La sicurezza è un cittadino di seconda classe nel calcolo ad alte prestazioni

SUPERCOMPUTING 2022 — Come tenere lontani i malintenzionati da alcuni dei computer più veloci del mondo che memorizzano alcuni dei dati più sensibili?

Questa è stata una preoccupazione crescente alla conferenza Supercomputing 2022 del mese scorso. Raggiungere le migliori prestazioni di sistema è stato un tema caldo, come ogni anno. Ma la ricerca della velocità è arrivata a costo di mettere in sicurezza alcuni di questi sistemi, che eseguono carichi di lavoro critici nel campo della scienza, dei modelli meteorologici, delle previsioni economiche e della sicurezza nazionale.

L'implementazione della sicurezza sotto forma di hardware o software in genere comporta una riduzione delle prestazioni, che rallenta le prestazioni complessive del sistema e l'output dei calcoli. La spinta per una maggiore potenza nel supercalcolo ha reso la sicurezza un ripensamento.

“Per la maggior parte, si tratta di calcolo ad alte prestazioni. E a volte alcuni di questi meccanismi di sicurezza ridurranno le tue prestazioni perché stai facendo alcuni controlli ed equilibri ", afferma Jeff McVeigh, vicepresidente e direttore generale di Super Compute Group presso Intel.

"C'è anche un 'Voglio assicurarmi di ottenere le migliori prestazioni possibili e se posso inserire altri meccanismi per controllare come questo viene eseguito in modo sicuro, lo farò'", afferma McVeigh.

La sicurezza ha bisogno di incentivi

La sicurezza delle prestazioni e dei dati è una lotta costante tra i fornitori che vendono i sistemi ad alte prestazioni e gli operatori che eseguono l'installazione.

"Molti fornitori sono riluttanti ad apportare queste modifiche se il cambiamento ha un impatto negativo sulle prestazioni del sistema", ha affermato Yang Guo, informatico presso il National Institutes for Standards and Technology (NIST), durante un sessione del pannello al Supercalcolo 2022.

La mancanza di entusiasmo per la protezione dei sistemi informatici ad alte prestazioni ha spinto il governo degli Stati Uniti a intervenire, con il NIST che ha creato un gruppo di lavoro per affrontare il problema. Guo guida il gruppo di lavoro HPC del NIST, che si concentra sullo sviluppo di linee guida, progetti e misure di salvaguardia per la sicurezza dei sistemi e dei dati.

Il gruppo di lavoro HPC è stato creato nel gennaio 2016 sulla base di quello dell'allora presidente Barack Obama Ordine Esecutivo 13702, che ha lanciato la National Strategic Computing Initiative. L'attività del gruppo è ripresa dopo una serie di attacchi ai supercomputer in Europa, alcuni dei quali sono stati coinvolti nella ricerca sul COVID-19.

La sicurezza HPC è complicata

La sicurezza nell'informatica ad alte prestazioni non è semplice come installare antivirus e scansionare le e-mail, ha affermato Guo.

I computer ad alte prestazioni sono risorse condivise, con i ricercatori che prenotano il tempo e si connettono ai sistemi per condurre calcoli e simulazioni. I requisiti di sicurezza variano in base alle architetture HPC, alcune delle quali possono dare la priorità al controllo degli accessi o hardware come storage, CPU più veloci o più memoria per i calcoli. L'obiettivo principale è proteggere il contenitore e disinfettare i nodi di elaborazione che riguardano i progetti su HPC, ha affermato Guo.

Le agenzie governative che si occupano di dati top-secret adottano un approccio in stile Fort Knox per proteggere i sistemi interrompendo il normale accesso alla rete o wireless. L'approccio "air-gapped" aiuta a garantire che il malware non invada il sistema e che solo gli utenti autorizzati con autorizzazione abbiano accesso a tali sistemi.

Le università ospitano anche supercomputer, che sono accessibili a studenti e accademici che conducono ricerche scientifiche. Gli amministratori di questi sistemi in molti casi hanno un controllo limitato sulla sicurezza, che è gestito dai fornitori di sistemi che vogliono vantarsi per aver costruito i computer più veloci del mondo.

Quando affidi la gestione dei sistemi ai fornitori, questi daranno la priorità alla garanzia di determinate capacità prestazionali, ha affermato Rickey Gregg, responsabile del programma di sicurezza informatica presso il Dipartimento della Difesa degli Stati Uniti Programma di modernizzazione del calcolo ad alte prestazioni, durante il panel.

“Una delle cose su cui sono stato educato molti anni fa è che più soldi spendiamo per la sicurezza, meno soldi abbiamo per le prestazioni. Stiamo cercando di assicurarci di avere questo equilibrio", ha detto Gregg.

Durante una sessione di domande e risposte dopo il panel, alcuni amministratori di sistema hanno espresso frustrazione per i contratti dei fornitori che danno la priorità alle prestazioni del sistema e riducono la sicurezza. Gli amministratori di sistema hanno affermato che l'implementazione di tecnologie di sicurezza interne equivarrebbe a una violazione del contratto con il fornitore. Ciò ha mantenuto il loro sistema esposto.

Alcuni membri del panel hanno affermato che i contratti potrebbero essere modificati con un linguaggio in cui i fornitori consegnano la sicurezza al personale in loco dopo un certo periodo di tempo.

Diversi approcci alla sicurezza

Lo show floor di SC ha ospitato agenzie governative, università e venditori che parlavano di supercalcolo. Le conversazioni sulla sicurezza si sono svolte per lo più a porte chiuse, ma la natura delle installazioni di supercalcolo ha fornito una panoramica dei vari approcci alla protezione dei sistemi.

Allo stand dell'Università del Texas presso il Texas Advanced Computing Center (TACC) di Austin, che ospita più supercomputer nel Elenco Top500 dei supercomputer più veloci al mondo, l'attenzione si è concentrata sulle prestazioni e sul software. I supercomputer TACC vengono scansionati regolarmente e il centro dispone di strumenti per prevenire le invasioni e l'autenticazione a due fattori per autorizzare gli utenti legittimi, hanno affermato i rappresentanti.

Il Dipartimento della Difesa ha un approccio più simile a un "giardino recintato", con utenti, carichi di lavoro e risorse di supercalcolo segmentati in un'area di confine DMZ con pesanti protezioni e monitoraggio di tutte le comunicazioni.

Il Massachusetts Institute of Technology (MIT) sta adottando un approccio zero-trust alla sicurezza del sistema eliminando l'accesso root. Utilizza invece una voce della riga di comando chiamata sudo per fornire privilegi di root agli ingegneri HPC. Il comando sudo fornisce una traccia delle attività che gli ingegneri HPC intraprendono sul sistema, ha affermato Albert Reuther, membro dello staff senior del Lincoln Laboratory Supercomputing Center del MIT, durante la tavola rotonda.

"Quello che cerchiamo davvero è l'auditing di chi è alla tastiera, chi era quella persona", ha detto Reuther.

Miglioramento della sicurezza a livello di fornitore

L'approccio generale al calcolo ad alte prestazioni non è cambiato da decenni, con una forte dipendenza da gigantesche installazioni in loco con rack interconnessi. Ciò è in netto contrasto con il mercato dei computer commerciali, che si sta spostando fuori sede e nel cloud. I partecipanti alla fiera hanno espresso preoccupazione per la sicurezza dei dati una volta che lasciano i sistemi locali.

AWS sta cercando di modernizzare l'HPC portandolo nel cloud, che può aumentare le prestazioni su richiesta mantenendo un livello di sicurezza più elevato. A novembre, la società ha introdotto HPC7g, un insieme di istanze cloud per il calcolo ad alte prestazioni su Elastic Compute Cloud (EC2). EC2 impiega uno speciale controller chiamato Nitro V5 che fornisce un livello informatico riservato per proteggere i dati mentre vengono archiviati, elaborati o in transito.

"Utilizziamo varie aggiunte hardware alle piattaforme tipiche per gestire cose come la sicurezza, i controlli di accesso, l'incapsulamento della rete e la crittografia", ha dichiarato Lowell Wofford, Principal Specialist Solution Architect di AWS per l'High Performance Computing, durante il panel. Ha aggiunto che tecniche hardware fornire sia la sicurezza che le prestazioni bare-metal nelle macchine virtuali.

Intel sta costruendo funzioni informatiche riservate come Software Guard Extensions (SGX), un'enclave bloccata per l'esecuzione del programma, nei suoi chip server più veloci. Secondo McVeigh di Intel, un approccio sconsiderato da parte degli operatori sta spingendo il produttore di chip a fare un passo avanti nella protezione dei sistemi ad alte prestazioni.

“Ricordo quando la sicurezza non era importante in Windows. E poi si sono resi conto 'Se lo rendiamo visibile e ogni volta che qualcuno fa qualcosa, si preoccuperà del furto dei dati della sua carta di credito'”, ha detto McVeigh. “Quindi c'è molto impegno lì. Penso che le stesse cose debbano essere applicate [in HPC].”