Onderzoekers KU Leuven hacken hyperbeveiligde cloudsoftware met paneeltje van 50 euro: "Zeker niet zomaar afgaan op de beweringen van technologiebedrijven"

De versleutelde berichten die je verstuurt via WhatsApp , je adresboek in Signal , je medisch dossier of bankgegevens: allemaal worden ze verwerkt in de cloud. Die hypergevoelige privégegevens krijgen daarbij een extra beveiligingslaag mee. In computerjargon heet zoiets een confidential cloud.

Het zijn technologiereuzen als Intel of AMD die daarvoor de hardware maken, zeg maar de apparatuur. Ze garanderen de aanbieders van beveiligde clouddiensten, zoals Amazon, Microsoft of Google, en hun gebruikers dat niemand die gegevens kan inkijken of stelen. Die gebruikers betalen daarvoor een meerprijs.

Maar ook die strengbeveiligde confidential cloud kan gehackt worden, ontdekten onderzoekers van de KU Leuven. Ze kregen daarvoor ondersteuning van het onderzoeksprogramma cybersecurity van de Vlaamse overheid.

Ze hackten de confidential cloud niet met software, maar met een module die bestaat uit enkele computerpaneeltjes, en die je voor 50 euro kan samenstellen. Die module kan je volgens de onderzoekers "in enkele seconden" in de geheugenpoort klikken van de cloudserver die je wil aanvallen.

De module komt terecht tussen de processor en het geheugen van de server, en kan daar alle communicatie onderscheppen.

Je moet dus al tot bij de server zelf raken, in dezelfde kamer, om deze vorm van hacking uit te kunnen voeren. Dat zal de gemiddelde hacker niet zo snel lukken. Toch gaat het wel degelijk om een beveiligingsprobleem, zeggen de onderzoekers.

"Intel en AMD bijvoorbeeld, de grootste Amerikaanse bouwers van chips, zeggen dat je je geen zorgen meer hoeft te maken als je gebruik maakt van hun diensten", legt professor en computerwetenschapper Jo Van Bulck uit. "Ze hebben hun processors immers uitgerust met de meest hoogtechnologische beveiliging, waardoor zelfs zij niet aan die gegevens kunnen."

"In de praktijk moeten die bedrijven toch een vrij groot aantal mensen vertrouwen. Denk bijvoorbeeld aan het personeel van Microsoft, maar ook de schoonmaakploeg, en zelfs de overheid. In de Verenigde Staten voert de geheime dienst NSA al de druk op Microsoft op om achterpoortjes te krijgen. Daar maakt de veiligheids-community zich wel degelijk zorgen over."

Niet dat de onderzoekers echt de servers van Google of Amazon hebben aangevallen. Ze hebben hun experiment uitgevoerd op enkele testservers in een laboratorium, die weliswaar op dezelfde manier gebouwd zijn.

Wel hebben ze de technologiebedrijven AMD en Intel vooraf geïnformeerd over hun experiment. Het was immers hun veiligheidstechnologie die ze zouden proberen kraken, zij het op nagebouwde servers.

"AMD en Intel hebben intussen gereageerd en onze bevindingen bevestigd", zegt Jesse De Meulemeester, die als elektronisch ingenieur het stukje hardware heeft ontworpen. "Alleen zeggen ze dat ze er nu nog niet veel aan kunnen doen, omdat het een hardwareprobleem is."

Hoe doe je dat, die hardware extra beveiligen? Een kluis errond met wat extra hangijzers? "Nee, dat kan subtieler", lacht De Meulemeester. "De communicatie tussen de processor en het geheugen moet beter beveiligd worden. 10 jaar geleden waren die zeer goed beveiligd, maar bij het opschalen van de technologie hebben ze een paar beveiligingsstappen laten vallen. Wij zeggen nu: dat hadden ze niet mogen doen."

In 2024 had hetzelfde team ook al eens beveiligingssoftware gekraakt van dezelfde bedrijven. Die gaten zijn intussen wel gedicht.

Moeten we ons hier zorgen over maken? "Nee, we willen de lezer nu ook niet ongerust maken", zegt Van Bulck. "Maar het is wel onze taak als onderzoeker om de beweringen van de grote aanbieders tegen het licht te houden."

"Het is nog altijd waardevolle technologie. Maar wij, en zeker overheden, mogen niet zomaar afgaan op de beweringen van die technologiebedrijven. Ze moeten heel erg opletten dat ze niet de fout maken om zomaar alles naar Amerikaanse clouds te duwen."