EC2 : Elastic Compute Cloud
Infrastructure
EC2 : Elastic Compute Cloud. « Nuage de calcul élastique », par analogie avec une agence de location de voitures où l'on prend et rend des machines au gré des besoins.
Principe : Service AWS de machines virtuelles, appelées instances, créées à partir d'une image, placées dans un VPC et facturées au temps d'utilisation.
Métadonnées d'instance : Chaque instance interroge l'IMDS à l'adresse link-local 169.254.169.254 pour obtenir sa configuration et les identifiants temporaires du rôle IAM qui lui est attaché. La version 2 du service exige un jeton de session obtenu par une requête PUT, ce qui complique l'exploitation d'une SSRF.
Groupes de sécurité : Le filtrage réseau passe par des groupes de sécurité à états, attachés aux interfaces des instances, complétés au besoin par des listes de contrôle au niveau du sous-réseau.
Élasticité : Le nuage n'est que l'ordinateur de quelqu'un d'autre, loué à l'usage ; seule la facture de fin de mois échappe à toute métaphore vaporeuse.
Ce qui arrive si on s'en passe
Une instance EC2 laissée en IMDSv1 répond à toute requête GET vers 169.254.169.254 : une faille SSRF dans l'application suffit alors à faire lire par le serveur lui-même les identifiants temporaires du rôle IAM qui lui est attaché, et l'attaquant repart avec les droits de la machine. Des groupes de sécurité ouverts à tout Internet exposent en outre chaque service qui écoute, y compris ceux qu'on avait oubliés. L'élasticité joue dans les deux sens : une instance lancée pour un essai et jamais arrêtée continue de tourner, de coûter et de vieillir sans correctifs. Le nuage n'oublie rien, surtout pas la facture.
Explication de la marmotte
Au lieu d'acheter des ordinateurs et de les installer dans une salle, une entreprise peut en louer chez un grand hébergeur. Ces ordinateurs n'existent pas vraiment comme des boîtiers séparés : ce sont des parts de très grosses machines, découpées par logiciel. On en crée un en quelques minutes, on choisit sa puissance, et on le supprime quand on n'en a plus besoin. On ne paie que le temps d'utilisation, un peu comme une voiture de location rendue à l'agence.
Où ce terme est utilisé
- SSRF vers IMDS et vol d’identifiants IAM (4 occurrences)