Serverless computing: a security perspective

Abstract

In this article we review the current serverless architectures, abstract and categorize their founding principles, and provide an in-depth security analysis. In particular, we: show the security shortcomings of the analyzed serverless architectural paradigms; point to possible countermeasures; and, highlight several research directions for practitioners, Industry, and Academia.

Efficiency in the serverless cloud paradigm: A survey on the reusing and approximation aspects

“…175 With numerous components and the nature of function triggering, serverless computing exposes a large attack surface compared to its predecessors. 176 Poorly-designed functions meant for internal purposes often lack authentication and can be attacked via a direct triggering or an injection attack. 177 Meanwhile, the fact that serverless functions are stateless and short-lived limits the time available to attackers and the impact of successful attacks.…”

“…Security is one of the criteria for developers in selecting a serverless platform 175 . With numerous components and the nature of function triggering, serverless computing exposes a large attack surface compared to its predecessors 176 . Poorly‐designed functions meant for internal purposes often lack authentication and can be attacked via a direct triggering or an injection attack 177 .…”

Serverless Computing (“Computación sin servidor”)

“…La idea central de BaaS es proporcionar a los desarrolladores de software un conjunto de servicios y herramientas (por ejemplo, bases de datos, API (Application Program Interface), almacenamiento de archivos o notificaciones push) para facilitar y acelerar el desarrollo de aplicaciones móviles y web. En cuanto a FaaS, se centra en permitir a los desarrolladores de software desplegar y ejecutar sus propias funciones en la nube (sin perjuicio que que las funciones también pueden utilizar servicios adicionales como los ofrecidos en BaaS) (Marin et al, 2022).…”

“…Una plataforma "sin servidores" se compone al menos de cinco componentes: (Marin et al, 2022) • Funciones -Las funciones suelen ejecutarse dentro de un entorno de ejecución aislado y recién generado (por ejemplo, un contenedor) dentro de un nodo operacional. Los adversarios externos suelen llevar a cabo sus ataques desde fuera de la nube aprovechando los campos de entrada controlados por el usuario en cualquiera de las APIs existentes que se ofrecen para gestionar eventos.…”

“…Los adversarios externos suelen llevar a cabo sus ataques desde fuera de la nube aprovechando los campos de entrada controlados por el usuario en cualquiera de las APIs existentes que se ofrecen para gestionar eventos. Estos ataques pueden permitir a los atacantes ejecutar comandos arbitrarios dentro de la función con el fin de recuperar datos confidenciales (por ejemplo, tokens de sesión almacenados en tablas de entorno) o manipular la ejecución de cualquier función (o servicio en la nube que reciba datos de entrada maliciosamente elaborados y no aplique técnicas adecuadas de aseguramiento de datos de entrada) (Marin et al, 2022).…”