Rostelecom માં BGP રૂટ લીક થવાથી સૌથી મોટા નેટવર્કની કનેક્ટિવિટી ખોરવાઈ ગઈ

ભૂલભરેલી BGP જાહેરાતના પરિણામે, 8800 થી વધુ વિદેશી નેટવર્ક ઉપસર્ગ ચાલુ રીડાયરેક્ટ Rostelecom નેટવર્ક દ્વારા, જે ટૂંકા ગાળા માટે રૂટીંગના પતન, નેટવર્ક કનેક્ટિવિટીમાં વિક્ષેપ અને વિશ્વભરમાં કેટલીક સેવાઓની ઍક્સેસમાં સમસ્યાઓ તરફ દોરી જાય છે. સમસ્યા આવરી અકામાઈ, ક્લાઉડફ્લેર, ડિજિટલ ઓશન, એમેઝોન AWS, હેટ્ઝનર, લેવલ200, ફેસબુક, અલીબાબા અને લિનોડ સહિત મુખ્ય ઈન્ટરનેટ કંપનીઓ અને સામગ્રી વિતરણ નેટવર્કની માલિકીની 3 થી વધુ સ્વાયત્ત સિસ્ટમ્સ.

રોસ્ટેલીકોમ (AS12389) દ્વારા 1 એપ્રિલના રોજ 22:28 (MSK) દ્વારા ભૂલભરેલી જાહેરાત કરવામાં આવી હતી, ત્યારબાદ Rascom પ્રદાતા (AS20764) દ્વારા લેવામાં આવી હતી અને આગળ સાંકળ સાથે કોજેન્ટ (AS174) અને લેવલ3 (AS3356), જેનું ક્ષેત્ર લગભગ તમામ ઈન્ટરનેટ પ્રદાતાઓને આવરી લે છે પ્રથમ સ્તર (ટાયર-એક્સ્યુએનએક્સ). સેવાઓ મોનિટોરિન્ગા BGPએ તરત જ રોસ્ટેલિકોમને સમસ્યા વિશે જાણ કરી, જેથી આ ઘટના લગભગ 10 મિનિટ સુધી ચાલી હતી. અન્ય ડેટા અસર લગભગ એક કલાક સુધી જોવા મળી હતી).

રોસ્ટેલિકોમની બાજુમાં ભૂલનો સમાવેશ કરતી આ પહેલી ઘટના નથી. 2017 માં Rostelecom દ્વારા 5-7 મિનિટની અંદર રીડાયરેક્ટ કરવામાં આવ્યા હતા વિઝા અને માસ્ટરકાર્ડ સહિત સૌથી મોટી બેંકો અને નાણાકીય સેવાઓના નેટવર્ક. બંને ઘટનાઓમાં, સમસ્યાનું મૂળ હોવાનું જણાય છે પીરસવામાં આવે છે ટ્રાફિક મેનેજમેન્ટને લગતું કામ, ઉદાહરણ તરીકે, અમુક સેવાઓ અને CDN માટે આંતરિક મોનિટરિંગ, પ્રાધાન્યતા અથવા ટ્રાફિકનું મિરરિંગ ગોઠવતી વખતે રૂટનું લીકેજ થઈ શકે છે (અંતે ઘરેથી મોટા પાયે કામ કરવાને કારણે નેટવર્ક લોડમાં વધારો થવાને કારણે) કુચ ચર્ચા કરી સ્થાનિક સંસાધનોની તરફેણમાં વિદેશી સેવાઓના ટ્રાફિક માટે અગ્રતા ઘટાડવાનો મુદ્દો). ઉદાહરણ તરીકે, ઘણા વર્ષો પહેલા પાકિસ્તાનમાં એક પ્રયાસ કરવામાં આવ્યો હતો રેપિંગ નલ ઈન્ટરફેસ પરના YouTube સબનેટ્સને કારણે BGP જાહેરાતોમાં આ સબનેટ્સ દેખાયા અને તમામ YouTube ટ્રાફિક પાકિસ્તાન તરફ વળ્યો.

તે રસપ્રદ છે કે Rostelecom સાથેની ઘટનાના એક દિવસ પહેલા, શહેરમાંથી નાના પ્રદાતા “ન્યૂ રિયાલિટી” (AS50048). સુમરલ્યા ટ્રાન્સટેલકોમ દ્વારા તે હતું જાહેરાત કરી Orange, Akamai, Rostelecom અને 2658 થી વધુ કંપનીઓના નેટવર્કને અસર કરતા 300 ઉપસર્ગ. રૂટ લીક થવાને કારણે ટ્રાફિક રીડાયરેક્ટની ઘણી તરંગો ઘણી મિનિટો સુધી ચાલી હતી. તેની ટોચ પર, સમસ્યાએ 13.5 મિલિયન IP એડ્રેસને અસર કરી. દરેક ક્લાયન્ટ માટે ટ્રાન્સટેલકોમના રૂટ પ્રતિબંધોના ઉપયોગને કારણે નોંધપાત્ર વૈશ્વિક વિક્ષેપ ટાળવામાં આવ્યો હતો.

આવી જ ઘટનાઓ ઈન્ટરનેટ પર જોવા મળે છે નિયમિતપણે અને જ્યાં સુધી તે દરેક જગ્યાએ લાગુ ન થાય ત્યાં સુધી ચાલુ રહેશે અધિકૃતતા પદ્ધતિઓ RPKI (BGP ઓરિજિન વેલિડેશન) પર આધારિત BGP ઘોષણાઓ, ફક્ત નેટવર્ક માલિકો તરફથી ઘોષણાઓના સ્વાગતની મંજૂરી આપે છે. અધિકૃતતા વિના, કોઈપણ ઓપરેટર માર્ગની લંબાઈ વિશે કાલ્પનિક માહિતી સાથે સબનેટની જાહેરાત કરી શકે છે અને અન્ય સિસ્ટમો કે જે જાહેરાત ફિલ્ટરિંગ લાગુ કરતી નથી તેના ટ્રાફિકના ભાગમાંથી જાતે જ ટ્રાન્ઝિટ શરૂ કરી શકે છે.

તે જ સમયે, વિચારણા હેઠળની ઘટનામાં, RIPE RPKI ભંડારનો ઉપયોગ કરીને એક ચેક બહાર આવ્યો નકામું. યોગાનુયોગ, RIPE સોફ્ટવેરને અપડેટ કરવાની પ્રક્રિયા દરમિયાન, Rostelecom માં BGP રૂટ લીક થવાના ત્રણ કલાક પહેલા, આકસ્મિક રીતે કાઢી નાખ્યું 4100 ROA રેકોર્ડ્સ (RPKI રૂટ ઓરિજિન ઓથોરાઇઝેશન). ડેટાબેઝ માત્ર 2 એપ્રિલના રોજ પુનઃસ્થાપિત કરવામાં આવ્યો હતો, અને આ તમામ સમય RIPE ક્લાયન્ટ્સ માટે ચેક અયોગ્ય હતો (સમસ્યાએ અન્ય રજિસ્ટ્રારના RPKI ભંડારને અસર કરી ન હતી). આજે RIPE પાસે 7 કલાકની અંદર નવી સમસ્યાઓ અને RPKI રીપોઝીટરી છે અનુપલબ્ધ હતું.

રજિસ્ટ્રી-આધારિત ફિલ્ટરિંગનો ઉપયોગ લીક્સને અવરોધિત કરવાના ઉકેલ તરીકે પણ થઈ શકે છે IRR (ઇન્ટરનેટ રૂટીંગ રજીસ્ટ્રી), જે સ્વાયત્ત પ્રણાલીઓને વ્યાખ્યાયિત કરે છે જેના દ્વારા ઉલ્લેખિત ઉપસર્ગોના રૂટીંગને મંજૂરી આપવામાં આવે છે. નાના ઓપરેટરો સાથે ક્રિયાપ્રતિક્રિયા કરતી વખતે, માનવીય ભૂલોની અસર ઘટાડવા માટે, તમે EBGP સત્રો (મહત્તમ-ઉપસર્ગ સેટિંગ) માટે સ્વીકૃત ઉપસર્ગોની મહત્તમ સંખ્યાને મર્યાદિત કરી શકો છો.

મોટા ભાગના કિસ્સાઓમાં, ઘટનાઓ આકસ્મિક કર્મચારીઓની ભૂલોનું પરિણામ છે, પરંતુ તાજેતરમાં લક્ષિત હુમલાઓ પણ થયા છે, જે દરમિયાન હુમલાખોરો પ્રદાતાઓના માળખા સાથે ચેડા કરે છે. ગોઠવો રીડાયરેક્શન и અવરોધ માટે ટ્રાફિક અવેજી DNS પ્રતિસાદોને બદલવા માટે MiTM હુમલાનું આયોજન કરીને ચોક્કસ સાઇટ્સ.
આવા હુમલાઓ દરમિયાન TLS પ્રમાણપત્રો મેળવવાનું વધુ મુશ્કેલ બનાવવા માટે, ચાલો એન્ક્રિપ્ટ પ્રમાણપત્ર સત્તાધિકાર તાજેતરમાં સ્વિચ કર્યું વિવિધ સબનેટનો ઉપયોગ કરીને મલ્ટી-પોઝિશન ડોમેન તપાસવા માટે. આ ચેકને બાયપાસ કરવા માટે, હુમલાખોરે એકસાથે વિવિધ અપલિંક સાથે પ્રદાતાઓની કેટલીક સ્વાયત્ત સિસ્ટમો માટે રૂટ રીડાયરેક્ટ કરવાની જરૂર પડશે, જે એક રૂટને રીડાયરેક્ટ કરવા કરતાં વધુ મુશ્કેલ છે.

સોર્સ: opennet.ru