Stel je het internet voor als een enorme, bruisende stad waar elk gebouw een kleine, gespecialiseerde werker is, een "microservice" genoemd. In plaats van één enorme fabriek die alles doet, geven deze werkers briefjes aan elkaar door om een klus te klaren. Soms gaat een briefje van de Bakkerij naar de Bank, dan naar de Beveiliger en uiteindelijk naar de Kluis. Dit is hoe moderne apps werken: ze zijn gemaakt van duizenden van deze kleine services die een complexe dans uitvoend met elkaar communiceren.

Maar hier komt het lastige deel bij: beveiligingsbewakers controleren meestal alleen de persoon die direct voor hen staat. Als de Bakkerij een briefje naar de Bank stuurt, controleert de bewaker of de Bakkerij wel met de Bank mag praten. Ze kijken niet naar hoe de Bakkerij daar terecht is gekomen. Dit creëert een sluipend lek. Een boef zou de Bakkerij kunnen misleiden om een briefje naar de Bank te sturen, en de Bank zou dan kunnen denken: "Oh, de Bakkerij praat met mij, dat is prima!" zonder te beseffen dat de Bakkerij eigenlijk werd gedwongen door een hacker. Dit wordt een "multi-hop attack" genoemd, waarbij de boef van de ene legitieme werker naar de andere springt en zo een keten van vertrouwen opbouwt die er bij elke individuele stap goed uitziet, maar van begin tot eind een ramp is.

Het artikel dat je zojuist hebt gelezen, genaamd eMicro, pakt precies dit probleem aan. Het vraagt zich af: Hoe stoppen we deze sluwe ketens zonder alles te vertragen of elke werker een enorme, zware rugzak vol geschiedenis te laten dragen? De auteurs, een team van onderzoekers van Virginia Tech, IBM en anderen, hebben een systeem gebouwd dat werkt als een super-slimme, onzichtbare verkeersregelaar. In plaats van alleen de persoon bij de deur te controleren, kent deze regelaar het volledige verhaal van de reis van het briefje. Het gebruikt een speciale technologie genaamd eBPF (die programma's veilig kan laten draaien in de kernmotor van de computer) om het pad te volgen zonder de uniformen van de werkers te hoeven veranderen. Ze gebruiken ook een slimme wiskundige truc genaamd een DFA (een type flowchart) om de regels zo efficiënt te onthouden dat het bijna geen ruimte inneemt. Het resultaat? Een systeem dat deze sluwe aanvallen in real-time stopt, ongelooflijk snel werkt en in enorme cloud-systemen past zonder er moeite mee te hebben.

De Sluipende Kettingreactie

Stel je voor dat je een foto-app hebt. Deze heeft een voordeur (nginx), een foto-editor (media), een opslagruimte (cloud) en een kluis voor wachtwoorden (creds). Op een normale dag vraagt een gebruiker de voordeur om een foto. De voordoor vraagt de editor, de editor vraagt de opslagruimte, en pop — je krijgt je foto. Dit is een veilig pad.

Stel je nu voor dat een hacker een klein gaatje vindt in de voordeur. Ze misleiden de voordoor om de wachtwoordkluis om een sleutel te vragen, terwijl ze doen alsof het een normale aanvraag is. Een traditionele beveiligingsbewaker zou naar de voordoor en de wachtwoordkluis kijken en zeggen: "Hé, de voordoor mag soms met de wachtwoordkluis praten, dus ga je gang!" De bewaker mist het feit dat de voordoor eigenlijk met de foto-editor had moeten praten, en niet met de kluis. De hacker heeft de workflow succesvol "gebogen".

Dit is het "multi-hop" probleem. De aanval is geen grote explosie; het is een reeks kleine, legaal ogende stappen die samen een ramp vormen. Het artikel legt uit dat oude beveiligingssystemen lijken op bewakers die alleen naar de persoon kijken die voor hen staat. Ze geven niet om het feit of die persoon vijf stappen terug door een vreemde is geduwd.

Ontmoet eMicro: De Verhalenbewaarder

De auteurs van dit artikel hebben eMicro gebouwd om dit op te lossen. Zie eMicro als een systeem dat elke aanvraag een "verhaal-label" geeft. Wanneer een aanvraag begint, krijgt deze een klein label. Terwijl het beweegt van de voordoor naar de editor, wordt het label bijgewerkt naar: "Ik kwam van de voordoor." Wanneer het beweegt naar de opslagruimte, zegt het label: "Ik kwam van de voordoor, en daarna van de editor."

Als een hacker de voordoor probeert te misleiden om rechtstreeks naar de wachtwoordkluis te gaan, dan is het label fout. Het zou zeggen: "Ik ben de voordoor," maar de kluis verwacht een label dat zegt: "Ik ben de voordoor na het praten met de editor." Het systeem ziet de mismatch en stopt de aanvraag onmiddellijk.

Maar hier is de magie: het meedragen van een volledig verhaal-label voor elke aanvraag zou zwaar en traag zijn. Stel je voor dat je bij elk tekstbericht een 50 pagina's tellende biografie moet bijvoegen van iedereen met wie je eerder hebt gesproken. Dat zou het netwerk verstoppen.

De Magische Flowchart (DFA)

Om het "zware rugzak"-probleem op te lossen, hebben de onderzoekers een slimme wiskundige truc gebruikt genaamd een Deterministic Finite Automaton (DFA). In plaats van het hele verhaal op te schrijven, zet het systeem de regels om in een enorme, efficiënte flowchart.

Stel je een flowchart voor waarbij elke stap die je zet je naar een nieuwe cirkel brengt.

• Cirkel 0: Start.
• Cirkel 1: Je hebt met de Voordoor gepraat.
• Cirkel 2: Je hebt met de Voordoor gepraat, en daarna met de Editor.
• Cirkel 3: Je hebt met de Voordoor gepraat, de Editor, en daarna met de Opslagruimte.

Het systeem draagt niet de woorden "Voordoor, Editor, Opslagruimte". Het draagt alleen het nummer van de cirkel waarin je je bevindt (bijv. "Cirkel of 3"). Als je probeert van Cirkel 1 direct naar de Wachtwoordkluis te springen, zegt de flowchart: "Wacht, er is geen lijn van Cirkel 1 naar de Kluis!" en blokkeert je.

Dit is ongelooflijk efficiënt. Het artikel laat zien dat terwijl een "standaard" manier om de geschiedenis op te schrijven misschien honderden bits nodig zou hebben (zoals een lange reeks enen en nullen), deze flowchart-methode het inkrimpt tot slechts een paar bits. In hun tests sloegen ze 50 miljoen verschillende beveiligingsregels op in slechts 100 MB aan ruimte. Dat is alsof je een bibliotheek van miljoenen boeken in een enkele smartphone past.

De Onzichtbare Verkeersregelaar (eBPF)

Hoe werkt eMicro deze labels zo snel bij zonder te vragen aan elk computerprogramma om zijn code te veranderen? Het antwoord is eBPF.

Zie eBPF als een speciaal hulpmiddel waarmee je kleine, veilige programma's kunt draaien in de motor van de computer (de kernel). Normaal gesproken zou je, om bij te houden wat er gebeurt, elke app moeten vragen om een tracker te installeren, wat een nachtmerrie is voor ontwikkelaars. eMicro doet dat niet. In plaats daarvan koppelt het zijn kleine programma's aan de netwerkverbindingen en de interne processen van de computer.

Wanneer een aanvraag-pakket een service verlaat, vangt het eBPF-programma het op, werkt het "cirkelnummer" (het label) bij en laat het weer gaan. Het gebeurt zo snel dat de aanvraag het niet eens merkt. Het artikel heeft dit gemeten en vond dat eMicro minder dan 1 microseconde (dat is één-miljoenste van een seconde) toevoegt aan de tijd die nodig is om een aanvraag te controleren. Het is sneller dan een menselijk oog kan knipperen.

Wat Ze Hebben Gevonden

Het team heeft eMicro op verschillende manieren getest om te controleren of het echt werkt:

1. Het Stoppen van Aanvallen: Ze simuleerden drie soorten sluwe aanvallen, waaronder hackers die services misleiden om met de verkeerde plekken te praten en het gebruik van kwaadaardige software om het netwerk te scannen. eMicro blokkeerde 100% van deze aanvallen. In tegenstelling hiertoe vingen de oude "check-de-buurman"-beveiligingsmethoden slechts een fractie van deze aanvallen. Bijvoorbeeld, in een keten van 6 stappen vingen de oude methoden slechts 0,3% van de slechte paden, terwijl eMicro alles onderschepte.
2. Snelheid: Ze lieten 12 miljoen aanvragen door hun systeem lopen. eMicro hield de stroom verkeer soepel en voegde bijna geen vertraging toe. Het was 35% sneller dan oudere, gecentraliseerde systemen die hetzelfde probeerden te doen, maar telkens een centrale baas om toestemming moesten vragen.
3. Ruimte: Zoals vermeld, sloegen ze 50 miljoen regels op in 100 MB geheugen. Dit is een enorme verbetering ten opzichte van oudere methoden die gigabytes aan ruimte nodig zouden hebben.
4. Betrouwbaarheid: Ze hebben zelfs getest wat er gebeurt als een computer in het netwerk crasht. eMicro gebruikt een systeem genaamd Raft om ervoor te zorgen dat alle computers het eens zijn over de regels. Als er één crasht, nemen de anderen het stokje over en herstelt het systeem zich in minder dan 4 seconden.

Waarom Het Belangrijk Is

Het artikel concludeert dat eMicro een praktische, real-world oplossing is. Het vereist niet het herschrijven van alle software ter wereld en het vertraagt de boel niet. Het bewijst dat je een beveiligingsbewaker kunt hebben die het hele verhaal kent van elke aanvraag, en niet alleen de persoon die voor hem staat.

De auteurs waarschuwen voorzichtig dat hoewel hun systeem geweldig is voor microservices, het geen toverstaf is voor elk beveiligingsprobleem. Het gaat ervan uit dat de kernmotor van de computer (de kernel) veilig is. Als een hacker de volledige controle krijgt over de "hersenen" van de computer, kan hij de bewaker uitschakelen. Maar voor het overgrote deel van de cloud-aanvallen waarbij hackers proberen via de kieren tussen services binnen te sluipen, dicht eMicro de gaten.

Kortom, eMicro neemt het complexe, onzichtbare web van moderne apps en geeft het een duidelijke, snelle en onbreekbare set regels. Het verandert een chaotische stad van werkers in een goed georganiseerd team waar iedereen precies weet met wie hij moet praten, en niemand via de achterdeur naar binnen kan glippen.