AWS - Nitro Enum

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Basic Information

AWS Nitro είναι μια σουίτα καινοτόμων τεχνολογιών που σχηματίζουν την υποκείμενη πλατφόρμα για τις περιπτώσεις AWS EC2. Εισήχθη από την Amazon για να ενισχύσει την ασφάλεια, την απόδοση και την αξιοπιστία, το Nitro αξιοποιεί προσαρμοσμένα hardware components και έναν ελαφρύ hypervisor. Απομονώνει πολλές από τις παραδοσιακές λειτουργίες εικονικοποίησης σε ειδικό hardware και software, ελαχιστοποιώντας την επιφάνεια επίθεσης και βελτιώνοντας την αποδοτικότητα πόρων. Με την εκφόρτωση των λειτουργιών εικονικοποίησης, το Nitro επιτρέπει στις περιπτώσεις EC2 να παρέχουν σχεδόν απόδοση bare-metal, καθιστώντας το ιδιαίτερα ευεργετικό για εφαρμογές που απαιτούν πολλούς πόρους. Επιπλέον, το Nitro Security Chip διασφαλίζει ειδικά την ασφάλεια του hardware και του firmware, ενισχύοντας περαιτέρω την ανθεκτική του αρχιτεκτονική.

Nitro Enclaves

AWS Nitro Enclaves παρέχει ένα ασφαλές, απομονωμένο υπολογιστικό περιβάλλον εντός των περιπτώσεων Amazon EC2, σχεδιασμένο ειδικά για την επεξεργασία εξαιρετικά ευαίσθητων δεδομένων. Αξιοποιώντας το AWS Nitro System, αυτές οι enclaves διασφαλίζουν ισχυρή απομόνωση και ασφάλεια, ιδανικές για διαχείριση εμπιστευτικών πληροφοριών όπως PII ή οικονομικά αρχεία. Διαθέτουν ένα μινιμαλιστικό περιβάλλον, μειώνοντας σημαντικά τον κίνδυνο έκθεσης δεδομένων. Επιπλέον, οι Nitro Enclaves υποστηρίζουν κρυπτογραφική πιστοποίηση, επιτρέποντας στους χρήστες να επαληθεύουν ότι εκτελείται μόνο εξουσιοδοτημένος κώδικας, κρίσιμο για τη διατήρηση αυστηρών προτύπων συμμόρφωσης και προστασίας δεδομένων.

Οι εικόνες Nitro Enclave τρέχουν από μέσα στις περιπτώσεις EC2 και δεν μπορείτε να δείτε από την κονσόλα ιστού AWS αν μια περίπτωση EC2 εκτελεί εικόνες σε Nitro Enclave ή όχι.

Nitro Enclave CLI installation

Ακολουθήστε όλες τις οδηγίες από την τεκμηρίωση. Ωστόσο, αυτές είναι οι πιο σημαντικές:

# Install tools
sudo amazon-linux-extras install aws-nitro-enclaves-cli -y
sudo yum install aws-nitro-enclaves-cli-devel -y

# Config perms
sudo usermod -aG ne $USER
sudo usermod -aG docker $USER

# Check installation
nitro-cli --version

# Start and enable the Nitro Enclaves allocator service.
sudo systemctl start nitro-enclaves-allocator.service && sudo systemctl enable nitro-enclaves-allocator.service

Nitro Enclave Images

Οι εικόνες που μπορείτε να εκτελέσετε στο Nitro Enclave βασίζονται σε εικόνες docker, οπότε μπορείτε να δημιουργήσετε τις εικόνες Nitro Enclave σας από εικόνες docker όπως:

# You need to have the docker image accesible in your running local registry
# Or indicate the full docker image URL to access the image
nitro-cli build-enclave --docker-uri <docker-img>:<tag> --output-file nitro-img.eif

Όπως μπορείτε να δείτε, οι εικόνες Nitro Enclave χρησιμοποιούν την επέκταση eif (Enclave Image File).

Η έξοδος θα μοιάζει με:

Using the locally available Docker image...
Enclave Image successfully created.
{
"Measurements": {
"HashAlgorithm": "Sha384 { ... }",
"PCR0": "e199261541a944a93129a52a8909d29435dd89e31299b59c371158fc9ab3017d9c450b0a580a487e330b4ac691943284",
"PCR1": "bcdf05fefccaa8e55bf2c8d6dee9e79bbff31e34bf28a99aa19e6b29c37ee80b214a414b7607236edf26fcb78654e63f",
"PCR2": "2e1fca1dbb84622ec141557dfa971b4f8ea2127031b264136a20278c43d1bba6c75fea286cd4de9f00450b6a8db0e6d3"
}
}

Run an Image

Σύμφωνα με την τεκμηρίωση, για να εκτελέσετε μια εικόνα enclave πρέπει να της αναθέσετε μνήμη τουλάχιστον 4 φορές το μέγεθος του αρχείου eif. Είναι δυνατόν να ρυθμίσετε τους προεπιλεγμένους πόρους που θα της δώσετε στο αρχείο.

/etc/nitro_enclaves/allocator.yaml

Πάντα να θυμάστε ότι πρέπει να κρατήσετε κάποιους πόρους για την κύρια EC2 παρουσία!

Μετά την κατανόηση των πόρων που πρέπει να δοθούν σε μια εικόνα και ακόμη και αφού έχετε τροποποιήσει το αρχείο ρύθμισης, είναι δυνατόν να εκτελέσετε μια εικόνα enclave με:

# Restart the service so the new default values apply
sudo systemctl start nitro-enclaves-allocator.service && sudo systemctl enable nitro-enclaves-allocator.service

# Indicate the CPUs and memory to give
nitro-cli run-enclave --cpu-count 2 --memory 3072 --eif-path hello.eif --debug-mode --enclave-cid 16

Καταμέτρηση Ενκλάβων

Αν παραβιάσετε έναν EC2 host, είναι δυνατόν να αποκτήσετε μια λίστα με τις τρέχουσες εικόνες ενκλάβων με:

nitro-cli describe-enclaves

Δεν είναι δυνατό να αποκτήσετε ένα shell μέσα σε μια εκτελούμενη εικόνα enclave γιατί αυτός είναι ο κύριος σκοπός της enclave, ωστόσο, αν χρησιμοποιήσατε την παράμετρο --debug-mode, είναι δυνατό να αποκτήσετε το stdout της με:

ENCLAVE_ID=$(nitro-cli describe-enclaves | jq -r ".[0].EnclaveID")
nitro-cli console --enclave-id ${ENCLAVE_ID}

Terminate Enclaves

Αν ένας επιτιθέμενος παραβιάσει μια EC2 instance, από προεπιλογή δεν θα μπορεί να αποκτήσει πρόσβαση σε shell μέσα σε αυτές, αλλά θα μπορεί να τις τερματίσει με:

nitro-cli terminate-enclave --enclave-id ${ENCLAVE_ID}

Vsocks

Ο μόνος τρόπος για να επικοινωνήσετε με μια enclave που εκτελεί εικόνα είναι χρησιμοποιώντας vsocks.

Virtual Socket (vsock) είναι μια οικογένεια socket στο Linux που έχει σχεδιαστεί ειδικά για να διευκολύνει την επικοινωνία μεταξύ εικονικών μηχανών (VMs) και των hypervisors τους, ή μεταξύ των VMs αυτών. Το vsock επιτρέπει αποδοτική, διπλής κατεύθυνσης επικοινωνία χωρίς να βασίζεται στο δίκτυο του host. Αυτό καθιστά δυνατή την επικοινωνία των VMs ακόμη και χωρίς ρυθμίσεις δικτύου, χρησιμοποιώντας ένα 32-bit Context ID (CID) και αριθμούς θυρών για να προσδιορίσουν και να διαχειριστούν τις συνδέσεις. Η API του vsock υποστηρίζει τόσο τύπους socket ροής όσο και datagram, παρόμοια με TCP και UDP, παρέχοντας ένα ευέλικτο εργαλείο για εφαρμογές επιπέδου χρήστη σε εικονικά περιβάλλοντα.

Επομένως, μια διεύθυνση vsock φαίνεται έτσι: <CID>:<Port>

Για να βρείτε τα CIDs των εικόνων enclave που εκτελούνται, μπορείτε απλά να εκτελέσετε την παρακάτω εντολή και να πάρετε το EnclaveCID:

nitro-cli describe-enclaves

[
{
"EnclaveName": "secure-channel-example",
"EnclaveID": "i-0bc274f83ade02a62-enc18ef3d09c886748",
"ProcessID": 10131,
    "EnclaveCID": 16,
    "NumberOfCPUs": 2,
"CPUIDs": [
1,
3
],
"MemoryMiB": 1024,
"State": "RUNNING",
"Flags": "DEBUG_MODE",
"Measurements": {
"HashAlgorithm": "Sha384 { ... }",
"PCR0": "e199261541a944a93129a52a8909d29435dd89e31299b59c371158fc9ab3017d9c450b0a580a487e330b4ac691943284",
"PCR1": "bcdf05fefccaa8e55bf2c8d6dee9e79bbff31e34bf28a99aa19e6b29c37ee80b214a414b7607236edf26fcb78654e63f",
"PCR2": "2e1fca1dbb84622ec141557dfa971b4f8ea2127031b264136a20278c43d1bba6c75fea286cd4de9f00450b6a8db0e6d3"
}
}
]

Σημειώστε ότι από τον host δεν υπάρχει κανένας τρόπος να γνωρίζετε αν ένα CID εκθέτει οποιαδήποτε θύρα! Εκτός αν χρησιμοποιήσετε κάποιο vsock port scanner όπως https://github.com/carlospolop/Vsock-scanner.

Vsock Server/Listener

Βρείτε εδώ μερικά παραδείγματα:

• https://github.com/aws-samples/aws-nitro-enclaves-workshop/blob/main/resources/code/my-first-enclave/secure-local-channel/server.py

Απλός Python Listener

```python #!/usr/bin/env python3

From

https://medium.com/@F.DL/understanding-vsock-684016cf0eb0

import socket

CID = socket.VMADDR_CID_HOST PORT = 9999

s = socket.socket(socket.AF_VSOCK, socket.SOCK_STREAM) s.bind((CID, PORT)) s.listen() (conn, (remote_cid, remote_port)) = s.accept()

print(f"Connection opened by cid={remote_cid} port={remote_port}")

while True: buf = conn.recv(64) if not buf: break

print(f"Received bytes: {buf}")

```markdown
</details>

# Using socat
socat VSOCK-LISTEN:<port>,fork EXEC:"echo Hello from server!"

Vsock Client

Examples:

• https://github.com/aws-samples/aws-nitro-enclaves-workshop/blob/main/resources/code/my-first-enclave/secure-local-channel/client.py