{"id":31415,"date":"2019-10-31T21:41:08","date_gmt":"2019-10-31T18:41:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vse-ochen-ploho-ili-novyj-vid-perehvata-trafika\/"},"modified":"2019-10-31T21:41:08","modified_gmt":"2019-10-31T18:41:08","slug":"vse-ochen-ploho-ili-novyj-vid-perehvata-trafika","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/vse-ochen-ploho-ili-novyj-vid-perehvata-trafika","title":{"rendered":"Det er meget d\u00e5rligt eller en ny form for trafikaflytning","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

13. marts i RIPE's arbejdsgruppe mod misbrug blev der fremsat et forslag<\/a><\/noindex> om at betragte BGP-hijacking som en overtr\u00e6delse af RIPE-politikken. Hvis forslaget vedtages, ville en internetudbyder, der blev angrebet ved hj\u00e6lp af trafikafsk\u00e6ring, f\u00e5 mulighed for at sende en s\u00e6rlig anmodning for at afsl\u00f8re gerningsmanden. Hvis ekspertgruppen samler tilstr\u00e6kkelige beviser, ville en s\u00e5dan LIR, der er kilde til BGP-hijacking, blive betragtet som en overtr\u00e6der og kunne miste sin LIR-status. Der var ogs\u00e5 nogle argumenter imod dette<\/a><\/noindex> \u00e6ndringer.<\/p>\n

I denne publikation \u00f8nsker vi at vise et eksempel p\u00e5 et angreb, hvor ikke kun den faktiske gerningsmand var under mistanke, men ogs\u00e5 hele listen over ber\u00f8rte pr\u00e6fikser. Desuden rejser et s\u00e5dant angreb igen sp\u00f8rgsm\u00e5l om motiverne bag fremtidige trafikafsk\u00e6ringer af denne art.
\n<\/a><\/noindex>
\nDe sidste par \u00e5r har medierne kun d\u00e6kket konflikter af typen MOAS (Multiple Origin Autonomous System) som BGP-hijacking. MOAS er et s\u00e6rligt tilf\u00e6lde, hvor to forskellige autonome systemer annoncerer konfliktende pr\u00e6fikser med de relevante ASN-numre i AS_PATH (den f\u00f8rste ASN i AS_PATH, herefter kaldet origin ASN). Men vi kan n\u00e6vne mindst 3 yderligere typer<\/a><\/noindex> af trafikafsk\u00e6ring, der g\u00f8r det muligt for en gerningsmand at manipulere AS_PATH-attributten med forskellige m\u00e5l, herunder for at omg\u00e5 moderne metoder til filtrering og overv\u00e5gning. En velkendt type angreb Pilosova-Kapela<\/a><\/noindex> er den seneste type s\u00e5dan afsk\u00e6ring, men ikke mindre betydningsfuld. Det er meget muligt, at vi har v\u00e6ret vidne til netop et s\u00e5dant angreb de seneste uger. Denne begivenhed har en forklarlig karakter og alvorlige konsekvenser.<\/p>\n

De, der s\u00f8ger en TL;DR-version, kan rulle ned til underoverskriften 'Den perfekte angreb'.<\/p>\n

Netv\u00e6rksbaggrund<\/h3>\n

(for at du bedre forst\u00e5r de processer, der er involveret i denne h\u00e6ndelse)<\/i><\/p>\n

Hvis du \u00f8nsker at sende et pakke og har flere pr\u00e6fikser i routingtabellen, der indeholder destinations-IP-adressen, vil du bruge ruten for pr\u00e6fikset med den maksimale l\u00e6ngde. Hvis der derimod findes flere forskellige ruter for et enkelt pr\u00e6fiks i routingtabellen, vil du v\u00e6lge den bedste (i henhold til mekanismen for valg af bedste rute).<\/p>\n

De eksisterende metoder til filtrering og overv\u00e5gning fors\u00f8ger at analysere ruter og tr\u00e6ffe beslutninger ved at analysere AS_PATH-attributten. Routeren kan \u00e6ndre denne attribut til enhver v\u00e6rdi under annoncering. Bare det at tilf\u00f8je ejerens ASN i starten af AS_PATH (som origin ASN) kan v\u00e6re tilstr\u00e6kkeligt til at omg\u00e5 de nuv\u00e6rende kildekontrolmekanismer. Desuden, hvis der er en rute fra det angrebne ASN til dig, opst\u00e5r muligheden for at udtr\u00e6kke og bruge AS_PATH for denne rute i dine andre annoncer. Enhver validering, der kun kontrollerer AS_PATH for dine skrabede annoncer, vil i sidste ende blive best\u00e5et.<\/p>\n

Der er ogs\u00e5 flere v\u00e6rd at n\u00e6vne begr\u00e6nsninger. For det f\u00f8rste, i tilf\u00e6lde af, at en overordnet udbyder filtrerer pr\u00e6fikser, kan din rute stadig blive filtreret (selv med et korrekt AS_PATH), hvis pr\u00e6fikset ikke tilh\u00f8rer din kundecone, der er oprettet hos upstream. For det andet \u2013 kan et gyldigt AS_PATH blive ugyldigt, hvis den oprettede rute annonceres i ukorrekte retninger, og dermed overtr\u00e6der routingpolitikken. Og endelig - enhver rute med et pr\u00e6fiks, der overtr\u00e6der ROA-l\u00e6ngden, kan betragtes som ugyldig.<\/p>\n

H\u00e6ndelse<\/h3>\n

\nFor et par uger siden modtog vi en klage fra en af brugerne. Vi s\u00e5 ruter med hans origin ASN og pr\u00e6fikser \\\/25, mens brugeren p\u00e5stod, at de ikke havde annonceret dem.<\/p>\n

TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.0\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.128\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.0\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.128\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.0\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.128\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.0\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.128\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||<\/code>
\nEksempler p\u00e5 annoncer fra begyndelsen af april 2019<\/i><\/p>\n

NTT's rute for pr\u00e6fikset \\\/25 g\u00f8r det s\u00e6rligt mist\u00e6nkeligt. Under h\u00e6ndelsen vidste LG NTT intet om denne rute. S\u00e5 ja, en eller anden operat\u00f8r skaber en hel AS_PATH for disse pr\u00e6fikser! En kontrol p\u00e5 andre routere fremh\u00e6ver en s\u00e6rlig ASN: AS263444. N\u00e5r vi ser p\u00e5 andre ruter med dette autonome system, st\u00e5r vi over for f\u00f8lgende situation:<\/p>\n

TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.0\/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.128\/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.24.0.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.24.128.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.26.0.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.26.128.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.64.96.0\/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.64.112.0\/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||<\/code>
\nFors\u00f8g at g\u00e6tte, hvad der er galt her<\/i><\/p>\n

Det ser ud til, at nogen har taget pr\u00e6fikset fra ruten, delt det op i to dele og annonceret ruten med den samme AS_PATH for disse to pr\u00e6fikser.<\/p>\n

TABLE_DUMP2|1554076800|B|xxx|263444|1.6.36.0\/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|263444|1.6.38.0\/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|61775|1.6.36.0\/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|61775|1.6.38.0\/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|28172|1.6.36.0\/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|28172|1.6.38.0\/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||<\/code>
\nEksempler p\u00e5 ruter for et af parene af delte pr\u00e6fikser<\/i><\/p>\n

Der opst\u00e5r straks flere sp\u00f8rgsm\u00e5l. Har nogen virkelig pr\u00f8vet denne type af affangning i praksis? Har nogen accepteret disse ruter? Hvilke pr\u00e6fikser blev ber\u00f8rt?<\/p>\n

Her begynder vores r\u00e6kke af fiaskoer og en ny runde af skuffelse over den nuv\u00e6rende tilstand af internettet.<\/p>\n

Vejen til fiasko<\/h3>\n

\nLad os tage det hele i r\u00e6kkef\u00f8lge. Hvordan kan vi identificere hvilke routere, der har accepteret s\u00e5danne omdirigerede ruter, og hvis trafik der kan omdirigeres allerede i dag? Vi t\u00e6nkte p\u00e5 at starte med pr\u00e6fikserne \/25, fordi de \"bare ikke kan have global udbredelse\". Som du m\u00e5ske g\u00e6tter \u2014 vi tog fejl. Denne metric viste sig at v\u00e6re alt for st\u00f8jende, og ruter med s\u00e5danne pr\u00e6fikser kan dukke op selv fra Tier-1 operat\u00f8rer. For eksempel har NTT omkring 50 s\u00e5danne pr\u00e6fikser, som de distribuerer til deres egne kunder. P\u00e5 den anden side er denne metric d\u00e5rlig, fordi s\u00e5danne pr\u00e6fikser kan blive filtreret, hvis operat\u00f8ren anvender filtrering af sm\u00e5 pr\u00e6fikser<\/a><\/noindex>, i alle retninger. Derfor er denne metode ikke velegnet til at finde alle operat\u00f8rer, hvis trafik blev omdirigeret som f\u00f8lge af en s\u00e5dan h\u00e6ndelse.<\/p>\n

En anden god id\u00e9 var at se p\u00e5 POV<\/a><\/noindex>. Is\u00e6r ruter med brud p\u00e5 maxLength-reglen for den relevante ROA. P\u00e5 den m\u00e5de kunne vi finde antallet af forskellige origin ASN med status Invalid, der var synlige for denne AS. Alligevel er der et \"lille\" problem. Gennemsnittet (medianen og moden) af dette tal (antallet af forskellige origin ASN) er omkring 150, og selv hvis vi filtrerer sm\u00e5 pr\u00e6fikser, vil det forblive over 70. Denne situation har en ret simpel forklaring: Der er kun nogle f\u00e5 operat\u00f8rer, der allerede anvender ROA-filtre med politikken \"droppere Invalid ruter\" p\u00e5 indgangspunkterne, s\u00e5 uanset hvor i den virkelige verden en rute med brud p\u00e5 ROA dukker op, kan den blive distribueret i alle retninger.<\/p>\n

De sidste to tilgange g\u00f8r det muligt at finde operat\u00f8rer, der har set vores h\u00e6ndelse (da den var stor nok), men generelt er de ikke anvendelige. Godt, men kan vi finde gerningsmanden? Hvad er de generelle kendetegn ved en s\u00e5dan manipulation af AS_PATH? Der er nogle grundl\u00e6ggende antagelser:<\/p>\n