La sécurité est un citoyen de seconde classe dans le calcul haute performance

SUPERCALCUL 2022 — Comment éloignez-vous les méchants de certains des ordinateurs les plus rapides au monde qui stockent certaines des données les plus sensibles ?

C'était une préoccupation croissante lors de la conférence Supercomputing 2022 du mois dernier. Atteindre les performances système les plus rapides était un sujet brûlant, comme chaque année. Mais la poursuite de la vitesse s'est faite au détriment de la sécurisation de certains de ces systèmes, qui exécutent des charges de travail critiques dans les domaines de la science, de la modélisation météorologique, des prévisions économiques et de la sécurité nationale.

La mise en œuvre de la sécurité sous forme de matériel ou de logiciel implique généralement une baisse des performances, ce qui ralentit les performances globales du système et la sortie des calculs. La poussée pour plus de puissance dans le supercalcul a fait de la sécurité une réflexion après coup.

« Pour l'essentiel, il s'agit de calcul haute performance. Et parfois, certains de ces mécanismes de sécurité réduiront vos performances parce que vous effectuez des contrôles et des contrepoids », explique Jeff McVeigh, vice-président et directeur général de Super Compute Group chez Intel.

"Il y a aussi un" Je veux m'assurer que j'obtiens les meilleures performances possibles, et si je peux mettre en place d'autres mécanismes pour contrôler la façon dont cela est exécuté en toute sécurité, je le ferai "", déclare McVeigh.

La sécurité doit être incitative

Les performances et la sécurité des données sont une lutte constante entre les fournisseurs vendant les systèmes hautes performances et les opérateurs qui gèrent l'installation.

"De nombreux fournisseurs hésitent à apporter ces changements si le changement a un impact négatif sur les performances du système", a déclaré Yang Guo, informaticien au National Institutes for Standards and Technology (NIST), lors d'une session de groupe à Supercalcul 2022.

Le manque d'enthousiasme pour la sécurisation des systèmes informatiques hautes performances a incité le gouvernement américain à intervenir, le NIST créant un groupe de travail pour résoudre le problème. Guo dirige le groupe de travail NIST HPC, qui se concentre sur l'élaboration de directives, de plans et de garanties pour la sécurité des systèmes et des données.

Le groupe de travail HPC a été créé en janvier 2016 sur la base de la proposition du président Barack Obama Executive Order 13702, qui a lancé la National Strategic Computing Initiative. L'activité du groupe a repris après une vague de Attaques contre les supercalculateurs en Europe, dont certains ont été impliqués dans la recherche COVID-19.

La sécurité HPC est compliquée

La sécurité dans le calcul haute performance n'est pas aussi simple que d'installer un antivirus et d'analyser les e-mails, a déclaré Guo.

Les ordinateurs hautes performances sont des ressources partagées, les chercheurs réservant du temps et se connectant aux systèmes pour effectuer des calculs et des simulations. Les exigences de sécurité varient en fonction des architectures HPC, dont certaines peuvent donner la priorité au contrôle d'accès, ou au matériel comme le stockage, des processeurs plus rapides ou plus de mémoire pour les calculs. L'accent est mis sur la sécurisation du conteneur et la désinfection des nœuds informatiques qui se rapportent aux projets sur HPC, a déclaré Guo.

Les agences gouvernementales traitant des données top secrètes adoptent une approche de type Fort Knox pour sécuriser les systèmes en coupant l'accès régulier au réseau ou sans fil. L'approche "à vide" permet de garantir que les logiciels malveillants n'envahissent pas le système et que seuls les utilisateurs autorisés et autorisés ont accès à ces systèmes.

Les universités hébergent également des supercalculateurs, qui sont accessibles aux étudiants et aux universitaires menant des recherches scientifiques. Les administrateurs de ces systèmes ont dans de nombreux cas un contrôle limité sur la sécurité, qui est gérée par les fournisseurs de systèmes qui veulent se vanter d'avoir construit les ordinateurs les plus rapides au monde.

Lorsque vous confiez la gestion des systèmes aux fournisseurs, ils donneront la priorité à la garantie de certaines capacités de performance, a déclaré Rickey Gregg, responsable du programme de cybersécurité au département américain de la Défense. Programme de modernisation du calcul haute performance, lors du panel.

"L'une des choses sur lesquelles j'ai été éduqué il y a de nombreuses années, c'est que plus nous dépensons d'argent pour la sécurité, moins nous avons d'argent pour la performance. Nous essayons de nous assurer que nous avons cet équilibre », a déclaré Gregg.

Au cours d'une session de questions-réponses après le panel, certains administrateurs système ont exprimé leur frustration face aux contrats des fournisseurs qui donnent la priorité aux performances du système et dépriorisent la sécurité. Les administrateurs système ont déclaré que la mise en œuvre de technologies de sécurité locales équivaudrait à une rupture de contrat avec le fournisseur. Cela a gardé leur système exposé.

Certains panélistes ont déclaré que les contrats pourraient être modifiés avec un langage dans lequel les fournisseurs remettent la sécurité au personnel sur place après un certain temps.

Différentes approches de la sécurité

La salle d'exposition de SC a accueilli des agences gouvernementales, des universités et des fournisseurs qui parlaient de supercalcul. Les conversations sur la sécurité se déroulaient pour la plupart à huis clos, mais la nature des installations de calcul intensif offrait une vue d'ensemble des différentes approches de la sécurisation des systèmes.

Sur le stand de l'Université du Texas à Austin's Texas Advanced Computing Center (TACC), qui héberge plusieurs supercalculateurs dans le Liste Top500 des supercalculateurs les plus rapides au monde, l'accent a été mis sur les performances et les logiciels. Les superordinateurs du TACC sont régulièrement scannés et le centre dispose d'outils pour empêcher les invasions et d'une authentification à deux facteurs pour autoriser les utilisateurs légitimes, ont déclaré des représentants.

Le ministère de la Défense a davantage une approche de «jardin clos», avec des utilisateurs, des charges de travail et des ressources de supercalcul segmentés dans une zone frontalière de type DMZ avec de lourdes protections et une surveillance de toutes les communications.

Le Massachusetts Institute of Technology (MIT) adopte une approche de confiance zéro pour la sécurité du système en se débarrassant de l'accès root. Au lieu de cela, il utilise une entrée de ligne de commande appelée sudo pour fournir le privilège root aux ingénieurs HPC. La commande sudo fournit une trace des activités que les ingénieurs HPC entreprennent sur le système, a déclaré Albert Reuther, membre supérieur du personnel du MIT Lincoln Laboratory Supercomputing Center, lors de la table ronde.

"Ce que nous recherchons vraiment, c'est cette vérification de qui est au clavier, qui était cette personne", a déclaré Reuther.

Amélioration de la sécurité au niveau du fournisseur

L'approche générale du calcul haute performance n'a pas changé depuis des décennies, avec une forte dépendance à des installations géantes sur site avec des racks interconnectés. Cela contraste fortement avec le marché de l'informatique commerciale, qui se déplace hors site et vers le cloud. Les participants au salon ont exprimé des inquiétudes concernant la sécurité des données une fois qu'elles quittent les systèmes sur site.

AWS tente de moderniser le HPC en l'amenant dans le cloud, ce qui peut augmenter les performances à la demande tout en maintenant un niveau de sécurité plus élevé. En novembre, la société a présenté HPC7g, un ensemble d'instances cloud pour le calcul haute performance sur Elastic Compute Cloud (EC2). EC2 utilise un contrôleur spécial appelé Nitro V5 qui fournit une couche informatique confidentielle pour protéger les données lorsqu'elles sont stockées, traitées ou en transit.

"Nous utilisons divers ajouts matériels aux plates-formes typiques pour gérer des éléments tels que la sécurité, les contrôles d'accès, l'encapsulation du réseau et le chiffrement", a déclaré Lowell Wofford, architecte de solutions spécialiste principal d'AWS pour le calcul haute performance, lors du panel. Il a ajouté que technique matérielle fournissent à la fois la sécurité et les performances bare metal des machines virtuelles.

Intel construit fonctionnalités informatiques confidentielles comme Software Guard Extensions (SGX), une enclave verrouillée pour l'exécution de programmes, dans ses puces de serveur les plus rapides. Selon McVeigh d'Intel, une approche nonchalante des opérateurs incite le fabricant de puces à prendre de l'avance dans la sécurisation des systèmes hautes performances.

« Je me souviens de l'époque où la sécurité n'était pas importante dans Windows. Et puis ils ont réalisé "Si nous exposons cela et chaque fois que quelqu'un fait quoi que ce soit, il va s'inquiéter du vol de ses informations de carte de crédit", a déclaré McVeigh. « Il y a donc beaucoup d'efforts. Je pense que les mêmes choses doivent s'appliquer [au HPC]. »