Mior e Skyfall: due attacchi mostrano come un host cloud infedele possa leggere i segreti delle VM protette da AMD SEV-SNP

Chi affitta potenza di calcolo da un fornitore cloud accetta, di solito, un compromesso implicito: i propri dati girano su macchine altrui. Per ridurre questa fiducia nasce il cosiddetto confidential computing, cioè l'idea di proteggere una macchina virtuale (VM, un computer simulato dentro un server fisico) anche da chi amministra quel server. AMD SEV-SNP è la versione di questa idea offerta dai processori AMD: la memoria della VM viene cifrata e isolata, in modo che nemmeno l'operatore dell'host possa sbirciarci.

Due nuovi attacchi, battezzati Mior e Skyfall, mettono in discussione questa promessa. Secondo quanto reso noto questa settimana, un host malevolo che li sfrutti può leggere dati all'interno di VM protette da SEV-SNP. Mior si spinge oltre: può modificare la memoria della VM e persino falsificare il rapporto firmato con cui la macchina dimostra al cliente quale software sta eseguendo. Non si tratta quindi di un semplice problema di riservatezza, ma di un colpo al meccanismo con cui il cliente decide se fidarsi.

Cosa promette SEV-SNP e dove si inceppa

Il modello di minaccia di SEV-SNP è netto: l'host, e in particolare l'hypervisor (il software che crea e coordina le VM sul server), è considerato potenzialmente ostile. La tecnologia usa la cifratura della memoria e controlli sull'integrità per impedire che l'hypervisor legga o riscriva ciò che appartiene alla VM del cliente. È proprio questo il motivo per cui viene scelta da chi tratta dati sensibili su infrastrutture di terzi.

Mior e Skyfall lavorano esattamente su questo scenario, quello in cui l'operatore è il nemico. Entrambi richiedono il controllo dell'hypervisor del server, e Mior richiede in più il controllo del BIOS, il firmware di basso livello che si avvia prima del sistema operativo. Sono dunque attacchi che non può lanciare un utente qualunque: servono privilegi che ha un amministratore dell'host, un fornitore disonesto o un aggressore che abbia già preso il controllo dell'infrastruttura.

Quando l'avversario è l'host stesso, un rapporto di attestazione falsificabile vale quanto una serratura con la chiave lasciata sotto lo zerbino.

Mior: leggere, scrivere e mentire sull'identità del software

Di Mior la fonte sottolinea tre capacità: leggere i dati della VM, modificarne la memoria e falsificare il rapporto di attestazione. L'attestazione è un documento firmato dall'hardware con cui una VM prova al cliente che sta eseguendo un certo software su una piattaforma affidabile. Spesso è la condizione per cui il cliente consegna alla macchina chiavi di cifratura o dati riservati.

Se quel rapporto si può contraffare, il cliente può essere indotto a credere di parlare con una VM integra mentre dietro c'è un ambiente manipolato. Il fatto che Mior richieda anche il controllo del BIOS ne restringe la platea di attaccanti possibili, ma non ne riduce la gravità nello scenario che SEV-SNP vuole coprire, quello di un host che gioca contro il cliente. I dettagli tecnici del metodo non sono riportati qui e non li ricostruiamo.

Skyfall e che cosa devono fare i clienti

Skyfall, in base alle informazioni disponibili, consente anch'esso a un host malevolo di leggere dati dentro le VM protette e richiede il controllo dell'hypervisor, ma non quello del BIOS. Nell'estratto da cui partiamo non emergono ulteriori particolari sul suo funzionamento, né indicazioni su correzioni, aggiornamenti o contromisure rilasciate; chi usa SEV-SNP dovrebbe quindi consultare gli avvisi ufficiali di AMD e del proprio fornitore cloud.

Sul piano pratico, il messaggio per le organizzazioni è di non trattare il confidential computing come una garanzia assoluta. Conviene chiedere al fornitore quali piattaforme e versioni di firmware siano in uso, verificare come vengono valutati i rapporti di attestazione prima di rilasciare segreti a una VM, e mantenere altre difese, come la gestione attenta delle chiavi e la minimizzazione dei dati sensibili, che non dipendano da un solo strato di protezione.

Perché conta. SEV-SNP è pensato per chi non vuole fidarsi dell'operatore del server, e proprio per questo viene scelto per carichi di lavoro sensibili nel cloud. Mior e Skyfall mostrano che, almeno in condizioni di forte controllo dell'host, la barriera può essere aggirata, e nel caso di Mior anche la prova di identità della VM può essere simulata. Per aziende, pubbliche amministrazioni e fornitori cloud significa rivalutare quanta fiducia riporre in una singola tecnologia hardware e seguire con attenzione le indicazioni dei produttori.