L'une des principales menaces pour la virtualisation et le cloud computing réside dans les programmes malveillants permettant à des virus informatiques ou à d'autres programmes malveillants infiltrés sur le système d'un client de se propager à l'hyperviseur sous-jacent et, à terme, au système d'autres clients. Pour résumer, l'une des principales préoccupations concerne le risque qu'un client du service externalisé télécharge un virus, qui dérobe ses données, par exemple, puis le propage aux systèmes de tous les autres clients.

« Si ce type d'attaque est possible, elle sape la confiance dans les services externalisés. En effet, les consommateurs craindront pour la confidentialité de leurs données personnelles », explique Xuxian Jiang, professeur assistant en informatique à l'université d'Etat de Caroline du Nord. Par exemple, la spécialiste polonaise de la sécurité Joanna Rutkowska a démontré que, dans les attaques Blue Pill, un rootkit contourne la protection par signature numérique des pilotes du mode noyau et intercepte les appels du système d'exploitation.

Cependant, Jiang et son élève titulaire d'un doctorat Zhi Wang ont développé un module logiciel appelé HyperSafe, qui exploite les caractéristiques du matériel existant pour protéger les hyperviseurs contre de telles attaques.

« Nous sommes en mesure de garantir l'intégrité de l'hyperviseur sous-jacent en le protégeant contre les programmes malveillants téléchargés par un utilisateur donné », explique Jiang. « Ce procédé nous permet d'isoler l'hyperviseur. »

Pour qu'un programme malveillant s'attaque à un hyperviseur, il doit généralement exécuter ses propres instructions dans celui-ci. HyperSafe fait appel à deux composants pour empêcher cela. D'abord, le programme HyperSafe « applique une technique appelée ??verrouillage de mémoire non contournable?, qui interdit explicitement et en toute fiabilité l'introduction de nouvelles instructions par quiconque n'est pas l'administrateur de l'hyperviseur » poursuit Jiang.

« Cela empêche également des utilisateurs extérieurs de modifier le code existant de l'hyperviseur. »

Ensuite, HyperSafe applique une technique appelée « indexation par pointeur restreint ». Cette technique « commence par caractériser le comportement normal de l'hyperviseur puis interdit tout écart par rapport à ce profil », poursuit Jiang. « Seuls les administrateurs de l'hyperviseur peuvent introduire des modifications dans le code de l'hyperviseur. »

Source :