La seguridad es un ciudadano de segunda clase en la informática de alto rendimiento

SUPERCOMPUTING 2022: ¿Cómo mantener a los malos fuera de algunas de las computadoras más rápidas del mundo que almacenan algunos de los datos más confidenciales?

Esa fue una preocupación creciente en la conferencia Supercomputing 2022 del mes pasado. Lograr el rendimiento más rápido del sistema fue un tema candente, como lo es todos los años. Pero la búsqueda de la velocidad ha tenido el costo de asegurar algunos de estos sistemas, que ejecutan cargas de trabajo críticas en ciencia, modelado meteorológico, pronóstico económico y seguridad nacional.

La implementación de la seguridad en forma de hardware o software generalmente implica una penalización del rendimiento, lo que ralentiza el rendimiento general del sistema y la salida de los cálculos. El impulso por más caballos de fuerza en la supercomputación ha hecho que la seguridad sea una idea de último momento.

“En su mayor parte, se trata de computación de alto rendimiento. Y, a veces, algunos de estos mecanismos de seguridad reducirán su rendimiento porque está haciendo algunos controles y equilibrios”, dice Jeff McVeigh, vicepresidente y gerente general de Super Compute Group en Intel.

“También hay un 'Quiero asegurarme de obtener el mejor rendimiento posible, y si puedo implementar otros mecanismos para controlar cómo se ejecuta de forma segura, lo haré'”, dice McVeigh.

Incentivo de las necesidades de seguridad

El rendimiento y la seguridad de los datos es una lucha constante entre los proveedores que venden los sistemas de alto rendimiento y los operadores que ejecutan la instalación.

“Muchos proveedores son reacios a realizar estos cambios si el cambio afecta negativamente el rendimiento del sistema”, dijo Yang Guo, científico informático de los Institutos Nacionales de Estándares y Tecnología (NIST), durante un sesión del panel en Supercomputación 2022.

La falta de entusiasmo por asegurar los sistemas informáticos de alto rendimiento ha llevado al gobierno de EE. UU. a intervenir, y el NIST ha creado un grupo de trabajo para abordar el problema. Guo lidera el Grupo de trabajo de HPC del NIST, que se centra en el desarrollo de directrices, planos y medidas de seguridad para la seguridad de los sistemas y los datos.

El Grupo de Trabajo de HPC se creó en enero de 2016 a partir de la iniciativa del entonces presidente Barack Obama. Orden Ejecutiva 13702, que lanzó la Iniciativa Nacional de Informática Estratégica. La actividad del grupo se recuperó después de una serie de ataques a superordenadores en Europa, algunos de los cuales participaron en la investigación de COVID-19.

La seguridad de HPC es complicada

La seguridad en la informática de alto rendimiento no es tan simple como instalar un antivirus y escanear correos electrónicos, dijo Guo.

Las computadoras de alto rendimiento son recursos compartidos, con investigadores reservando tiempo y conectándose a sistemas para realizar cálculos y simulaciones. Los requisitos de seguridad variarán según las arquitecturas HPC, algunas de las cuales pueden priorizar el control de acceso o hardware como almacenamiento, CPU más rápidas o más memoria para cálculos. El enfoque principal está en asegurar el contenedor y desinfectar los nodos informáticos que pertenecen a proyectos en HPC, dijo Guo.

Las agencias gubernamentales que manejan datos de alto secreto adoptan un enfoque al estilo de Fort Knox para proteger los sistemas cortando la red regular o el acceso inalámbrico. El enfoque de "brecha de aire" ayuda a garantizar que el malware no invada el sistema y que solo los usuarios autorizados con autorización tengan acceso a dichos sistemas.

Las universidades también albergan supercomputadoras, a las que pueden acceder estudiantes y académicos que realizan investigaciones científicas. Los administradores de estos sistemas en muchos casos tienen un control limitado sobre la seguridad, que es administrada por proveedores de sistemas que quieren presumir de haber construido las computadoras más rápidas del mundo.

Cuando coloca la administración de los sistemas en manos de los proveedores, priorizarán garantizar ciertas capacidades de rendimiento, dijo Rickey Gregg, gerente del programa de seguridad cibernética del Departamento de Defensa de EE. UU. Programa de Modernización de Computación de Alto Rendimiento, durante el panel.

“Una de las cosas en las que me educaron hace muchos años fue que cuanto más dinero gastamos en seguridad, menos dinero tenemos para el rendimiento. Estamos tratando de asegurarnos de tener este equilibrio”, dijo Gregg.

Durante una sesión de preguntas y respuestas posterior al panel, algunos administradores de sistemas expresaron su frustración por los contratos de proveedores que priorizan el rendimiento en el sistema y le restan prioridad a la seguridad. Los administradores del sistema dijeron que la implementación de tecnologías de seguridad locales equivaldría a un incumplimiento del contrato con el proveedor. Eso mantuvo su sistema expuesto.

Algunos panelistas dijeron que los contratos podrían modificarse con un lenguaje en el que los proveedores entreguen la seguridad al personal en el sitio después de un cierto período de tiempo.

Diferentes enfoques de la seguridad

El piso de exhibición de SC recibió agencias gubernamentales, universidades y proveedores que hablaron sobre supercomputación. Las conversaciones sobre seguridad se realizaron principalmente a puerta cerrada, pero la naturaleza de las instalaciones de supercomputación proporcionó una vista panorámica de los diversos enfoques para asegurar los sistemas.

En el stand del Texas Advanced Computing Center (TACC) de la Universidad de Texas en Austin, que alberga varias supercomputadoras en el Lista Top500 de las supercomputadoras más rápidas del mundo, la atención se centró en el rendimiento y el software. Las supercomputadoras TACC se escanean regularmente y el centro cuenta con herramientas para evitar invasiones y autenticación de dos factores para autorizar a usuarios legítimos, dijeron los representantes.

El Departamento de Defensa tiene un enfoque más de "jardín amurallado", con usuarios, cargas de trabajo y recursos de supercomputación segmentados en un área fronteriza de DMZ-orzuelo con fuertes protecciones y monitoreo de todas las comunicaciones.

El Instituto Tecnológico de Massachusetts (MIT) está adoptando un enfoque de confianza cero para la seguridad del sistema al deshacerse del acceso raíz. En su lugar, utiliza una entrada de línea de comando llamada sudo para proporcionar privilegios de raíz a los ingenieros de HPC. El comando sudo proporciona un seguimiento de las actividades que los ingenieros de HPC realizan en el sistema, dijo Albert Reuther, miembro del personal sénior del Centro de Supercomputación del Laboratorio Lincoln del MIT, durante el panel de discusión.

“Lo que realmente buscamos es esa auditoría de quién está en el teclado, quién era esa persona”, dijo Reuther.

Mejora de la seguridad a nivel de proveedor

El enfoque general de la informática de alto rendimiento no ha cambiado en décadas, con una gran dependencia de instalaciones gigantes en el sitio con bastidores interconectados. Eso contrasta marcadamente con el mercado de la computación comercial, que se está mudando fuera del sitio y a la nube. Los participantes en la feria expresaron su preocupación por la seguridad de los datos una vez que salen de los sistemas locales.

AWS está tratando de modernizar HPC llevándolo a la nube, lo que puede escalar el rendimiento bajo demanda mientras mantiene un mayor nivel de seguridad. En noviembre, la empresa presentó HPC7g, un conjunto de instancias en la nube para computación de alto rendimiento en Elastic Compute Cloud (EC2). EC2 emplea un controlador especial llamado Nitro V5 que proporciona una capa informática confidencial para proteger los datos mientras se almacenan, procesan o están en tránsito.

“Usamos varias adiciones de hardware a las plataformas típicas para administrar cosas como la seguridad, los controles de acceso, la encapsulación de redes y el cifrado”, dijo Lowell Wofford, arquitecto de soluciones especialista principal de AWS para computación de alto rendimiento, durante el panel. Agregó que técnicas de hardware proporcionar tanto la seguridad como el rendimiento básico en las máquinas virtuales.

Intel está construyendo características informáticas confidenciales como Software Guard Extensions (SGX), un enclave cerrado para la ejecución de programas, en sus chips de servidor más rápidos. Según McVeigh de Intel, un enfoque indiferente por parte de los operadores está impulsando al fabricante de chips a avanzar en la seguridad de los sistemas de alto rendimiento.

“Recuerdo cuando la seguridad no era importante en Windows. Y luego se dieron cuenta de que 'si exponemos esto y cada vez que alguien haga algo, se preocuparán de que le roben la información de su tarjeta de crédito'”, dijo McVeigh. “Así que hay mucho esfuerzo allí. Creo que se deben aplicar las mismas cosas [en HPC]”.