Déni-de-service: Implémentation d'attaques XML-DOS et évaluation des défenses dans l'infonuagique

L'infonuagique est un paradigme informatique dont la popularité et les usages n'ont fait que croître ces dernières années. Il doit son succès à sa grande adaptabilité et capacité de mise à l'échelle, ainsi qu'à sa facilité d'utilisation. Son but est de permettre à l'individu ou à l'entreprise d'utiliser des ressources informatiques qu'il ou elle ne possède pas physiquement, en utilisant des techniques déjà connues et éprouvées comme la virtualisation et les services web. Plusieurs modèles d'infonuagique existent, selon la fonctionnalité recherchée. Par exemple, déposer, partager et accéder depuis n'importe quel terminal un fichier sur Dropbox, et exécuter une application extrêmement gourmande en ressources sur une machine louée le temps de l'exécution sont deux exemples d'utilisation de l'infonuagique. Le modèle d'infonuagique influe sur la portion des ressources gérées par l'utilisateur, en comparaison des ressources gérées par le fournisseur. Dans le cas de Dropbox, l'utilisateur n'a pas besoin de se soucier des ressources allouées à sa requête ni de savoir quel système d'exploitation a servi ou encore comment est gérée la base de données, alors que dans l'autre cas tous ces paramètres rentreront probablement en compte et seront donc à la charge de l'utilisateur. Un réseau d'infonuagique peut tout autant être un réseau public accessible de tous moyennant finances, qu'un réseau privé bâti et utilisé seulement par une entreprise pour ses propres besoins. L'attrait considérable de l'infonuagique, pour les particuliers comme pour les entreprises, augmente par le fait même les risques liés à la sécurité de ces réseaux, ceux-ci devenant une cible de choix pour les attaquants. Ce risque accru allié à la confiance que l'utilisateur doit porter au fournisseur pour gérer et protéger ses données explique que nombreux sont ceux encore réticents à utiliser l'infonuagique, que ce soit pour des questions de confidentialité pour une entreprise ou de vie privée pour un particulier. La diversité des technologies utilisées implique une grande variété d'attaques possibles. Notamment, les réseaux d'infonuagique pâtissent des mêmes vulnérabilités que les réseaux conventionnels, mais également des failles de sécurité liées à l'utilisation de machines virtuelles. Cependant, ces menaces sont dans l'ensemble bien connues et la plupart du temps des mesures sont mises en place pour les contrer. Ce n'est pas le cas des vulnérabilités liées à l'utilisation des services web, utilisés abondamment dans le cas de l'infonuagique. Les réseaux d'infonuagique se donnent pour but d'être accessibles depuis n'importe où et n'importe quel appareil, ce qui passe nécessairement par l'utilisation de services web. Or les serveurs web sont extrêmement vulnérables aux attaques de type XML-DoS, mettant à profit des requêtes SOAP (Simple Object Access Protocol) utilisant un message XML malveillant. Ces attaques ont pour but d'utiliser une très grande partie si ce n'est pas toutes les ressources CPU et mémoire de la machine hébergeant le serveur web victime, la rendant indisponible pour des utilisateurs légitimes, ce qui est le but recherché lors d'une attaque de déni de service. Ces attaques sont extrêmement intéressantes d'un double point de vue. Elles sont tout d'abord très difficiles à détecter, car l'utilisateur qui en est à l'origine est perçu comme un utilisateur légitime (attaque au niveau de la couche application, donc impossible de la détecter au niveau de la couche TCP/IP). De plus, elles présentent une dissymétrie importante entre les ressources dont l'attaquant a besoin pour monter l'attaque, et les ressources nécessaires pour traiter la requête. En effet, une requête SOAP mal formée bien que très basique peut déjà demander des ressources considérables au serveur web victime. Ce type d'attaques ayant été assez peu étudié, malgré son efficacité et l'omniprésence des services web dans l'infonuagique, nous nous sommes proposé de démontrer et de quantifier l'impact que peuvent avoir ces attaques dans le cadre de l'infonuagique, pour ensuite proposer des solutions possibles pour s'en défendre. Nous avons jugé qu'il était plus approprié de recourir à des outils de simulation pour mener nos travaux, pour plusieurs raisons comme notamment la possibilité de suivre de façon précise l'évolution des ressources des différents serveurs du réseau, et la plus grande liberté qui nous était laissée de construire notre propre topologie. Notre première contribution est de mettre en avant les équipements vulnérables dans un réseau d'infonuagique, et les différentes façons de les attaquer, ainsi que les différents types d'attaques XML-DoS. Cette analyse nous a permis d'apporter notre deuxième contribution, qui consiste à utiliser et à modifier en profondeur un simulateur d'infonuagique (le simulateur GreenCloud, basé sur le simulateur NS2) afin de le rendre apte à l'étude des attaques XML-DoS et plus réaliste. Une fois ces changements effectués, nous montrons l'efficacité des attaques XML-DoS et les répercussions sur les usagers légitimes. Par ailleurs, nous réalisons une comparaison critique des principales défenses contre les attaques XML-DoS et contre les services web en général, et sélectionnons celle qui nous semble la plus pertinente, afin de la mettre à l'épreuve de la simulation et de mesurer son efficacité. Cette efficacité doit être démontrée aussi bien en terme de capacité à déjouer l'attaque menée à l'étape précédente, que de précision en terme de "false positives" et "false negatives". Un des défis majeurs consiste en effet à concilier une défense qui se veut universelle pour toutes les machines du réseau, tout en étant capable de s'adapter à la grande hétérogénéité des services web qui cohabitent au sein d'un réseau d'infonuagique. Ces expérimentations sont alors l'objet de discussions et de conclusions sur la position à adopter quant aux attaques XML-DoS dans les réseaux d'infonuagique, notamment les défenses à adopter et les pratiques à observer, la défense choisie à l'étape précédente ayant montré quelques limitations. Nous sommes partis de l'hypothèse que chacun des modèles d'infonuagique pouvait être touché par ce type d'attaques, bien que de façons différentes. Quel que soit le modèle d'infonuagique, il peut en effet avoir recours à des services web et se retrouve donc vulnérable d'une façon ou d'une autre, qu'il s'agisse d'un serveur web gérant toutes les requêtes entrantes des utilisateurs, ou un serveur web qu'un utilisateur a lui-même installé sur une machine virtuelle qu'il loue au fournisseur. Nous avons aussi jugé essentiel d'introduire les spécificités liées à l'utilisation de machines virtuelles, comme la compétition pour les ressources entre machines virtuelles situées sur une même machine physique.