搜索

[11081] 2017-03-01_扒一扒这两天有关阿里云经典网络安全性的争论

文档创建者：s7ckTeam
浏览次数：55
最后更新：2025-01-18
2017-03-01_扒一扒这两天有关阿里云经典网络安全性的争论 扒 一 扒 这 两 天 有 关 阿 里 云 经 典 网 络 安 全 性 的 争 论 安 全 深 扒   F r e e B u f   2 0 1 7 - 0 3 - 0 1 这 两 天 阿 里 云 经 典 网 络 安 全 性 的 讨 论 得 到 了 这 两 天 阿 里 云 经 典 网 络 安 全 性 的 讨 论 得 到 了 I T 圈 广 泛 关 注 ， 对 此 事 还 未 或 略 有 耳 闻 的 吃 瓜 群 众 ， 不 妨 随 扒 爷 一 起 全 程 围 观 圈 广 泛 关 注 ， 对 此 事 还 未 或 略 有 耳 闻 的 吃 瓜 群 众 ， 不 妨 随 扒 爷 一 起 全 程 围 观 一 下 吧 。 一 下 吧 。 阿 里 云 不 同 租 户 不 隔 离 ？ 阿 里 云 不 同 租 户 不 隔 离 ？ 2 月 2 4 日 ， 微 博 @ 一 乐 在 微 博 中 提 到 了 阿 里 云 的 安 全 隐 患 ： C l o u d f l a r e 搞 了 个 大 事 ， 这 里 顺 便 也 提 醒 大 家 。 千 万 不 要 单 独 评 估 一 个 安 全 漏 洞 的 危 害 ， 只 要 它 能 干 不 应 该 干 的 事 情 ， 就 要 警 惕 。 我 们 前 几 天 也 上 了 一 课 ， 一 个 比 特 币 挖 矿 程 序 利 用 R e d i s 本 地 提 权 的 漏 洞 ， 把 我 们 一 个 小 集 群 的 缓 存 机 器 都 搞 掉 了 。 虽 然 漏 洞 刚 出 的 时 候 ， 大 家 还 都 在 说 跟 自 己 没 关 系 ， 我 们 的 R e d i s 都 限 制 内 网 访 问 ， 但 是 架 不 住 安 全 组 设 置 错 误 ， 这 些 机 器 暴 露 给 了 其 他 阿 里 云 用 户 ， 也 就 是 说 主 要 某 个 阿 里 云 邻 居 用 户 被 黑 ， 他 都 可 以 通 过 扫 描 进 入 我 们 的 系 统 。 问 题 发 现 的 也 很 奇 葩 ， 这 个 病 毒 程 序 太 霸 道 ， 它 会 直 接 把 受 影 响 的 R e d i s 权 限 改 掉 ， 导 致 前 端 无 法 访 问 ， 这 触 发 了 我 们 的 主 从 自 动 切 换 ， 然 后 被 管 理 员 发 现 了 。 他 要 是 偷 偷 运 行 ， 估 计 还 可 以 潜 伏 好 久 （ 我 可 不 是 给 他 出 主 意 [ 二 哈 ] ） 大 家 要 是 感 兴 趣 ， 这 里 有 个 人 写 过 一 个 类 似 遭 遇   知 名 技 术 博 主 @ 左 耳 朵 耗 子 在 其 微 博 下 进 行 了 简 单 的 回 复 ， 不 晓 引 发 了 热 议 。 直 到 2 月 2 6 日 ， @ 左 耳 朵 耗 子   又 针 对 这 个 话 题 发 表 文 章 《 科 普 一 下 公 有 云 的 网 络 》 质 疑 阿 里 云 的 安 全 策 略 。 文 中 称 ， 阿 里 云 的 内 网 使 用 的 是 经 典 网 络 ， 在 这 种 环 境 下 ， 不 同 的 租 户 是 可 以 互 通 的 ， 这 会 带 来 严 重 的 安 全 隐 患 。 为 了 应 对 这 一 问 题 ， 阿 里 云 采 用 了 安 全 组 。 安 全 组 是 A W S 的 S e c u r i t y   G r o u p 概 念 ， 通 过 制 定 规 则 来 达 到 类 似 防 火 墙 的 效 果 。 但 安 全 组 存 在 诸 多 问 题 ， 这 些 问 题 让 设 置 变 得 异 常 困 难 和 繁 琐 ： 1 .   新 主 机 加 入 或 变 更 后 需 要 频 繁 更 改 设 置 （ 如 I P 地 址 ） 2 .   如 果 将 安 全 组 配 置 到 网 段 上 ， 则 会 涉 及 I P 地 址 段 的 分 配 管 理 3 .   在 公 有 云 上 不 可 能 分 配 专 用 I P 因 此 ， 左 耳 朵 耗 子 提 出 ， 应 该 使 用 V P C 进 行 管 理 。 V P C 是 一 种 解 决 内 网 多 租 户 互 相 隔 离 的 方 案 ， 全 称 叫 V i r t u a l P r i v a t e   C l o u d 。
“ 一 般 来 说 ， V P C 是 通 过 h a c k 底 层 的 虚 拟 化 系 统 完 成 的 ， 也 就 是 说 ， 在 H y p e r v i s o r 层 虚 拟 交 换 机 中 实 现 了 一 个 类 似 路 由 器 的 东 西 — — 通 过 一 个 用 户 自 定 义 的 虚 拟 I P 和 实 际 I P 的 关 系 做 p a c k e t f o r w a r d i n g 或 是 o v e r l a y 的 机 制 等 。 A n y w a y ， 实 现 细 节 不 重 要 。 ” 左 耳 朵 耗 子 希 望 阿 里 云 能 够 默 认 部 署 V P C ： V P C 这 个 事 应 该 是 默 认 为 用 户 开 启 的 ， 是 在 V P C 上 配 置 安 全 组 ， 而 不 是 提 供 V P C 和 安 全 组 两 套 可 以 相 互 独 立 网 络 方 案 。 安 全 组 究 竟 安 不 安 全 ？ 安 全 组 究 竟 安 不 安 全 ？ 处 于 风 暴 中 心 的 阿 里 云 自 然 不 能 置 身 事 外 ， 阿 里 云 官 方 发 表 了 一 篇 有 关 “ 安 全 组 功 能 ” 的 技 术 博 客 ， 并 援 引 2 月 2 0 日 发 布 的 一 篇 文 章 ， 引 众 多 I T 圈 微 博 转 载 。 2 月 2 7 日 ， @ 左 耳 朵 耗 子 发 表 文 章 《 关 于 阿 里 云 经 典 网 络 的 问 题 》 表 示 收 到 了 阿 里 云 官 方 的 回 复 ， 点 燃 了 新 一 波 热 议 。 作 为 曾 在 阿 里 巴 巴 任 职 的 技 术 专 家 ， 左 耳 朵 耗 子 称 ， 他 2 0 1 3 年 在 阿 里 商 家 业 务 部 做 聚 石 塔 期 间 发 现 阿 里 云 的 内 网 多 个 租 户 居 然 是 通 的 。 最 后 的 方 案 是 给 聚 石 塔 的 租 户 设 置 安 全 组 。 由 于 设 置 的 很 死 ， 但 用 户 又 需 要 在 自 己 的 集 群 中 相 互 通 信 ， 所 以 ， 当 时 的 解 决 方 案 是 ， 需 要 用 户 申 请 ， 才 开 3 0 0 0 - 3 1 0 0 的 端 口 范 围 。 注 ： 当 时 的 阿 里 云 是 不 让 用 户 编 辑 安 全 组 的 ， 内 网 是 全 互 通 的 。 如 果 我 没 有 记 错 ， 到 了 我 快 要 离 开 阿 里 的 时 候 （ 2 0 1 5 年 ） 才 让 用 户 可 以 编 辑 安 全 组 的 。 也 就 是 说 ， 按 左 耳 朵 耗 子 的 说 法 ， 在 早 期 阶 段 阿 里 云 的 内 网 是 存 在 一 段 时 间 能 够 互 通 的 。 另 外 ， 经 典 网 络 本 身 存 在 安 全 问 题 ： 1 ） 这 种 网 络 结 构 从 设 计 上 不 可 避 免 的 把 多 个 租 户 放 在 同 一 个 内 网 网 段 ！ 所 以 ， 物 理 层 面 上 来 说 就 是 通 的 ！ 2 ） 动 用 安 全 组 来 隔 离 用 户 是 一 种 相 当 复 杂 的 事 ， 复 杂 的 东 西 就 容 易 出 错 ！ 因 为 ， 网 络 隔 离 的 手 段 只 有 配 置 安 全 组 。 所 谓 安 全 组 就 是 i p t a b l e s 的 配 置 ！ 而 且 是 在 每 台 宿 组 机 上 配 置 ， 大 家 可 以 想 一 下 ， 一 台 机 器 可 以 配 置 多 少 这 样 的 规 则 ？ 这 是 有 限 制 的 ！ 而 且 是 在 管 理 上 的 很 复 杂 的 ， 不 但 对 用 户 来 说 很 复 杂 ， 我 相 信 对 阿 里 云 的 开 发 和 运 维 来 说 也 非 常 复 杂 ！ 因 此 ， 即 便 使 用 了 安 全 组 ， 也 无 法 避 免 地 存 在 问 题 。 左 耳 朵 耗 子 称 ， 使 用 n m a p 就 能 在 内 网 扫 到 大 量 主 机 ， 可 以   p i n g   通 ， 可 以 t e l n e t ， 甚 至 可 以 登 录 ， 这 为 黑 客 留 下 非 常 方 便 的 入 口 ： 1 ）   我 本 来 在 公 网 上 扫 端 口 ， 我 分 不 清 哪 些 I P 地 址 是 服 务 器 的 ， 现 在 好 了 ， 上 阿 里 云 内 网 里 扫 一 下 ， 1 0 0 % 都 是 服 务 器 ， 效 率 提 高 很 多 啊 。 2 ） 另 外 ， 经 典 网 络 的 I P 还 都 是 连 续 的 ， 这 太 T M D 的 爽 了 ！ 3 ） 我 再 打 个   r o u t e   命 令 看 一 下 路 由 表 ， 原 来 还 有 好 多 别 的 内 网 网 段 哦 。 4 ） 最 爽 的 是 ， 在 内 网 发 起 攻 击 ， 带 宽 好 快 啊 ， 而 且 可 能 还 没 安 全 监 控 哦 … … 5 ） 要 是 运 气 好 ， 说 不 定 我 还 能 搞 定 阿 里 云 的 控 制 系 统 … … 我 是 说 ， 在 座 的 各 位 我 是 说 ， 在 座 的 各 位 … … 昨 日 ， 前 阿 里 云 高 级 安 全 专 家 、 知 名 云 安 全 研 究 者   @ 安 全 _ 云 舒 愤 然 表 示 — — 你 们 都 错 了 ！ 《 租 户 隔 离 科 普 文 ， 阿 里 云 经 典 网 络 问 题 续 》 ： 先 说 结 论 ： 从 2 0 0 9 年 至 今 ， 阿 里 云 不 同 租 户 一 直 默 认 是 隔 离 的 。
我 的 安 全 哲 学 是 在 安 全 这 个 专 业 领 域 用 户 是 s b （ 这 里 的 s b 用 户 也 包 括 资 深 的 开 发 人 员 在 内 ， 区 别 在 于 小 白 知 道 自 己 不 懂 ， 资 深 的 开 发 人 员 则 以 为 自 己 懂 ） ， 安 全 得 由 我 这 种 专 业 人 士 保 护 。 所 以 可 以 看 见 ， 我 设 置 的 策 略 是 不 人 性 化 的 ， 是 死 规 矩 是 一 刀 切 。 在 安 全 领 域 ， 用 户 的 资 产 也 得 由 我 说 了 算 。 文 中 提 及 为 了 用 户 的 方 便 ， 原 本 相 互 隔 离 的 租 户 在 2 0 1 5 年 之 后 允 许 用 户 设 置 允 许 一 切 I P 访 问 自 己 的 安 全 组 ， 现 在 的 策 略 是 合 适 的 ， 但 却 不 能 保 证 绝 对 的 安 全 。 这 也 就 是 为 什 么 有 些 网 友 觉 得 自 己 找 到 了 漏 洞 所 在 。 接 下 来 云 舒 对 耗 子 的 第 一 篇 文 章 表 达 了 强 烈 的 不 满 ， 他 认 为 耗 子 作 为 一 个 知 名 技 术 博 主 ， 说 出 “ a n y w a y 实 现 细 节 不 重 要 实 现 细 节 不 重 要 ” 这 样 的 话 是 有 失 水 准 的 。 就 算 不 提 细 节 ， 耗 子 “ V P C 是 通 过 h a c k 底 层 的 虚 拟 化 系 统 完 成 的 ” 的 说 法 也 欠 考 虑 的 ， 明 显 耗 子 在 这 场 辩 论 中 已 完 全 落 败 。 而 关 于 V P C ， 云 舒 给 出 了 自 己 的 理 解 。 首 先 云 计 算 V M 是 讲 究 漂 移 的 ， 有 因 为 故 障 发 生 的 漂 移 ， 也 有 因 为 用 户 主 动 发 起 的 跨 区 域 的 漂 移 。 漂 移 过 程 中 要 求 保 证 业 务 尽 量 不 中 断 ， 则 需 要 保 证 v m 的 i p 地 址 、 m a c 地 址 不 变 ， 这 就 意 味 着 需 要 一 个 巨 大 的 二 层 网 络 ， 甚 至 是 跨 区 域 的 。 而 二 层 网 络 越 大 ， 交 换 设 备 的 c a m 表 压 力 也 越 大 ， 甚 至 爆 掉 ， a r p 之 类 的 广 播 风 暴 也 越 严 重 ， 所 以 要 把 v m 层 面 的 一 些 东 西 对 物 理 交 换 机 屏 蔽 掉 ， 分 层 处 理 。 其 次 ， V P C 给 用 户 一 种 很 好 的 体 验 ， 延 续 传 统 网 络 时 代 自 己 组 网 自 己 规 划 的 那 种 感 觉 ， 当 然 也 可 以 更 灵 活 的 设 计 自 己 想 要 的 东 西 ， 甚 至 形 成 s e r v i c e   c h a i n 。
随 后 云 舒 对 于 耗 子 的 第 二 篇 文 章 中 的 论 点 进 行 了 “ 解 答 ” 和 “ 挑 战 ” 。 “ 当 时 有 一 个 很 大 的 安 全 问 题 是 当 时 有 一 个 很 大 的 安 全 问 题 是 — — 阿 里 云 的 内 网 多 个 租 户 居 然 是 通 的 。 阿 里 云 的 内 网 多 个 租 户 居 然 是 通 的 。 ” 不 知 道 耗 子 知 道 不 知 道 ， 因 为 一 些 我 不 方 便 说 的 原 因 ， 聚 石 塔 是 由 淘 宝 维 护 负 责 的 电 商 云 ， 其 实 是 属 于 同 一 个 租 户 的 ！ 同 一 个 租 户 ， 当 然 是 互 通 的 啊 。 我 不 知 道 耗 子 是 知 道 那 个 原 因 不 说 ， 因 为 知 道 我 不 可 能 说 ， 还 是 真 不 知 道 — — 按 说 你 当 时 也 P 9 ， 应 该 知 道 吧 。 不 说 这 个 ， 但 是 至 少 ， 聚 石 塔 所 有 的 v m 是 属 于 同 一 个 租 户 的 ， 你 也 不 知 道 么 ？ 那 你 负 责 聚 石 塔 是 怎 么 负 责 的 ？ 也 是 “ a n y w a y ， 细 节 不 重 要 ” ？ 也 许 事 情 到 这 里 也 差 不 多 告 一 段 落 了 ， 耗 子 昨 日 下 午 在 微 博 也 做 出 了 言 和 也 许 事 情 到 这 里 也 差 不 多 告 一 段 落 了 ， 耗 子 昨 日 下 午 在 微 博 也 做 出 了 言 和 — — 初 衷 也 是 好 的 ， 只 是 没 有 深 入 研 究 ， 还 不 小 初 衷 也 是 好 的 ， 只 是 没 有 深 入 研 究 ， 还 不 小 心 踢 到 了 钢 板 心 踢 到 了 钢 板 … … * 本 文 作 者 ： 安 全 深 扒 ， 转 载 请 注 明 来 自 F r e e b u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理