Η ασφάλεια είναι πολίτης δεύτερης κατηγορίας στους υπολογιστές υψηλών επιδόσεων

SUPERCOMPUTING 2022 — Πώς κρατάτε τους κακούς από μερικούς από τους ταχύτερους υπολογιστές του κόσμου που αποθηκεύουν μερικά από τα πιο ευαίσθητα δεδομένα;

Αυτή ήταν μια αυξανόμενη ανησυχία στο συνέδριο Supercomputing 2022 τον περασμένο μήνα. Η επίτευξη της ταχύτερης απόδοσης συστήματος ήταν ένα καυτό θέμα, όπως συμβαίνει κάθε χρόνο. Αλλά η επιδίωξη της ταχύτητας έχει το κόστος της διασφάλισης ορισμένων από αυτά τα συστήματα, τα οποία έχουν κρίσιμο φόρτο εργασίας στην επιστήμη, τη μοντελοποίηση καιρού, τις οικονομικές προβλέψεις και την εθνική ασφάλεια.

Η εφαρμογή της ασφάλειας με τη μορφή υλικού ή λογισμικού συνήθως περιλαμβάνει μια ποινή απόδοσης, η οποία επιβραδύνει τη συνολική απόδοση του συστήματος και την έξοδο των υπολογισμών. Η ώθηση για περισσότερη ιπποδύναμη στον υπερυπολογιστή έχει κάνει την ασφάλεια μεταγενέστερη σκέψη.

«Στο μεγαλύτερο μέρος, πρόκειται για υπολογιστές υψηλής απόδοσης. Και μερικές φορές κάποιοι από αυτούς τους μηχανισμούς ασφαλείας θα μειώσουν την απόδοσή σας επειδή κάνετε κάποιους ελέγχους και ισορροπίες», λέει ο Jeff McVeigh, αντιπρόεδρος και γενικός διευθυντής του Super Compute Group στην Intel.

"Υπάρχει επίσης ένα "θέλω να βεβαιωθώ ότι έχω την καλύτερη δυνατή απόδοση και αν μπορώ να βάλω άλλους μηχανισμούς για να ελέγξω τον τρόπο με τον οποίο εκτελείται με ασφάλεια, θα το κάνω", λέει ο McVeigh.

Κίνητρα για την ασφάλεια

Η ασφάλεια των επιδόσεων και των δεδομένων είναι μια συνεχής διαμάχη μεταξύ των προμηθευτών που πωλούν τα συστήματα υψηλής απόδοσης και των χειριστών που εκτελούν την εγκατάσταση.

«Πολλοί πωλητές διστάζουν να κάνουν αυτές τις αλλαγές εάν η αλλαγή επηρεάζει αρνητικά την απόδοση του συστήματος», δήλωσε ο Yang Guo, επιστήμονας υπολογιστών στο Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας (NIST), κατά τη διάρκεια μιας συνεδρία πάνελ στο Supercomputing 2022.

Η έλλειψη ενθουσιασμού για την εξασφάλιση υπολογιστικών συστημάτων υψηλής απόδοσης ώθησε την κυβέρνηση των ΗΠΑ να παρέμβει, με το NIST να δημιουργεί μια ομάδα εργασίας για την αντιμετώπιση του ζητήματος. Ο Guo ηγείται της Ομάδας Εργασίας NIST HPC, η οποία εστιάζει στην ανάπτυξη κατευθυντήριων γραμμών, σχεδίων και διασφαλίσεων για την ασφάλεια του συστήματος και των δεδομένων.

Η Ομάδα Εργασίας HPC δημιουργήθηκε τον Ιανουάριο του 2016 με βάση την ομάδα του τότε Προέδρου Μπαράκ Ομπάμα Εκτελεστική εντολή 13702, η οποία ξεκίνησε την Εθνική Στρατηγική Πρωτοβουλία Υπολογιστών. Η δραστηριότητα της ομάδας αυξήθηκε μετά από μια σειρά από επιθέσεις σε υπερυπολογιστές στην Ευρώπη, μερικά από τα οποία συμμετείχαν στην έρευνα για τον COVID-19.

Η ασφάλεια HPC είναι περίπλοκη

Η ασφάλεια στους υπολογιστές υψηλής απόδοσης δεν είναι τόσο απλή όσο η εγκατάσταση προστασίας από ιούς και η σάρωση email, είπε ο Guo.

Οι υπολογιστές υψηλής απόδοσης είναι κοινόχρηστοι πόροι, με τους ερευνητές να κάνουν κράτηση χρόνου και να συνδέονται σε συστήματα για τη διεξαγωγή υπολογισμών και προσομοιώσεων. Οι απαιτήσεις ασφαλείας θα διαφέρουν ανάλογα με τις αρχιτεκτονικές HPC, ορισμένες από τις οποίες ενδέχεται να δίνουν προτεραιότητα στον έλεγχο πρόσβασης ή σε υλικό όπως αποθήκευση, ταχύτερες CPU ή περισσότερη μνήμη για υπολογισμούς. Η κύρια εστίαση είναι στην ασφάλιση του κοντέινερ και στην απολύμανση των υπολογιστικών κόμβων που σχετίζονται με έργα σε HPC, είπε ο Guo.

Οι κυβερνητικές υπηρεσίες που ασχολούνται με άκρως απόρρητα δεδομένα υιοθετούν μια προσέγγιση τύπου Fort Knox για ασφαλή συστήματα, διακόπτοντας την τακτική πρόσβαση στο δίκτυο ή την ασύρματη πρόσβαση. Η προσέγγιση "air-gapped" βοηθά να διασφαλιστεί ότι το κακόβουλο λογισμικό δεν εισβάλλει στο σύστημα και ότι μόνο εξουσιοδοτημένοι χρήστες με άδεια έχουν πρόσβαση σε τέτοια συστήματα.

Τα πανεπιστήμια φιλοξενούν επίσης υπερυπολογιστές, στους οποίους έχουν πρόσβαση φοιτητές και ακαδημαϊκοί που διεξάγουν επιστημονική έρευνα. Οι διαχειριστές αυτών των συστημάτων σε πολλές περιπτώσεις έχουν περιορισμένο έλεγχο της ασφάλειας, η διαχείριση της οποίας γίνεται από προμηθευτές συστημάτων που θέλουν δικαιώματα καυχησιολογίας για την κατασκευή των ταχύτερων υπολογιστών στον κόσμο.

Όταν αναθέτετε τη διαχείριση των συστημάτων στα χέρια των προμηθευτών, αυτοί θα δώσουν προτεραιότητα στην εγγύηση ορισμένων δυνατοτήτων απόδοσης, δήλωσε ο Rickey Gregg, διευθυντής προγράμματος κυβερνοασφάλειας στο Υπουργείο Άμυνας των ΗΠΑ. Πρόγραμμα Εκσυγχρονισμού Υπολογιστών Υψηλής Απόδοσης, κατά τη διάρκεια του πίνακα.

«Ένα από τα πράγματα στα οποία εκπαιδεύτηκα πριν από πολλά χρόνια ήταν ότι όσο περισσότερα χρήματα ξοδεύουμε για ασφάλεια, τόσο λιγότερα χρήματα έχουμε για απόδοση. Προσπαθούμε να διασφαλίσουμε ότι έχουμε αυτή την ισορροπία», είπε ο Γκρεγκ.

Κατά τη διάρκεια μιας συνεδρίας ερωτήσεων και απαντήσεων που ακολούθησε το πάνελ, ορισμένοι διαχειριστές συστήματος εξέφρασαν την απογοήτευσή τους για τα συμβόλαια προμηθευτών που δίνουν προτεραιότητα στην απόδοση στο σύστημα και υποβαθμίζουν την ασφάλεια. Οι διαχειριστές του συστήματος είπαν ότι η εφαρμογή εγχώριων τεχνολογιών ασφαλείας θα ισοδυναμούσε με παραβίαση της σύμβασης με τον προμηθευτή. Αυτό κράτησε το σύστημά τους εκτεθειμένο.

Ορισμένοι συμμετέχοντες είπαν ότι οι συμβάσεις θα μπορούσαν να τροποποιηθούν με τη γλώσσα στην οποία οι πωλητές παραδίδουν την ασφάλεια στο προσωπικό του ξενοδοχείου μετά από ένα ορισμένο χρονικό διάστημα.

Διαφορετικές προσεγγίσεις στην ασφάλεια

Η έκθεση του SC φιλοξένησε κυβερνητικές υπηρεσίες, πανεπιστήμια και πωλητές που μιλούσαν για τους υπερυπολογιστές. Οι συζητήσεις για την ασφάλεια γίνονταν ως επί το πλείστον κεκλεισμένων των θυρών, αλλά η φύση των εγκαταστάσεων υπερυπολογιστών παρείχε μια πανοραμική άποψη των διαφόρων προσεγγίσεων για τα συστήματα ασφάλισης.

Στο περίπτερο του Πανεπιστημίου του Τέξας στο Τέξας Advanced Computing Center (TACC) του Ώστιν, το οποίο φιλοξενεί πολλούς υπερυπολογιστές στο Λίστα Top500 από τους ταχύτερους υπερυπολογιστές του κόσμου, η εστίαση ήταν στην απόδοση και το λογισμικό. Οι υπερυπολογιστές TACC σαρώνονται τακτικά και το κέντρο διαθέτει εργαλεία για την αποτροπή εισβολών και έλεγχο ταυτότητας δύο παραγόντων για την εξουσιοδότηση νόμιμων χρηστών, δήλωσαν εκπρόσωποι.

Το Υπουργείο Άμυνας έχει περισσότερο μια προσέγγιση «περιτοιχισμένου κήπου», με χρήστες, φόρτους εργασίας και πόρους υπερυπολογιστών τμηματοποιημένους σε μια συνοριακή περιοχή τύπου DMZ με βαριά προστασία και παρακολούθηση όλων των επικοινωνιών.

Το Ινστιτούτο Τεχνολογίας της Μασαχουσέτης (MIT) υιοθετεί μια προσέγγιση μηδενικής εμπιστοσύνης στην ασφάλεια του συστήματος, εξαλείφοντας την πρόσβαση root. Αντίθετα, χρησιμοποιεί μια καταχώρηση γραμμής εντολών που ονομάζεται sudo να παρέχει δικαιώματα root στους μηχανικούς HPC. Η εντολή sudo παρέχει μια διαδρομή των δραστηριοτήτων που αναλαμβάνουν οι μηχανικοί HPC στο σύστημα, είπε ο Albert Reuther, ανώτερο στέλεχος του MIT Lincoln Laboratory Supercomputing Center, κατά τη διάρκεια της συζήτησης.

«Αυτό που πραγματικά αναζητούμε είναι ο έλεγχος του ποιος είναι στο πληκτρολόγιο, ποιος ήταν αυτό το άτομο», είπε ο Reuther.

Βελτίωση της ασφάλειας σε επίπεδο προμηθευτή

Η γενική προσέγγιση των υπολογιστών υψηλής απόδοσης δεν έχει αλλάξει εδώ και δεκαετίες, με μεγάλη εξάρτηση από γιγάντιες επιτόπιες εγκαταστάσεις με διασυνδεδεμένα rack. Αυτό έρχεται σε έντονη αντίθεση με την εμπορική αγορά υπολογιστών, η οποία κινείται εκτός έδρας και στο σύννεφο. Οι συμμετέχοντες στην έκθεση εξέφρασαν ανησυχίες σχετικά με την ασφάλεια των δεδομένων μόλις αποχωρήσει από τα συστήματα εσωτερικής εγκατάστασης.

Η AWS προσπαθεί να εκσυγχρονίσει το HPC φέρνοντάς το στο cloud, το οποίο μπορεί να αυξήσει την απόδοση κατά ζήτηση, διατηρώντας παράλληλα υψηλότερο επίπεδο ασφάλειας. Τον Νοέμβριο, η εταιρεία παρουσίασε το HPC7g, ένα σύνολο περιπτώσεων cloud για υπολογιστές υψηλής απόδοσης στο Elastic Compute Cloud (EC2). Το EC2 χρησιμοποιεί έναν ειδικό ελεγκτή που ονομάζεται Nitro V5 που παρέχει ένα εμπιστευτικό υπολογιστικό επίπεδο για την προστασία των δεδομένων κατά την αποθήκευση, την επεξεργασία ή τη μεταφορά τους.

«Χρησιμοποιούμε διάφορες προσθήκες υλικού σε τυπικές πλατφόρμες για να διαχειριστούμε πράγματα όπως η ασφάλεια, τα στοιχεία ελέγχου πρόσβασης, η ενθυλάκωση δικτύου και η κρυπτογράφηση», δήλωσε ο Lowell Wofford, κύριος εξειδικευμένος αρχιτέκτονας λύσεων AWS για υπολογιστές υψηλής απόδοσης, κατά τη διάρκεια του πάνελ. Πρόσθεσε ότι τεχνικές υλικού παρέχουν τόσο την ασφάλεια όσο και την απόδοση γυμνού μετάλλου σε εικονικές μηχανές.

Η Intel χτίζει εμπιστευτικές υπολογιστικές λειτουργίες όπως το Software Guard Extensions (SGX), ένας κλειδωμένος θύλακας για την εκτέλεση προγράμματος, στα πιο γρήγορα τσιπ διακομιστή του. Σύμφωνα με τον McVeigh της Intel, μια ελλιπής προσέγγιση από τους χειριστές ωθεί τον κατασκευαστή τσιπ να προχωρήσει στην εξασφάλιση συστημάτων υψηλής απόδοσης.

«Θυμάμαι όταν η ασφάλεια δεν ήταν σημαντική στα Windows. Και τότε συνειδητοποίησαν ότι «Αν το αποκαλύψουμε και κάθε φορά που κάποιος κάνει οτιδήποτε, θα ανησυχεί για την κλοπή των στοιχείων της πιστωτικής του κάρτας», είπε ο McVeigh. «Έτσι, υπάρχει μεγάλη προσπάθεια εκεί. Νομίζω ότι τα ίδια πράγματα πρέπει να ισχύουν [στο HPC]».