CPDoS હુમલો જે CDN દ્વારા સેવા આપતા પૃષ્ઠોને અગમ્ય બનાવે છે

હેમ્બર્ગ અને કોલોનની યુનિવર્સિટીઓના સંશોધકો
વિકસિત કન્ટેન્ટ ડિલિવરી નેટવર્ક્સ અને કેશિંગ પ્રોક્સી પર એક નવી એટેક ટેકનિક - CPDoS (કેશ-પોઇઝન્ડ ડિનાયલ-ઓફ-સર્વિસ). આ હુમલો કેશ પોઈઝનિંગ દ્વારા નકારવા માટે પૃષ્ઠની ઍક્સેસની મંજૂરી આપે છે.

સમસ્યા એ હકીકતને કારણે છે કે CDNs કેશ માત્ર સફળતાપૂર્વક પૂર્ણ કરેલી વિનંતીઓ જ નહીં, પણ જ્યારે HTTP સર્વર ભૂલ પરત કરે છે ત્યારે પરિસ્થિતિ પણ ઊભી થાય છે. નિયમ પ્રમાણે, જો વિનંતીઓ બનાવવામાં સમસ્યા હોય, તો સર્વર 400 (ખરાબ વિનંતી) ભૂલ રજૂ કરે છે; એકમાત્ર અપવાદ IIS છે, જે ખૂબ મોટા હેડરો માટે 404 (મળ્યું નથી) ભૂલ રજૂ કરે છે. સ્ટાન્ડર્ડ માત્ર 404 (મળ્યું નથી), 405 (પદ્ધતિની મંજૂરી નથી), 410 (ગોન) અને 501 (અમલમાં નથી) કોડ્સ સાથેની ભૂલોને કેશ કરવાની મંજૂરી આપે છે, પરંતુ કેટલાક CDN એ કોડ 400 (ખરાબ વિનંતી) સાથે પ્રતિસાદોને પણ કેશ કરવાની મંજૂરી આપે છે, જે આધાર રાખે છે. મોકલેલી વિનંતી પર.

હુમલાખોરો ચોક્કસ રીતે ફોર્મેટ કરેલ HTTP હેડરો સાથે વિનંતી મોકલીને મૂળ સંસાધનને "400 ખરાબ વિનંતી" ભૂલ પરત કરવા માટેનું કારણ બની શકે છે. આ હેડરોને CDN દ્વારા ધ્યાનમાં લેવામાં આવતું નથી, તેથી પૃષ્ઠને ઍક્સેસ કરવામાં અસમર્થતા વિશેની માહિતી કેશ કરવામાં આવશે, અને સમયસમાપ્તિ સમાપ્ત થાય તે પહેલાં અન્ય તમામ માન્ય વપરાશકર્તા વિનંતીઓ ભૂલમાં પરિણમી શકે છે, તે હકીકત હોવા છતાં કે મૂળ સાઇટ સામગ્રી પ્રદાન કરે છે. કોઈપણ સમસ્યા વિના.

HTTP સર્વરને ભૂલ પરત કરવા માટે દબાણ કરવા માટે ત્રણ હુમલા વિકલ્પોની દરખાસ્ત કરવામાં આવી છે:

• HMO (HTTP મેથડ ઓવરરાઇડ) - હુમલાખોર "X-HTTP-Method-Override", "X-HTTP-Method" અથવા "X-Method-Override" હેડરો દ્વારા મૂળ વિનંતી પદ્ધતિને ઓવરરાઇડ કરી શકે છે, જે કેટલાક સર્વર્સ દ્વારા સમર્થિત છે, પરંતુ CDN માં ધ્યાનમાં લેવામાં આવતું નથી. ઉદાહરણ તરીકે, તમે મૂળ “GET” પદ્ધતિને “DELETE” પદ્ધતિમાં બદલી શકો છો, જે સર્વર પર પ્રતિબંધિત છે, અથવા “POST” પદ્ધતિ, જે સ્ટેટિક્સ માટે લાગુ પડતી નથી;
  

• HHO (HTTP હેડર ઓવરસાઇઝ) - હુમલાખોર હેડરનું કદ પસંદ કરી શકે છે જેથી કરીને તે સ્રોત સર્વરની મર્યાદાને ઓળંગી જાય, પરંતુ CDN પ્રતિબંધોમાં ન આવે. ઉદાહરણ તરીકે, Apache httpd હેડરનું કદ 8 KB સુધી મર્યાદિત કરે છે, અને Amazon Cloudfront CDN 20 KB સુધીના હેડરને મંજૂરી આપે છે;
  

• HMC (HTTP મેટા કેરેક્ટર) - હુમલાખોર વિનંતી (\n, \r, \a) માં વિશિષ્ટ અક્ષરો દાખલ કરી શકે છે, જે સ્રોત સર્વર પર અમાન્ય માનવામાં આવે છે, પરંતુ CDN માં અવગણવામાં આવે છે.
  

Amazon Web Services (AWS) દ્વારા ઉપયોગમાં લેવાતું ક્લાઉડફ્રન્ટ સીડીએન એ હુમલા માટે સૌથી વધુ સંવેદનશીલ હતું. એમેઝોને હવે ભૂલ કેશીંગને અક્ષમ કરીને સમસ્યાને ઠીક કરી છે, પરંતુ સંશોધકોને સુરક્ષા ઉમેરવામાં ત્રણ મહિનાથી વધુ સમય લાગ્યો છે. આ મુદ્દાએ Cloudflare, વાર્નિશ, Akamai, CDN77 અને પર પણ અસર કરી
ઝડપથી, પરંતુ તેમના દ્વારા હુમલો લક્ષ્ય સર્વર્સ સુધી મર્યાદિત છે જે IIS, ASP.NET, બાટલી и 1 રમો. તે નોંધ્યું છે, કે યુએસ ડિપાર્ટમેન્ટ ઓફ ડિફેન્સ ડોમેન્સનો 11%, HTTP આર્કાઇવ ડેટાબેઝમાંથી 16% URL અને એલેક્સા દ્વારા ક્રમાંકિત ટોચની 30 વેબસાઇટ્સમાંથી લગભગ 500% સંભવિત રીતે હુમલાને આધિન હોઈ શકે છે.

સાઇટ બાજુ પરના હુમલાને અવરોધિત કરવા માટેના ઉપાય તરીકે, તમે "કેશ-કંટ્રોલ: નો-સ્ટોર" હેડરનો ઉપયોગ કરી શકો છો, જે પ્રતિસાદ કેશીંગને પ્રતિબંધિત કરે છે. કેટલાક CDN માં, દા.ત.
CloudFront અને Akamai, તમે પ્રોફાઇલ સેટિંગ્સ સ્તર પર ભૂલ કેશીંગને અક્ષમ કરી શકો છો. સુરક્ષા માટે, તમે વેબ એપ્લીકેશન ફાયરવોલ (WAF, વેબ એપ્લિકેશન ફાયરવોલ) નો પણ ઉપયોગ કરી શકો છો, પરંતુ તે કેશીંગ હોસ્ટની સામે CDN બાજુએ અમલમાં મુકવા જોઈએ.

સોર્સ: opennet.ru