Изтичането на BGP маршрут в Rostelecom доведе до прекъсване на свързаността на най-големите мрежи

В резултат на погрешно BGP съобщение, повече от 8800 чужди мрежови префикса се появи пренасочен чрез мрежата на Rostelecom, което доведе до краткотраен срив на маршрутизацията, прекъсване на мрежовата свързаност и проблеми с достъпа до някои услуги по света. проблем покрита повече от 200 автономни системи, притежавани от големи интернет компании и мрежи за доставка на съдържание, включително Akamai, Cloudflare, Digital Ocean, Amazon AWS, Hetzner, Level3, Facebook, Alibaba и Linode.

Погрешното съобщение беше направено от Rostelecom (AS12389) на 1 април в 22:28 (MSK), след това беше прието от доставчика на Rascom (AS20764) и по-нататък по веригата се разпространи до Cogent (AS174) и Level3 (AS3356), област, която обхваща почти всички интернет доставчици от първо ниво (Ниво-1). Услуги наблюдение BGP своевременно уведоми Ростелеком за проблема, така че инцидентът продължи около 10 минути (според други данни ефектите се наблюдават за около час).

Това не е първият инцидент с грешка от страна на Ростелеком. През 2017 г. в рамките на 5-7 минути чрез Rostelecom бяха пренасочени мрежи на най-големите банки и финансови услуги, включително Visa и MasterCard. И в двата случая източникът на проблема изглежда е обслужен работа, свързана с управление на трафика, например изтичане на маршрути може да възникне при организиране на вътрешен мониторинг, приоритизиране или отразяване на трафика, преминаващ през Rostelecom за определени услуги и CDN (поради увеличаване на натоварването на мрежата поради масова работа от дома в края на Март обсъдени въпросът за намаляване на приоритета за трафик на чужди услуги в полза на вътрешни ресурси). Например преди няколко години беше направен опит в Пакистан опаковане Подмрежите на YouTube на нулевия интерфейс доведоха до появата на тези подмрежи в съобщенията на BGP и потока на целия трафик на YouTube към Пакистан.

Интересно е, че в деня преди инцидента с Ростелеком, малкият доставчик „Нова реалност“ (AS50048) от града. Сумерля през Транстелеком беше обявено 2658 префикса, засягащи Orange, Akamai, Rostelecom и мрежите на повече от 300 компании. Изтичането на маршрута доведе до няколко вълни от пренасочване на трафика с продължителност няколко минути. В пика си проблемът засягаше до 13.5 милиона IP адреса. Забележимо глобално прекъсване беше избегнато благодарение на използването на ограничения на маршрута от Transtelecom за всеки клиент.

Подобни инциденти се случват и в интернет редовно и ще продължат, докато бъдат приложени навсякъде методи за оторизация BGP съобщения, базирани на RPKI (BGP Origin Validation), позволяващи получаването на съобщения само от собственици на мрежа. Без разрешение всеки оператор може да рекламира подмрежа с фиктивна информация за дължината на маршрута и да инициира транзит през себе си на част от трафика от други системи, които не прилагат филтриране на рекламите.

В същото време, в разглеждания инцидент, проверка с помощта на хранилището на RIPE RPKI се оказа безполезен. По стечение на обстоятелствата, три часа преди изтичането на BGP маршрута в Rostelecom, по време на процеса на актуализиране на софтуера RIPE, случайно изтрит 4100 ROA записа (RPKI Route Origin Authorization). Базата данни беше възстановена едва на 2 април и през цялото това време проверката не работеше за клиенти на RIPE (проблемът не засегна хранилищата на RPKI на други регистратори). Днес RIPE има нови проблеми и RPKI хранилище в рамките на 7 часа беше недостъпен.

Филтрирането, базирано на регистър, също може да се използва като решение за блокиране на течове IRR (Internet Routing Registry), който дефинира автономни системи, през които е разрешено маршрутизирането на определени префикси. Когато взаимодействате с малки оператори, за да намалите въздействието на човешките грешки, можете да ограничите максималния брой приети префикси за EBGP сесии (настройката за максимален префикс).

В повечето случаи инцидентите са резултат от случайни грешки на персонала, но напоследък има и целеви атаки, по време на които нападателите компрометират инфраструктурата на доставчиците организирам пренасочване и прихващане трафик за заместване конкретни сайтове чрез организиране на MiTM атака за замяна на DNS отговори.
За да направи по-трудно получаването на TLS сертификати по време на такива атаки, сертифициращият орган Let's Encrypt наскоро сменен към многопозиционна проверка на домейн с помощта на различни подмрежи. За да заобиколи тази проверка, атакуващият ще трябва да постигне едновременно пренасочване на маршрута за няколко автономни системи от доставчици с различни връзки нагоре, което е много по-трудно от пренасочването на един единствен маршрут.

Източник: opennet.ru