{"id":35550,"date":"2019-10-31T22:04:58","date_gmt":"2019-10-31T19:04:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/pochemu-internet-do-sih-por-onlajn\/"},"modified":"2019-10-31T22:04:58","modified_gmt":"2019-10-31T19:04:58","slug":"pochemu-internet-do-sih-por-onlajn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/pochemu-internet-do-sih-por-onlajn","title":{"rendered":"Pourquoi Internet est-il toujours en ligne ?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'Internet semble \u00eatre une structure solide, ind\u00e9pendante et ind\u00e9fectible. En th\u00e9orie, la r\u00e9silience du r\u00e9seau suffirait \u00e0 survivre \u00e0 une explosion nucl\u00e9aire. En r\u00e9alit\u00e9, Internet peut \u00eatre perturb\u00e9 par un simple petit routeur. Tout cela parce qu'Internet est un empilement de contradictions, de vuln\u00e9rabilit\u00e9s, d'erreurs et de vid\u00e9os de chatons. La base d'Internet, le protocole BGP, pr\u00e9sente de nombreux probl\u00e8mes. Il est \u00e9tonnant qu'il soit encore en vie. En plus des erreurs pr\u00e9sentes dans Internet lui-m\u00eame, ceux qui le sabotent ne manquent pas : grands fournisseurs d'acc\u00e8s, entreprises, \u00c9tats et attaques DDoS. Que faire face \u00e0 cela et comment vivre avec ?<\/p>\n

\"Pourquoi
\n
\nLa r\u00e9ponse est connue Alexey Outchakin<\/b> (Night_Snake<\/a><\/noindex>) - le leader de l'\u00e9quipe d'ing\u00e9nieurs r\u00e9seau chez IQ Option. Sa principale t\u00e2che est de garantir l'accessibilit\u00e9 de la plateforme aux utilisateurs. Dans l'analyse de la pr\u00e9sentation d'Alexey \u00e0\u00a0Saint HighLoad++ 2019<\/a><\/noindex> , nous allons discuter de BGP, des attaques DDoS, de l'interrupteur Internet, des erreurs des fournisseurs, de la d\u00e9centralisation et des cas o\u00f9 un petit routeur a mis Internet en veille. \u00c0 la fin - quelques conseils pour survivre \u00e0 tout cela.
\n<\/a><\/noindex>
\n

\r\n \"Lire\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Le jour o\u00f9 Internet a \u00e9chou\u00e9<\/h2>\n

\nJe vais ne citer que quelques incidents o\u00f9 la connectivit\u00e9 d'Internet a \u00e9t\u00e9 rompue. Cela suffira pour avoir une image compl\u00e8te.<\/p>\n

\u00ab Incident AS7007 \u00bb<\/b>. La premi\u00e8re fois qu'Internet a \u00e9chou\u00e9, c'\u00e9tait en avril 1997. Dans le logiciel d'un routeur du syst\u00e8me autonome 7007, il y avait une erreur. \u00c0 un moment donn\u00e9, le routeur a annonc\u00e9 \u00e0 ses voisins sa table de routage interne et a envoy\u00e9 la moiti\u00e9 du r\u00e9seau dans un trou noir.<\/p>\n

\u00ab Le Pakistan contre YouTube \u00bb<\/b>. En 2008, de courageux gars du Pakistan ont d\u00e9cid\u00e9 de bloquer YouTube chez eux. Ils l'ont fait tellement bien que le monde entier s'est retrouv\u00e9 sans vid\u00e9os de chatons.<\/p>\n

\u00ab La capture des pr\u00e9fixes VISA, MasterCard et Symantec par Rostelecom \u00bb<\/b>. En 2017, Rostelecom a accidentellement commenc\u00e9 \u00e0 annoncer les pr\u00e9fixes VISA, MasterCard et Symantec. En cons\u00e9quence, le trafic financier a \u00e9t\u00e9 dirig\u00e9 via des canaux contr\u00f4l\u00e9s par le fournisseur. La fuite a \u00e9t\u00e9 de courte dur\u00e9e, mais cela a \u00e9t\u00e9 d\u00e9sagr\u00e9able pour les entreprises financi\u00e8res.<\/p>\n

\u00ab Google contre le Japon \u00bb<\/b>. En ao\u00fbt 2017, Google a commenc\u00e9 \u00e0 annoncer sur une partie de ses uplinks les pr\u00e9fixes de grands fournisseurs japonais NTT et KDDI. Le trafic a \u00e9t\u00e9 envoy\u00e9 \u00e0 Google comme transit, probablement par erreur. Comme Google n'est pas un fournisseur et ne fait pas passer le trafic transit, une grande partie du Japon a \u00e9t\u00e9 laiss\u00e9e sans Internet.<\/p>\n

\u00ab DV LINK a captur\u00e9 les pr\u00e9fixes de Google, Apple, Facebook, Microsoft \u00bb<\/b>. En 2017, le fournisseur russe DV LINK a commenc\u00e9 \u00e0 annoncer pour une raison quelconque les r\u00e9seaux de Google, Apple, Facebook, Microsoft et d'autres grands acteurs.<\/p>\n

\u00abeNet des \u00c9tats-Unis a pris le contr\u00f4le des pr\u00e9fixes AWS Route53 et MyEtherwallet\u00bb<\/b>. En 2018, un fournisseur de l'Ohio ou l'un de ses clients a annonc\u00e9 les r\u00e9seaux d'Amazon Route53 et du portefeuille crypto MyEtherwallet. L'attaque a r\u00e9ussi : m\u00eame avec un certificat auto-sign\u00e9, un avertissement s'affichant \u00e0 l'utilisateur lorsqu'il acc\u00e9dait au site MyEtherwallet, de nombreux portefeuilles ont \u00e9t\u00e9 d\u00e9tourn\u00e9s et une partie des cryptomonnaies a \u00e9t\u00e9 vol\u00e9e.<\/p>\n

Il y a eu plus de 14 000 incidents de ce type rien qu'en 2017 ! Le r\u00e9seau est toujours d\u00e9centralis\u00e9, donc tout ne tombe pas et tout le monde. Mais les incidents se produisent par milliers, et tous sont li\u00e9s au protocole BGP, sur lequel repose Internet.<\/p>\n

Les probl\u00e8mes de BGP<\/h2>\n

\nProtocole BGP - Border Gateway Protocol<\/b>, d\u00e9crit pour la premi\u00e8re fois en 1989 par deux ing\u00e9nieurs d'IBM et de Cisco Systems sur trois \u00ab serviettes \u00bb - des feuilles de format A4. Ces \u00ab serviettes \u00bb<\/a><\/noindex> reposent encore au si\u00e8ge de Cisco Systems \u00e0 San Francisco comme une relique du monde des r\u00e9seaux.<\/p>\n

Au c\u0153ur du protocole se trouve l'interaction entre les syst\u00e8mes autonomes<\/b>\u00a0\u2014 Autonomous Systems ou abr\u00e9g\u00e9 AS. Un syst\u00e8me autonome est simplement un certain ID, derri\u00e8re lequel des r\u00e9seaux IP sont enregistr\u00e9s dans un registre public. Un routeur avec cet ID peut annoncer ces r\u00e9seaux au monde. Par cons\u00e9quent, tout itin\u00e9raire sur Internet peut \u00eatre repr\u00e9sent\u00e9 sous la forme d'un vecteur appel\u00e9 AS Path<\/b>. Le vecteur se compose de num\u00e9ros de syst\u00e8mes autonomes \u00e0 travers lesquels il faut passer pour atteindre le r\u00e9seau de destination.<\/p>\n

Par exemple, il existe un r\u00e9seau compos\u00e9 d'un certain nombre de syst\u00e8mes autonomes. Il faut passer du syst\u00e8me AS65001 au syst\u00e8me AS65003. Le chemin d'un syst\u00e8me est repr\u00e9sent\u00e9 par le chemin AS sur le sch\u00e9ma. Il se compose de deux syst\u00e8mes autonomes : 65002 et 65003. Pour chaque adresse destination, il existe un vecteur AS Path compos\u00e9 des num\u00e9ros des syst\u00e8mes autonomes que nous devons traverser.<\/p>\n

\"Pourquoi
\n
\nAlors, quels sont les probl\u00e8mes de BGP ?<\/p>\n

BGP est un protocole de confiance<\/h3>\n

\nLe protocole BGP est bas\u00e9 sur la confiance. Cela signifie que nous faisons par d\u00e9faut confiance \u00e0 notre voisin. C'est une caract\u00e9ristique de nombreux protocoles qui ont \u00e9t\u00e9 d\u00e9velopp\u00e9s au tout d\u00e9but d'Internet. Comprenons ce que signifie \u00ab faire confiance \u00bb.<\/p>\n

Pas d'authentification du voisin<\/b>. Formellement, il existe MD5, mais MD5 en 2019 - eh bien...<\/p>\n

Pas de filtrage<\/b>. BGP a des filtres et ils sont d\u00e9crits, mais ils ne sont pas utilis\u00e9s, ou mal utilis\u00e9s. Je vais expliquer plus tard pourquoi.<\/p>\n

Tr\u00e8s facile de configurer le voisinage<\/b>. La configuration du voisinage dans le protocole BGP presque sur n'importe quel routeur - quelques lignes de configuration.<\/p>\n

Aucun droit de gestion de BGP requis<\/b>. Pas besoin de passer des examens qui valideront vos comp\u00e9tences. Personne ne vous retirera le droit de configurer BGP en \u00e9tant ivre.<\/p>\n

Deux probl\u00e8mes principaux<\/h3>\n

\nD\u00e9tournements de pr\u00e9fixes - prefix hijacks<\/b>. Le d\u00e9tournement de pr\u00e9fixe consiste \u00e0 annoncer un r\u00e9seau qui ne vous appartient pas, comme dans le cas de MyEtherwallet. Nous avons pris certains pr\u00e9fixes, convenu avec le fournisseur ou pirat\u00e9 son r\u00e9seau, et \u00e0 travers lui, nous annon\u00e7ons ces r\u00e9seaux.<\/p>\n

Fuites de routes - route leaks<\/b>. Les fuites sont un peu plus compliqu\u00e9es. Une fuite est un changement de AS Path<\/b>. Dans le meilleur des cas, le changement entra\u00eenera un d\u00e9lai plus long, car il faut emprunter un itin\u00e9raire plus long ou par un lien moins charg\u00e9. Dans le pire des cas, cela pourrait entra\u00eener un incident similaire \u00e0 celui de Google et du Japon.<\/p>\n

Google lui-m\u00eame n'est pas un op\u00e9rateur et n'est pas un syst\u00e8me autonome de transit. Mais lorsqu'il a annonc\u00e9 \u00e0 son fournisseur les r\u00e9seaux des op\u00e9rateurs japonais, le trafic via Google sur AS Path \u00e9tait vu comme plus prioritaire. Le trafic a \u00e9t\u00e9 redirig\u00e9 vers l\u00e0 et a \u00e9t\u00e9 abandonn\u00e9 simplement parce que les param\u00e8tres de routage au sein de Google sont plus complexes que de simples filtres \u00e0 la fronti\u00e8re.<\/p>\n

Pourquoi les filtres ne fonctionnent-ils pas ?<\/h3>\n

\nPersonne ne s'en soucie<\/b>. C'est la principale raison - tout le monde s'en fiche. L'administrateur d'un petit fournisseur ou d'une entreprise qui s'est connect\u00e9e \u00e0 un fournisseur via BGP a pris MikroTik, l'a configur\u00e9 pour BGP et ne sait m\u00eame pas qu'il existe des filtres \u00e0 configurer.<\/p>\n

Erreurs de configuration<\/b>. Quelque chose a \u00e9t\u00e9 d\u00e9bogu\u00e9, une erreur a \u00e9t\u00e9 faite dans le masque, le mauvais r\u00e9seau a \u00e9t\u00e9 configur\u00e9 - et voil\u00e0, une erreur de plus.<\/p>\n

Aucune possibilit\u00e9 technique<\/b>. Par exemple, les fournisseurs de services ont de nombreux clients. Id\u00e9alement, il faudrait mettre \u00e0 jour automatiquement les filtres pour chaque client - suivre l'apparition d'un nouveau r\u00e9seau, savoir s'il a lou\u00e9 son r\u00e9seau \u00e0 quelqu'un. Suivre cela est difficile, le faire manuellement est encore plus difficile. Par cons\u00e9quent, ils mettent simplement des filtres rel\u00e2ch\u00e9s ou ne mettent pas de filtres du tout.<\/p>\n

Exceptions<\/b>. Il y a des exceptions pour les clients pr\u00e9f\u00e9r\u00e9s et importants. Surtout dans le cas des interconnexions entre op\u00e9rateurs. Par exemple, TransTeleCom et Rostelecom disposent de nombreux r\u00e9seaux et entre eux se trouve une interconnexion. Si l'interconnexion tombe, cela ne sera bon pour personne, donc les filtres sont assouplis ou compl\u00e8tement supprim\u00e9s.<\/p>\n

Informations obsol\u00e8tes ou inexactes dans l'IRR<\/b>. Les filtres sont bas\u00e9s sur des informations qui sont inscrites dans\u00a0IRR \u2014 Registre Internet Routing<\/b>. Ce sont des registres des registraires Internet r\u00e9gionaux. Souvent, ces registres contiennent des informations obsol\u00e8tes ou inexactes, ou les deux.<\/p>\n

Qui sont ces registraires ?<\/h3>\n

\"Pourquoi
\n
\nTous les adresses Internet appartiennent \u00e0 des organisations. IANA \u2014 Internet Assigned Numbers Authority<\/b>. Lorsque vous achetez un r\u00e9seau IP chez quelqu'un, vous n'achetez pas des adresses, mais le droit de les utiliser. Les adresses sont une ressource immat\u00e9rielle, et par convention, elles appartiennent toutes \u00e0 l'agence IANA.<\/p>\n

Le syst\u00e8me fonctionne ainsi. L'IANA d\u00e9l\u00e8gue la gestion des adresses IP et des num\u00e9ros de syst\u00e8mes autonomes \u00e0 cinq registraires r\u00e9gionaux. Ceux-ci attribuent des syst\u00e8mes autonomes. LIR \u2014 registraires Internet locaux<\/b>. Ensuite, les LIR attribuent des adresses IP aux utilisateurs finaux.<\/p>\n

Le d\u00e9savantage du syst\u00e8me est que chaque registraire r\u00e9gional tient ses registres \u00e0 sa mani\u00e8re. Chacun a sa propre vision sur les informations qui doivent \u00eatre contenues dans les registres, qui doit les v\u00e9rifier ou pas. En cons\u00e9quence, il en r\u00e9sulte le d\u00e9sordre que nous constatons actuellement.<\/p>\n

Comment peut-on encore lutter contre ces probl\u00e8mes ?<\/h3>\n

\nIRR \u2014 qualit\u00e9 moyenne<\/b>. Avec l'IRR c'est clair \u2014 tout est mauvais.<\/p>\n

Communaut\u00e9s BGP<\/b>. C'est un attribut qui est d\u00e9crit dans le protocole. Nous pouvons, par exemple, attacher une communaut\u00e9 sp\u00e9ciale \u00e0 notre annonce, pour que le voisin n'envoie pas nos r\u00e9seaux \u00e0 ses propres voisins. Lorsque nous avons une liaison P2P, nous \u00e9changeons uniquement nos r\u00e9seaux. Pour \u00e9viter qu'une route ne sorte par inadvertance vers d'autres r\u00e9seaux, nous attachons une communaut\u00e9.<\/p>\n

Les communaut\u00e9s ne sont pas transitives<\/b>. C'est toujours un accord entre deux parties, et c'est leur d\u00e9faut. Nous ne pouvons pas attacher n'importe quelle communaut\u00e9, \u00e0 l'exception de celle qui est accept\u00e9e par d\u00e9faut par tous. Nous ne pouvons pas \u00eatre s\u00fbrs que cette communaut\u00e9 sera accept\u00e9e et interpr\u00e9t\u00e9e correctement. Donc, dans le meilleur des cas, si vous parvenez \u00e0 vous entendre avec votre uplink, il comprendra ce que vous voulez par communaut\u00e9. Mais il se peut que le voisin ne le comprenne pas, ou que l'op\u00e9rateur supprime simplement votre balise, et vous n'atteindrez pas ce que vous souhaitiez.<\/p>\n

RPKI + ROA ne r\u00e9sout qu'une petite partie des probl\u00e8mes<\/b>. RPKI \u2014 c'est Resource Public Key Infrastructure\u00a0<\/b> \u2014 un cadre sp\u00e9cial pour la signature des informations de routage. Bonne id\u00e9e pour obliger les LIR et leurs clients \u00e0 maintenir une base de donn\u00e9es d'adresses pr\u00e9cise. Mais il y a un probl\u00e8me avec cela.<\/p>\n

RPKI est aussi un syst\u00e8me hi\u00e9rarchique de cl\u00e9s publiques. IANA poss\u00e8de une cl\u00e9 \u00e0 partir de laquelle sont g\u00e9n\u00e9r\u00e9es les cl\u00e9s RIR, et de celles-ci les cl\u00e9s LIR ? avec lesquelles elles signent leur espace d'adressage via des ROAs - Autorisations d'Origine de Route :<\/p>\n

\u2014 Je certifie que ce pr\u00e9fixe sera annonc\u00e9 au nom de cette autonomie.<\/i><\/p>\n

En plus des ROA, il existe d'autres objets, mais nous en parlerons plus tard. Cela semble \u00eatre une bonne et utile chose. Cependant, cela ne nous prot\u00e8ge pas du tout contre les fuites et ne r\u00e9sout pas tous les probl\u00e8mes de d\u00e9tournement de pr\u00e9fixes. C'est pourquoi les acteurs du march\u00e9 ne se d\u00e9p\u00eachent pas de l'adopter. Pourtant, des entreprises majeures comme AT&T et de grands IX ont d\u00e9j\u00e0 assur\u00e9 que les pr\u00e9fixes avec des enregistrements ROA invalides seraient rejet\u00e9s. <\/p>\n

Ils pourront le faire, mais pour l'instant nous avons un nombre \u00e9norme de pr\u00e9fixes qui ne sont pas sign\u00e9s. D'une part, il est incertain s'ils sont annonc\u00e9s de mani\u00e8re valide. D'autre part, nous ne pouvons pas les rejeter par d\u00e9faut car nous ne sommes pas s\u00fbrs que ce soit correct ou non.<\/p>\n

Qu'y a-t-il d'autre ?<\/h3>\n

\nBGPSec<\/b>. C'est une id\u00e9e g\u00e9niale con\u00e7ue par des acad\u00e9miques pour un r\u00e9seau de poneys roses. Ils ont dit :<\/p>\n

\u2014 Nous avons RPKI + ROA - un m\u00e9canisme de certification de la signature de l'espace d'adressage. Cr\u00e9ons un attribut BGP distinct et appelons-le BGPSec Path. Chaque routeur signera ses annonces avec sa propre signature qu'il transmettra \u00e0 ses voisins. Ainsi, nous obtiendrons un chemin de confiance \u00e0 partir de la cha\u00eene d'annonces sign\u00e9es que nous pourrons v\u00e9rifier.<\/i><\/p>\n

En th\u00e9orie, c'est bien, mais en pratique, il y a beaucoup de probl\u00e8mes. BGPSec casse beaucoup de m\u00e9canismes BGP existants concernant le choix du next-hop et la gestion du trafic entrant\/sortant directement sur le routeur. BGPSec ne fonctionnera pas tant que 95% des participants du march\u00e9 ne l'adopteront pas, ce qui est en soi une utopie.<\/p>\n

BGPSec a d'\u00e9normes probl\u00e8mes de performance. Sur le mat\u00e9riel actuel, la vitesse de v\u00e9rification des annonces est d'environ 50 pr\u00e9fixes par seconde. En comparaison, la table actuelle d'internet avec 700 000 pr\u00e9fixes prendra 5 heures \u00e0 se synchroniser, pendant lesquelles 10 autres changements se produiront.<\/p>\n

BGP Open Policy (BGP bas\u00e9 sur les r\u00f4les)<\/b>. Une nouvelle proposition bas\u00e9e sur le mod\u00e8le Gao-Rexford<\/b>. Ce sont deux chercheurs qui \u00e9tudient le BGP.<\/p>\n

Le mod\u00e8le Gao-Rexford se r\u00e9sume ainsi. Pour simplifier, il y a un petit nombre de types d'interactions dans le cas du BGP :<\/p>\n