ils soient généralement opensource augmente les risques de découverte de failles.
Il semble donc qu'il soit à l'heure actuelle possible de faire planter n'importe quel système virtuel.
Mais faire crasher un système est une chose relativement aisée.
Selon les bruits actuels dans la communauté de la sécurité informatique, il serait envisageable d'exploiter certaines vulnérabilités afin de prendre le contrôle du processus du système hôte, et donc éventuellement de contaminer ce système avec du code non sollicité/malveillant. Personne n'en a toutefois apporté la démonstration au moment de la rédaction de ces lignes.
On imagine aisément les implications de tout un réseau de serveurs virtuels qui serait victime d'une attaque capable de "sortir" de cet ensemble virtuel... Compromission totale de tout un parc informatique, espionnage industriel, injection de malware, etc...
Tout ceci est au stade expérimental pour le moment, mais laisse augurer de grands remoux dans le milieu de la sécurité virtuelle les prochains mois.
Le meilleur moyen de se protéger est de considérer que le système virtuel pourrait être contourné.
Ainsi, il convient de ne jamais lancer de système virtuel avec les droits d'administrateur (ou tout utilisateur disposant de droits particuliers).
Il est également souhaitable de "chrooter" le serveur virtuel (c'est à dire le contenir dans un répertoire particulier du système hôte dont il ne sera pas possible de sortir).
Il est aussi conseillé de réduire les risques de vulnérabilité en déconnectant tout périphérique virtuel non nécessaire. (avez-vous vraiment besoin de son sous votre environnement virtuel?)
Enfin, conserver ses systèmes (hôte et guest) à jour est une pratique nécessaire.
Pour finir, voici l'excellent papier de Tavis Ormandy (Google), qui a effectué énormément de recherches sur le sujet, et qui vous expliquera beaucoup plus en détail les tests qu'il a effectué lui-même sur plusieurs environnements virtuels.
De plus en plus de malware, quand ils se retrouvent dans ce type de système d'exploitation virtuel, altèrent leur comportement afin de compliquer la tâche des personnes qui souhaitent étudier leur comportement.
En poussant la réflexion plus loin, on peut se demander si en plus de détecter leur environnement virtuel et de se comporter différemment, ils ne seraient pas capables...d'en sortir, et de contaminer le système "hôte".
Prenons par exemple VMWare.
Ce produit propriétaire dispose d'un canal de communication entre le système "hôte" et le système "guest", qui permet d'obtenir quelques informations sur l'hôte à partir du système virtuel.
(Ken Kato nous en fournit ici les détails en anglais dans un très bon document)
Un attaquant pourrait ainsi obtenir des renseignements sur le système hôte, et même récupérer le contenu textuel de son presse-papier par exemple.
D'autres vulnérabilités permettraient d'exécuter du code arbitraire au redémarrage d'un système d'exploitation sous VMWare...
Les autres logiciels de virtualisation ne sont pas exempts de reproches. La plupart contiennent des vulnérabilités, et le fait qu'ils soient généralement opensource augmente les risques de découverte de failles.
Il semble donc qu'il soit à l'heure actuelle possible de faire planter n'importe quel système virtuel.
Mais faire crasher un système est une chose relativement aisée.
Selon les bruits actuels dans la communauté de la sécurité informatique, il serait envisageable d'exploiter certaines vulnérabilités afin de prendre le contrôle du processus du système hôte, et donc éventuellement de contaminer ce système avec du code non sollicité/malveillant. Personne n'en a toutefois apporté la démonstration au moment de la rédaction de ces lignes.
On imagine aisément les implications de tout un réseau de serveurs virtuels qui serait victime d'une attaque capable de "sortir" de cet ensemble virtuel... Compromission totale de tout un parc informatique, espionnage industriel, injection de malware, etc...
Tout ceci est au stade expérimental pour le moment, mais laisse augurer de grands remoux dans le milieu de la sécurité virtuelle les prochains mois.
Le meilleur moyen de se protéger est de considérer que le système virtuel pourrait être contourné.
Ainsi, il convient de ne jamais lancer de système virtuel avec les droits d'administrateur (ou tout utilisateur disposant de droits particuliers).
Il est également souhaitable de "chrooter" le serveur virtuel (c'est à dire le contenir dans un répertoire particulier du système hôte dont il ne sera pas possible de sortir).
Il est aussi conseillé de réduire les risques de vulnérabilité en déconnectant tout périphérique virtuel non nécessaire. (avez-vous vraiment besoin de son sous votre environnement virtuel?)
Enfin, conserver ses systèmes (hôte et guest) à jour est une pratique nécessaire.
Pour finir, voici l'excellent papier de Tavis Ormandy (Google), qui a effectué énormément de recherches sur le sujet, et qui vous expliquera beaucoup plus en détail les tests qu'il a effectué lui-même sur plusieurs environnements virtuels.