{"id":110728,"date":"2023-10-11T03:10:14","date_gmt":"2023-10-11T01:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-protokole-http-2-zadejstvovannaya-v-krupnejshej-ddos-atake"},"modified":"2023-10-11T03:10:14","modified_gmt":"2023-10-11T01:10:14","slug":"uyazvimost-v-protokole-http-2-zadejstvovannaya-v-krupnejshej-ddos-atake","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-protokole-http-2-zadejstvovannaya-v-krupnejshej-ddos-atake","title":{"rendered":"Sicherheitsanf\u00e4lligkeit im HTTP\/2-Protokoll, die in einem der gr\u00f6\u00dften DDoS-Angriffe ausgenutzt wurde","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Google hat den gr\u00f6\u00dften DDoS-Angriff auf seine Infrastruktur gemeldet, der mit einer Intensit\u00e4t von 398 Millionen Anfragen pro Sekunde durchgef\u00fchrt wurde. Dieser neue Angriff \u00fcbertrifft die vorherige Rekord-DDoS-Attacke um das Siebenfache, bei der Angreifer einen Verkehr von 47 Millionen Anfragen pro Sekunde erzeugen konnten. Zum Vergleich: Der gesamte Traffic im Web wird auf 1-3 Milliarden Anfragen pro Sekunde gesch\u00e4tzt. Neben Google waren auch Unternehmen wie Amazon und Cloudflare von dem Angriff betroffen. Die M\u00f6glichkeit eines neuen Angriffs h\u00e4ngt mit einer Schwachstelle im HTTP\/2-Protokoll (CVE-2023-44487) zusammen, die es erm\u00f6glicht, mit minimaler Belastung f\u00fcr den Client einen riesigen Strom von Anfragen an den Server zu senden. <\/p>\n

Eine neue Angriffstechnik tr\u00e4gt den Namen \u201eRapid Reset\u201c und nutzt die in HTTP\/2 bereitgestellten Multiplexing-M\u00f6glichkeiten aus, um einen Anfragefluss innerhalb einer bereits bestehenden Verbindung zu erzeugen, ohne neue Netzwerkverbindungen \u00f6ffnen zu m\u00fcssen und ohne auf die Best\u00e4tigung des Erhalts der Pakete zu warten. Die Schwachstelle wird als Folge eines Fehlers im HTTP\/2-Protokoll angesehen, dessen Spezifikation besagt, dass bei dem Versuch, zu viele Streams zu \u00f6ffnen, nur die Streams, die das Limit \u00fcberschreiten, abgebrochen werden sollen, aber die gesamte Netzwerkverbindung nicht geschlossen werden darf. <\/p>\n

\u00c4hnlich wie bei fr\u00fcheren Methoden zur Durchf\u00fchrung von Angriffen auf HTTP\/2 werden auch bei diesem neuen Angriff viele Streams innerhalb einer einzigen Verbindung generiert. Der entscheidende Unterschied bei diesem Angriff besteht darin, dass anstelle des Wartens auf eine Antwort nach jeder gesendeten Anfrage ein Frame mit dem Flag RST_STREAM gesendet wird, der die Anfrage sofort abbricht. Das fr\u00fchzeitige Abbrechen der Anfrage erm\u00f6glicht es, den R\u00fcckverkehr zum Client zu vermeiden und die auf HTTP-Servern vorhandenen Einschr\u00e4nkungen bez\u00fcglich der maximalen Anzahl gleichzeitig in einer HTTP\/2-Verbindung ge\u00f6ffneten Streams zu umgehen. Dadurch h\u00f6rt der Umfang der an den HTTP-Server gesendeten Anfragen auf, von den Verz\u00f6gerungen zwischen dem Senden der Anfrage und dem Empfang der Antwort (RTT, round-trip time) abh\u00e4ngig zu sein und richtet sich nur noch nach der Bandbreite der Verbindung.

\"Sicherheitsanf\u00e4lligkeit<\/center> <\/p>\n

Da f\u00fcr einen Angriff auf der Client-Seite lediglich das Versenden von Anfragen ohne Antworten erforderlich ist, kann ein Angriff mit minimalen Kosten durchgef\u00fchrt werden. So wurde beispielsweise ein von Cloudflare registrierter Angriff mit 201 Millionen Anfragen pro Sekunde mithilfe eines relativ kleinen Botnets mit 20.000 Computern durchgef\u00fchrt. Auf der Seite Server<\/a> sind die Kosten f\u00fcr die Verarbeitung eingehender Anfragen deutlich h\u00f6her, obwohl sie abgebrochen werden, da Operationen wie das Zuweisen von Datenstrukturen f\u00fcr neue Datenstr\u00f6me, das Parsen der Anfrage, das Entpacken der Header und die Zuordnung der URL zu den Ressourcen erforderlich sind. Bei einem Angriff auf Reverse Proxys kann der Angriff auf die Backends ausgeweitet werden, da der Proxy die Anfrage m\u00f6glicherweise an das Backend weiterleiten kann, bevor das RST_STREAM-Frame bearbeitet wird. <\/p>\n

Ein Angriff kann nur auf anf\u00e4llige Server mit HTTP\/2-Unterst\u00fctzung durchgef\u00fchrt werden (ein Skript zur \u00dcberpr\u00fcfung der Anf\u00e4lligkeit von Servern, ein Toolkit zur Durchf\u00fchrung des Angriffs). Angriffe auf HTTP\/3 sind bisher nicht dokumentiert, und die M\u00f6glichkeit, sie durchzuf\u00fchren, wurde vollst\u00e4ndig nicht analysiert, jedoch empfehlen Vertreter von Google Entwicklern Server<\/a> Implementierung von HTTP\/3-Schutzma\u00dfnahmen, \u00e4hnlich denen zur Abwehr von Angriffen auf HTTP\/2, hinzuf\u00fcgen. <\/p>\n

Anf\u00e4lligkeit f\u00fcr Schwachstellen und Verf\u00fcgbarkeit von Patches f\u00fcr HTTP-Server und Proxys: <\/p>\n