Analisis Spectre Cloudflare Workers untuk isolasi serverless

Spectre adalah hantu keamanan yang menolak tetap tinggal di ruang bawah tanah. Bertahun-tahun setelah semua orang berjanji untuk berhenti membiarkan eksekusi spekulatif tergeletak seperti pistol paku yang sudah terisi, Cloudflare kembali untuk mengajukan pertanyaan yang berguna sekaligus tidak nyaman: apa yang terjadi ketika serangannya bersifat jarak jauh, multi-tenant, dan menargetkan infrastruktur Workers? Ini penting karena serverless telah melatih para pembangun untuk berpikir dalam abstraksi: deploy sebuah fungsi, biarkan platform menjadwalkannya, lalu lanjutkan hidup Anda. Spectre tidak peduli dengan lapisan abstraksi Anda. Ia hidup di bawah API, tempat CPU berspekulasi, cache berbisik, dan isolasi menjadi kurang seperti tembok dan lebih seperti negosiasi yang sangat mahal.

Apa yang Ditinjau Kembali oleh Cloudflare Menurut

Cloudflare Blog, Martin Schwarzl dan Albert Pedersen mengatakan Cloudflare menilai ulang serangan Spectre jarak jauh pada infrastruktur Workers-nya pada 2024 dan 2025. Postingan itu menjelaskan primitive serangan baru termasuk gadget Spectre, timer jarak jauh, pencapaian co-location, dan pertahanan yang semakin memperkuat Cloudflare Workers. Itulah frasa penting yang bersembunyi di semak-semak teknis: timer jarak jauh ditambah co-location mengubah side channel dari proyek sains era browser menjadi masalah desain platform. Cloudflare membingkai ini sebagai riset dan penguatan, bukan sebagai pemberitahuan pelanggaran, dan memang di situlah jenis pekerjaan ini seharusnya berada. Kisah keamanan terbaik adalah kisah ketika paper yang menakutkan berubah menjadi tinjauan arsitektur sebelum siapa pun harus mengirim haiku penyesalan kepada pelanggan. Di suatu tempat, template siaran pers yang mengatakan “kami menangani keamanan dengan serius” tetap tidak terpakai, dan untuk sekali ini saya bersyukur. Pelajaran bagi pembangun bukanlah “panik soal Workers.” Pelajarannya adalah bahwa platform multi-tenant harus berasumsi bahwa kelas exploit lama akan dikemas ulang ketika peneliti menemukan alat pengukuran baru. Pelaku ancaman sangat menyukai teknik yang sudah pensiun tetapi memiliki rute baru untuk masuk kembali ke gedung.

Mengapa Naluri Era Browser Tidak Cukup Dokumentasi Cloudflare Workers mengatakan

runtime tersebut dirancang sejak awal dengan mempertimbangkan kekhawatiran side channel, terutama karena Workers menampung banyak tenant pada infrastruktur bersama. Dokumentasi itu menyatakan bahwa Workers dirancang agar kode tidak mungkin mengukur waktu eksekusinya sendiri secara lokal: Date.now() dikunci saat kode sedang berjalan, tidak ada timer lain yang disediakan, dan Cloudflare tidak memberikan akses ke concurrency seperti multi-threading. Itu tidak glamor, tetapi flossing juga tidak, dan keduanya mencegah rasa sakit mahal di kemudian hari. Dokumentasi Cloudflare Workers yang sama menekankan poin yang seharusnya dicetak di mug untuk arsitek platform: pilihan-pilihan ini tidak dapat diperkenalkan secara retroaktif ke platform seperti browser web karena pilihan tersebut menghapus API yang diandalkan aplikasi yang sudah ada. Inilah mengapa keamanan serverless tidak bisa direduksi menjadi “gunakan isolate” lalu selesai. Jika runtime Anda mengekspos permukaan timing dan concurrency yang cukup besar, kisah isolasi Anda mungkin sedang menulis cek yang dengan senang hati akan dicairkan oleh cache CPU Anda. Bagi developer, ini adalah kasus langka ketika API yang tidak ada merupakan fitur, bukan manajemen produk yang menyerah sebelum makan siang. Model timer yang kurang nyaman dapat menjadi bagian dari batas keamanan. Itu adalah tradeoff arsitektural, dan jauh lebih mudah dibuat saat platform baru lahir daripada setelah jutaan aplikasi membangun kuil dependensi di sekitar jam yang presisi.

Isolasi Adalah Permainan Biaya Dalam riset Dynamic Process Isolation Cloudflare

bersama TU Graz, Kenton Varda menulis bahwa “tidak ada pertahanan lengkap yang diketahui terhadap Spectre” terlepas dari apakah tenant diisolasi dengan isolate, proses, container, atau mesin virtual. Postingan Cloudflare yang sama mengatakan tujuan praktisnya adalah menggunakan banyak alat untuk meningkatkan biaya serangan Spectre hingga menjadi tidak layak dilakukan. Terjemahannya: tidak ada mantra penahanan ajaib, hanya lapisan, gesekan, dan cukup banyak gangguan untuk membuat alur karakter penyerang terasa sangat tidak memuaskan. Poin itu berguna di luar Cloudflare. Pembangun yang mengevaluasi platform edge atau serverless apa pun sebaiknya bertanya apa yang dihapus oleh runtime, apa yang diukurnya, apa yang dibagikannya, dan bagaimana platform menangani penempatan tenant. Jika kisah isolasi vendor dimulai dan berakhir dengan satu primitive, itu bukan model, itu brosur yang memakai helm. Ini juga alasan penilaian ulang Cloudflare bersifat konstruktif. Meninjau kembali serangan Spectre jarak jauh berarti memperlakukan platform sebagai sistem hidup, bukan etalase piala dari mitigasi masa lalu. Utang keamanan tidak selalu berupa kode lama; kadang-kadang itu adalah asumsi lama yang belum divalidasi ulang oleh siapa pun sejak generasi CPU terakhir membuat semuanya aneh lagi.

Apa Artinya Sebenarnya untuk Anda Bagi tim aplikasi yang menggunakan platform

serverless, kesimpulan praktisnya adalah memperlakukan side channel mikroarsitektural sebagai bagian dari due diligence vendor. Tanyakan apakah platform membatasi timing beresolusi tinggi, membatasi primitive concurrency, dan merancang isolasi tenant dengan mempertimbangkan pengukuran jarak jauh. Anda tidak perlu menjadi peneliti eksekusi spekulatif untuk mengajukan pertanyaan pengadaan yang lebih tajam, meskipun itu akan meningkatkan selera Anda terhadap mimpi buruk. Bagi pembangun platform, Cloudflare Workers adalah pelajaran utama: isolasi harus dirancang sebelum kompatibilitas mengeras. Begitu pelanggan bergantung pada timer presisi, perilaku eksekusi bersama, atau fitur concurrency, menghapusnya berubah menjadi krisis migrasi dengan logo. Waktu terbaik untuk membuat side channel membosankan adalah saat desain runtime; waktu terbaik kedua adalah pada tinjauan arsitektur berikutnya. Hal yang perlu diperhatikan berikutnya adalah apakah lebih banyak platform serverless dan edge akan menerbitkan riset yang sama spesifiknya tentang side channel jarak jauh. Internet tidak menjadi lebih aman hanya karena kita menyatakan Spectre sebagai berita lama. Internet menjadi lebih aman ketika platform terus membuka kembali berkas kasus, memperbarui model ancaman, dan membuat biaya serangan lebih besar daripada hadiahnya.