{"id":31415,"date":"2019-10-31T21:41:08","date_gmt":"2019-10-31T18:41:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vse-ochen-ploho-ili-novyj-vid-perehvata-trafika\/"},"modified":"2019-10-31T21:41:08","modified_gmt":"2019-10-31T18:41:08","slug":"vse-ochen-ploho-ili-novyj-vid-perehvata-trafika","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/vse-ochen-ploho-ili-novyj-vid-perehvata-trafika","title":{"rendered":"K\u00f5ik on v\u00e4ga halvasti v\u00f5i uus liik liikluse pealtkuulamist","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

13. m\u00e4rtsil esitati RIPE t\u00f6\u00f6tajate r\u00fchmale ettepanek, et kaaluda BGP-manipulatsiooni (hjjack) RIPE poliitikarikkumisena. Kui ettepanek aktsepteeritakse, saaks internetiteenuse pakkuja, kes on langenud liiklust\u00f5rke ohvriks, esitada spetsiaalse taotluse r\u00fcndaja paljastamiseks. Kui ekspertr\u00fchm kogub piisavalt t\u00f5endavaid aineid, loetakse BGP-manipulatsiooni allikas rikkumiseks ja tal v\u00f5ib toimuma LIR-i staatuse kaotus. M\u00f5ningaid argumente<\/a><\/noindex> kaaluda BGP-\u00f6sitamise (hjjack) k\u00e4sitlemist RIPE poliitika rikkumisena. Kui ettepanek vastu v\u00f5etakse, saaks internetiteenuse pakkuja, keda r\u00fcnnati liikluse j\u00e4lgimise teel, esitada erilise taotluse kurjategija paljastamiseks. Kui eksperdir\u00fchm kogub piisavalt t\u00f5endavaid andmeid, v\u00f5iks selle BGP-\u00f6sitamise allikas LIR olla rikkumisega s\u00fc\u00fcdistatav ja tal oleks v\u00f5imalik LIR staatust kaotada. Samuti esitati m\u00f5ned argumendid oli ka sellise vastu.<\/a><\/noindex> muudatused.<\/p>\n

Selles v\u00e4ljaandes tahame n\u00e4idata r\u00fcndevaba n\u00e4ite, kus k\u00fcsimusele ei olnud mitme r\u00fcndaja seas mitte ainult tegelik pahatahtlik, vaid ka kogu kannatavate eelistuste loetelu. Veelgi enam, selline r\u00fcnnak t\u00f5statab j\u00e4lle k\u00fcsimusi tulevaste liiklust\u00f5kete motiivide \u00fcle.
\n<\/a><\/noindex>
\nViimase paariaasta jooksul on pressis kajastatud BGP-manipulatsioone peamiselt MOAS (Multiple Origin Autonomous System) konfliktide osana. MOAS on erijuht, kus kaks erinevat autonoomset s\u00fcsteemi kuulutavad vastuolulisi eelistusi vastava ASN-numbri jaotuskava AS_PATH sees (esimene ASN AS_PATHis, edaspidi \u2014 origin ASN). Kuid me saame tuua v\u00e4lja v\u00e4hemalt 3 t\u00e4iendavat t\u00fc\u00fcpi<\/a><\/noindex> liiklust\u00f5kkeid, mis v\u00f5imaldavad r\u00fcndajal AS_PATH-i atribuuti erinevatel eesm\u00e4rkidel manipuleerida, sealhulgas ka t\u00e4nap\u00e4evaste filtreerimise ja j\u00e4lgimise meetodite \u00fcmberhindamiseks. Tuntud r\u00fcnnaku Pilosova-Kapela<\/a><\/noindex> on viimane sellise r\u00fcnnaku liik, kuid mitte sugugi v\u00e4hemt\u00e4htis. T\u00f5en\u00e4oliselt oleme just sellist r\u00fcnnakut j\u00e4lginud viimastel n\u00e4dalatel. Sellisel juhul on seletatav olemus ja piisavalt t\u00f5sised tagaj\u00e4rjed.<\/p>\n

Need, kes otsivad TL;DR versiooni, v\u00f5ivad kerida pealkirjani \"T\u00e4iuslik r\u00fcnnak\".<\/p>\n

V\u00f5rgutaust<\/h3>\n

(et saaksite paremini m\u00f5ista selles intsidentis osalenud protsesse)<\/i><\/p>\n

Kui soovite paketti saata ja teil on mitu eelistust marsruuditabelis, mis sisaldavad siht-IP-aadressi, kasutate marsruuti, millel on maksimaalne pikkus. Kui aga marsruuditabelis on mitmeid erinevaid marsruute sama eelistuse jaoks, valite parima (vastavalt parima marsruudi valimise mehhanismile).<\/p>\n

Praegused filtreerimise ja j\u00e4lgimise l\u00e4henemised p\u00fc\u00fcavad anal\u00fc\u00fcsida marsruute ja teha otsuseid, anal\u00fc\u00fcsides AS_PATH atribuuti. Marsruuter v\u00f5ib selle atribuudi ainuekspositsioonis muuta igasuguste koondite kaudu. Lihtsast ASN-i omaniku lisamisest AS_PATHi alguses (nagu origin ASN) v\u00f5ib piisata, et m\u00f6\u00f6da minna praegustest allika kontrollimismehhanismidest. Veelgi enam, kui r\u00fcndamisel on marsruut r\u00fcnnatava ASN-i juurde, on v\u00f5imalus selle marsruudi AS_PATHi k\u00e4tte saada ja kasutada oma teiste kuulutustes. Iga autentimisprotsess AS_PATH-i jaoks teie muudetud kuulutustes saavutatakse l\u00f5puks.<\/p>\n

Samuti on m\u00f5ned v\u00e4\u00e4rilised mainimists\u00fckkimised. Esiteks, kui \u00fclemine pakkuja filtreerib eelistusi, v\u00f5ib teie marsruut ikkagi blokeerida (isegi korrektsest AS_PATH-ist), kui eelistus ei kuulu teie kliendi koondisse, mis on seadistatud \u00fclesvoo pakkujaga. Teiseks \u2014 kehtiv AS_PATH v\u00f5ib muutuda kehtetuks, kui loodud marsruut kuulutatakse vale suunaga, ja sellega rikutakse marsruutimise poliitikat. Ja l\u00f5puks \u2014 iga marsruut, mille eelisus rikub ROA pikkust, v\u00f5ib olla kehtetu.<\/p>\n

Incidents<\/h3>\n

\nM\u00f5ni n\u00e4dal tagasi saime kaebuse \u00fchelt kasutajalt. N\u00e4gime marsruute tema origin ASN-iga ja eelistustega \/25, samas kui kasutaja v\u00e4itis, et ta pole neid kuulutanud.<\/p>\n

TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.0\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.128\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.0\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.128\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.0\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.128\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.0\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.128\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||<\/code>
\nAprilli alguse kuulutuste n\u00e4ited<\/i><\/p>\n

NTT teel eelistuseks \/25 teeb selle eriti kahtlaseks. Selle intsidentide k\u00e4igus ei teadnud LG NTT sellest marsruudist midagi. Ehkki jah, m\u00f5ni operaator genereerib terve AS_PATH nende eelistuste jaoks! Kontollides teistes marsruuterites, saate tuvastada \u00fche erilisi ASN: AS263444. Vaadates teisi marsruute selle autonoomse s\u00fcsteemi kohta, oleme kokku puutunud j\u00e4rgmise olukorraga:<\/p>\n

TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.0\/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.128\/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.24.0.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.24.128.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.26.0.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.26.128.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.64.96.0\/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.64.112.0\/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||<\/code>
\nProovige \u00e4ra arvata, mis siin valesti on.<\/i><\/p>\n

Tundub, et keegi on v\u00f5tnud eelistuse marsruudist, jaganud selle kaheks ja kuulutanud marsruudi sama AS_PATHiga nende kahe eelistuse jaoks.<\/p>\n

TABLE_DUMP2|1554076800|B|xxx|263444|1.6.36.0\/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|263444|1.6.38.0\/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|61775|1.6.36.0\/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|61775|1.6.38.0\/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|28172|1.6.36.0\/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|28172|1.6.38.0\/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||<\/code>
\nN\u00e4ited marsruutidest \u00fche jagatud eelistuse paari jaoks<\/i><\/p>\n

T\u00f5statub mitu k\u00fcsimust. Kas keegi on tegelikult proovinud sellist t\u00fc\u00fcpi manipulatsioone praktikas? Kas keegi on neid marsruute vastu v\u00f5tnud? Millised eelistused olid m\u00f5jutatud?<\/p>\n

Siit algab meie eba\u00f5nnestumiste jada ja veel \u00fcks pettumuste ring praeguste interneti tervise seisukohalt.<\/p>\n

Eba\u00f5nnestumiste tee<\/h3>\n

\nK\u00f5igist asjadest j\u00e4rjekorras. Kuidas saame m\u00e4\u00e4rata, millised ruuterid on selliseid h\u00e4kitud marsruute vastu v\u00f5tnud ja kelle liiklust saab juba t\u00e4na suunata? Otsustasime alustada prefixidest \/25, kuna need \u201eei saa lihtsalt globaalselt levida\u201c. Kuidas te v\u00f5ite arvata - me eksisime tugevalt. See m\u00f5\u00f5dik osutus \u00fclem\u00e4\u00e4ra l\u00e4rmakaks ja sellised marsruudid v\u00f5ivad ilmneda isegi Tier-1 operaatoritelt. N\u00e4iteks, NTT-l on umbes 50 sellist prefixit, mida see levitab oma klientidele. Teisest k\u00fcljest on see m\u00f5\u00f5dik halb, kuna sellised prefixid v\u00f5ivad olla filtreeritud, kui operaator rakendab v\u00e4ikeste prefixide filtrit<\/a><\/noindex>, igas suunas. Seet\u00f5ttu ei sobi see meetod k\u00f5ikide operaatorite leidmiseks, kelle liiklus suunati sellise juhtumi tulemusena.<\/p>\n

Veel \u00fcks hea idee oli vaadata POV<\/a><\/noindex>. Eriti marsruutide osas, mis rikuvad vastava ROA maxLength reeglit. Nii saaksime leida erinevate origin ASN-de arvu, millel on invalid staatus ja mis olid antud AS-i n\u00e4htavad. Siiski on olemas \"v\u00e4ike\" probleem. Selle arvu (erinevate origin ASN-de) keskmine v\u00e4\u00e4rtus (mediaan ja mood) on umbes 150 ja isegi kui filtreerime v\u00e4ikesed prefixid v\u00e4lja, j\u00e4\u00e4b see \u00fcle 70. See olukord on t\u00e4iesti lihtsasti seletatav: on vaid m\u00f5ned operaatorid, kes juba rakendavad ROA filtreid poliitikaga \u201cl\u00fclita Invalid marsruudid v\u00e4lja\u201d sisenemise punktides, seega s\u00f5ltumata sellest, kus reaalses maailmas ilmub ROA rikkuv marsruut, v\u00f5ib see liikuda igas suunas.<\/p>\n

Viimane kaks l\u00e4henemist v\u00f5imaldab leida operaatorid, kes n\u00e4gid meie juhtumit (sest see oli piisavalt suur), kuid \u00fcldiselt ei ole need rakendatavad. H\u00e4sti, aga kas saame leida kurjategijat? Millised on sellise AS_PATH manipuleerimise peamised omadused? On mitmeid p\u00f5hilisi oletusi:<\/p>\n