ʻO Malaki 13 i ka hui hana anti-abuse RIPE e noʻonoʻo i ka hoʻopaʻa ʻana i ka BGP (hjjack) ma ke ʻano he mea ʻino i ke kulekele RIPE. Inā ʻae ʻia ka manaʻo, loaʻa i ka mea hoʻolako pūnaewele i hoʻouka ʻia e ka interception traffic ka manawa e hoʻouna i kahi noi kūikawā e hōʻike i ka mea hoʻouka. Inā hōʻiliʻili ka pūʻulu loiloi i nā hōʻike kākoʻo kūpono, e manaʻo ʻia ka LIR i kumu o ka keakea BGP he mea komo hewa a hiki ke wehe ʻia kona kūlana LIR. Aia kekahi mau hoʻopaʻapaʻa loli.
Ma kēia hoʻolaha makemake mākou e hōʻike i kahi laʻana o kahi hoʻouka ʻana ʻaʻole wale ka mea hoʻouka maoli i nīnau ʻia, akā ʻo ka papa inoa holoʻokoʻa o nā prefix i hoʻopilikia ʻia. Eia kekahi, ke hāpai hou nei kēlā ʻano hoʻouka ʻana i nā nīnau e pili ana i nā kumu no nā interceptions e hiki mai ana o kēia ʻano kaʻa.
I nā makahiki ʻelua i hala iho nei, ua uhi ʻia nā paio e like me MOAS (Multiple Origin Autonomous System) i ka paʻi ma ke ʻano he BGP interceptions. He hihia kūikawā ʻo MOAS kahi e hoʻolaha ai ʻelua ʻōnaehana autonomous ʻokoʻa i nā prefix kūʻē me nā ASN pili i AS_PATH (ka ASN mua ma AS_PATH, i kapa ʻia ma hope aku ʻo ASN kumu). Eia naʻe, hiki iā mākou ke inoa ma ka liʻiliʻi kaʻahele kaʻahele, e ʻae i ka mea hoʻouka e hoʻopunipuni i ka ʻano AS_PATH no nā kumu like ʻole, me ke kaʻe ʻana i nā ala hou i ka kānana a me ka nānā ʻana. ʻAno hoʻouka ʻike ʻia - ke ʻano hope loa o ia interception, akā ʻaʻole i koʻikoʻi. ʻO ia nō paha ke ʻano hoʻouka kaua a mākou i ʻike ai i nā pule i hala. He ʻano hoʻomaopopo ʻia kēlā hanana a me nā hopena koʻikoʻi.
ʻO ka poʻe e ʻimi nei i ka mana TL; DR hiki ke hele i ka subtitle "Perfect Attack".
Kahua pūnaewele
(e kōkua iā ʻoe e hoʻomaopopo maikaʻi i nā kaʻina hana i pili i kēia hanana)
Inā makemake ʻoe e hoʻouna i kahi ʻeke a loaʻa iā ʻoe nā prefix he nui i ka papa kuhikuhi i loaʻa ka IP address e hele ai, a laila e hoʻohana ʻoe i ke ala no ka prefix me ka lōʻihi loa. Inā he mau ala ʻokoʻa no ka prefix like ma ka papa kuhikuhi, e koho ʻoe i ka mea maikaʻi loa (e like me ka mīkini koho ala maikaʻi loa).
Ke hoʻāʻo nei nā ʻano kānana a me ka nānā ʻana e kālele i nā ala a hoʻoholo i ka hoʻoholo ʻana ma ke kālailai ʻana i ka ʻano AS_PATH. Hiki i ke alalai ke hoʻololi i kēia ʻano i kekahi waiwai i ka wā hoʻolaha. ʻO ka hoʻohui wale ʻana i ka ASN o ka mea nona ka hoʻomaka ʻana o AS_PATH (ma ke ʻano he kumu ASN) hiki ke lawa i ke kāʻei ʻana i nā ʻano hana nānā kumu. Eia kekahi, inā he ala mai ka ASN i hoʻouka ʻia iā ʻoe, hiki iā ia ke unuhi a hoʻohana i ka AS_PATH o kēia ala i kāu mau hoʻolaha ʻē aʻe. E hala kekahi hōʻoia hōʻoia AS_PATH wale nō no kāu mau hoʻolaha i hana ʻia.
Aia kekahi mau palena kūpono e haʻi ʻia. ʻO ka mea mua, inā he kānana prefix e ka mea hāʻawi i luna, hiki ke kānana ʻia kāu ala (me ka AS_PATH pololei) inā ʻaʻole pili ka prefix i kāu cone mea kūʻai i hoʻonohonoho ʻia ma ke kahawai. ʻO ka lua, hiki i kahi AS_PATH kūpono ke lilo i mea ʻole inā hoʻolaha ʻia ke ala i hana ʻia ma nā kuhikuhi pololei ʻole a, no laila, ua uhaki i ke kulekele hoʻokele. ʻO ka mea hope loa, hiki ke manaʻo ʻia he hewa ʻole nā ala me kahi prefix e kūʻē i ka lōʻihi ROA.
Hanana
I kekahi mau pule i hala aku nei ua loaʻa iā mākou kahi hoʻopiʻi mai kekahi o kā mākou mea hoʻohana. Ua ʻike mākou i nā ala me kāna kumu ASN a me /25 prefixes, ʻoiai ua ʻōlelo ka mea hoʻohana ʻaʻole ia i hoʻolaha iā lākou.
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
Nā laʻana o nā hoʻolaha no ka hoʻomaka o ʻApelila 2019
ʻO NTT ma ke ala no ka prefix /25 he mea kānalua loa ia. ʻAʻole ʻike ʻo LG NTT i kēia ala i ka manawa o ka hanana. No laila ʻae, hana kekahi mea hana i kahi AS_PATH holoʻokoʻa no kēia mau prefix! ʻO ka nānā ʻana i nā mea ala ʻē aʻe e hōʻike ana i kahi ASN: AS263444. Ma hope o ka nānā ʻana i nā ala ʻē aʻe me kēia ʻōnaehana autonomous, ua loaʻa iā mākou kēia kūlana:
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.0/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.128/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.96.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.112.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
E hoʻāʻo e koho i ka hewa ma ʻaneʻi
Me he mea lā ua lawe kekahi i ka prefix mai ke ala, a hoʻokaʻawale iā ia i ʻelua ʻāpana, a hoʻolaha i ke ala me ka AS_PATH like no kēlā mau prefix ʻelua.
TABLE_DUMP2|1554076800|B|xxx|263444|1.6.36.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|263444|1.6.38.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.36.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.38.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.36.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.38.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
Nā ala hoʻohālike no kekahi o nā paʻa prefix māhele
Nui nā nīnau i ka manawa hoʻokahi. Ua hoʻāʻo maoli kekahi i kēia ʻano interception ma ka hana? Ua hele kekahi i kēia mau ala? He aha nā prefix i pili?
ʻO kēia kahi e hoʻomaka ai kā mākou mau hemahema a me kahi pōʻino hou i ke kūlana o ke olakino o ka Pūnaewele.
Ke ala o ka hemahema
ʻO nā mea mua. Pehea e hiki ai iā mākou ke hoʻoholo i nā mea hoʻokele i ʻae i kēlā mau ala i hoʻopaʻa ʻia a hiki ke hoʻohuli ʻia nā kaʻa i kēia lā? Ua manaʻo mākou e hoʻomaka me /25 prefix no ka mea "ʻaʻole hiki iā lākou ke hoʻolaha honua." E like me kāu e koho ai, ua hewa loa mākou. Ua lilo kēia metric i mea walaʻau loa a hiki ke ʻike ʻia nā ala me nā prefix e like me nā mea hana Tier-1. No ka laʻana, loaʻa iā NTT ma kahi o 50 mau prefix, nāna e hāʻawi i kāna mau mea kūʻai aku. Ma ka ʻaoʻao ʻē aʻe, ʻino kēia metric no ka mea hiki ke kānana ʻia nā prefix inā hoʻohana ka mea hoʻohana , ma na aoao a pau. No laila, ʻaʻole kūpono kēia ʻano hana no ka ʻimi ʻana i nā mea hoʻohana āpau i hoʻohuli hou ʻia ka huakaʻi ma muli o ia hanana.
ʻO kekahi manaʻo maikaʻi a mākou i manaʻo ai e nānā . ʻOi loa no nā ala i uhaki i ke kānāwai maxLength o ka ROA pili. Ma kēia ala e hiki ai iā mākou ke ʻike i ka helu o nā ASN kumu like ʻole me ke kūlana Invalid i ʻike ʻia e kahi AS i hāʻawi ʻia. Eia naʻe, aia kahi pilikia "liʻiliʻi". ʻO ka awelika (median a me ke ʻano) o kēia helu (ka helu o nā ASN kumu like ʻole) ma kahi o 150 a, ʻoiai inā mākou e kānana i nā prefix liʻiliʻi, aia ma luna o 70. He wehewehe maʻalahi loa kēia kūlana: aia wale nō kakaikahi o na mea hoohana i hoohana mua i na kānana ROA me ke kulekele “reset Invalid ways” ma na wahi komo, no laila ma na wahi a pau e ikeia ai kahi ala me ka hewa ROA ma ke ao maoli, hiki ia ia ke hoolaha ma na aoao a pau.
ʻO nā ala hope ʻelua e ʻae iā mākou e ʻimi i nā mea hoʻohana i ʻike i kā mākou hanana (no ka mea he nui loa ia), akā ma ka laulā ʻaʻole ia e pili. ʻAe, akā hiki iā mākou ke loaʻa ka mea komo? He aha nā hiʻohiʻona maʻamau o kēia hoʻopunipuni AS_PATH? Aia kekahi mau manaʻo kumu:
- ʻAʻole i ʻike mua ʻia ka prefix ma mua;
- Pono ka ASN kumu (hoʻomanaʻo: ASN mua ma AS_PATH);
- ʻO ka ASN hope loa ma AS_PATH ʻo ia ka ASN o ka mea hoʻouka kaua (inā nānā kona hoa noho i ka ASN o ka hoalauna ma nā ala e hiki mai ana);
- Hoʻomaka ka hoʻouka ʻana mai kahi mea hoʻolako hoʻokahi.
Inā pololei nā manaʻo a pau, a laila e hōʻike ʻia nā ala hewa a pau i ka ASN o ka mea hoʻouka (koe ka ASN kumu) a, no laila, he wahi "koʻikoʻi" kēia. Ma waena o nā hijackers maoli ʻo AS263444, ʻoiai aia kekahi. ʻOiai i ka wā i haʻalele ai mākou i nā ala hana mai ka noʻonoʻo ʻana. No ke aha mai? Hiki ke koʻikoʻi kahi wahi koʻikoʻi no nā ala pololei. ʻO ia paha ka hopena o ka pilina pili ʻole ma kahi ʻāina a i ʻole nā palena i kā mākou ʻike ponoʻī.
ʻO ka hopena, aia kahi ala e ʻike ai i kahi mea hoʻouka kaua, akā inā e hoʻokō ʻia nā kūlana āpau i luna aʻe wale nō i ka wā i nui ai ka interception e hala i nā paepae nānā. Inā ʻaʻole i hoʻokō ʻia kekahi o kēia mau mea, a laila hiki iā mākou ke ʻike i nā prefixes i loaʻa i kēlā interception? No kekahi mau mea hoʻohana - ʻae.
Ke hana ka mea hoʻouka i kahi ala kikoʻī, ʻaʻole hoʻolaha ʻia kēlā prefix e ka mea nona maoli. Inā loaʻa iā ʻoe kahi papa inoa o kāna mau prefix āpau mai ia mea, a laila hiki ke hana i kahi hoʻohālikelike a ʻike i nā ala kikoʻī kikoʻī. ʻOhi mākou i kēia papa inoa o nā prefix me ka hoʻohana ʻana i kā mākou BGP sessions, no ka mea ʻaʻole i hāʻawi ʻia iā mākou ka papa inoa piha o nā ala i ʻike ʻia e ka mea hoʻohana i kēia manawa, akā he papa inoa pū kekahi o nā prefix a pau e makemake ai e hoʻolaha i ka honua. ʻO ka mea pōʻino, aia i kēia manawa he ʻumi mau mea hoʻohana Radar ʻaʻole i hoʻopau pololei i ka ʻāpana hope. E hoʻolaha koke mākou iā lākou a hoʻāʻo e hoʻoponopono i kēia pilikia. Hiki i nā mea ʻē aʻe ke komo i kā mākou ʻōnaehana nānā i kēia manawa.
Inā hoʻi mākou i ka mea i hana mua ʻia, ua ʻike ʻia ka mea hoʻouka a me ka wahi mahele e mākou ma ka ʻimi ʻana i nā wahi koʻikoʻi. ʻO ka mea kupanaha, ʻaʻole i hoʻouna ʻo AS263444 i nā ala i hana ʻia i kāna mau mea kūʻai aku. ʻOiai aia kahi manawa malihini.
BGP4MP|1554905421|A|xxx|263444|178.248.236.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
BGP4MP|1554905421|A|xxx|263444|178.248.237.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
He laʻana hou o ka hoʻāʻo ʻana e hoʻopaʻa i kā mākou wahi helu wahi
Ke hana ʻia nā mea kikoʻī hou aku no kā mākou prefix, ua hoʻohana ʻia kahi AS_PATH i hana ʻia. Akā naʻe, ʻaʻole hiki ke lawe ʻia kēia AS_PATH mai kekahi o kā mākou ala i hala. ʻAʻohe o mākou kamaʻilio me AS6762. Ke nānā nei i nā ala ʻē aʻe i ka hanana, aia kekahi o lākou i kahi AS_PATH maoli i hoʻohana mua ʻia, aʻo nā mea ʻē aʻe ʻaʻole, ʻoiai ke ʻano like me ka mea maoli. ʻAʻole kūpono ka hoʻololi ʻana iā AS_PATH, no ka mea, e hoʻihoʻi ʻia ke kaʻa i ka mea hoʻouka, akā hiki ke kānana ʻia nā ala me kahi AS_PATH "ʻino" e ASPA a i ʻole kekahi ʻano hana nānā ʻē aʻe. Maanei mākou e noʻonoʻo ai i ka hoʻoikaika ʻana o ka hijacker. ʻAʻole lawa kā mākou ʻike i kēia manawa e hōʻoia ai he hoʻouka kaua i hoʻolālā ʻia. Eia naʻe, hiki nō. E ho'āʻo kākou e noʻonoʻo, ʻoiai he hypothetical nō naʻe, akā he mea maoli maoli nō, he kūlana.
Hoouka Pono
He aha kā mākou? E ʻōlelo mākou he mea hoʻolako transit i nā ala hoʻolaha no kāu mea kūʻai aku. Inā loaʻa i kāu mau mea kūʻai aku ka nui o ka hele ʻana (multihome), a laila e loaʻa iā ʻoe kahi hapa o kā lākou kalepa. Akā ʻoi aku ka nui o ke kaʻa, ʻoi aku ka nui o kāu loaʻa kālā. No laila, inā hoʻomaka ʻoe e hoʻolaha i nā prefix subnet o kēia mau ala like me ka AS_PATH like, e loaʻa iā ʻoe ke koena o kā lākou kaʻa. ʻO ka hopena, ke koena o ke kālā.
E kōkua anei ʻo ROA ma ʻaneʻi? ʻAe, inā hoʻoholo ʻoe e hoʻōki loa i ka hoʻohana ʻana . Eia kekahi, makemake ʻole ka loaʻa ʻana o nā moʻolelo ROA me nā prefix intersecting. No kekahi mau mea hoʻohana, ʻaʻole ʻae ʻia ia mau palena.
Ke noʻonoʻo nei i nā hana palekana alahele ʻē aʻe, ʻaʻole kōkua ʻo ASPA i kēia hihia (no ka mea, hoʻohana ʻo ia iā AS_PATH mai kahi ala kūpono). ʻAʻole naʻe he koho maikaʻi loa ʻo BGPSec ma muli o nā helu haʻahaʻa haʻahaʻa a me ke koena o ka hiki ke hoʻohaʻahaʻa.
No laila, loaʻa iā mākou kahi waiwai kūpono no ka mea hoʻouka a me ka nele o ka palekana. Hui nui!
He aha kaʻu e hana ai?
ʻO ka hana ʻike a koʻikoʻi ka nānā ʻana i kāu kulekele hoʻokele o kēia manawa. E wāwahi i kāu wahi helu wahi i nā ʻāpana liʻiliʻi loa (ʻaʻohe overlaps) āu e makemake ai e hoʻolaha. E kau inoa iā ROA no lākou wale nō, me ka hoʻohana ʻole ʻana i ka palena maxLength. I kēia hihia, hiki i kāu POV i kēia manawa ke hoʻopakele iā ʻoe mai kēlā hoʻouka kaua. Eia naʻe, no kekahi mau mea hoʻohana ʻaʻole kūpono kēia ala ma muli o ka hoʻohana kūʻokoʻa o nā ala kikoʻī. E wehewehe ʻia nā pilikia āpau e pili ana i ke kūlana o ROA a me nā mea ala i kekahi o kā mākou mea e hiki mai ana.
Eia hou, hiki iā ʻoe ke hoʻāʻo e nānā i ia mau interceptions. No ka hana ʻana i kēia, pono mākou i ka ʻike hilinaʻi e pili ana i kāu prefix. No laila, inā hoʻokumu ʻoe i kahi hālāwai BGP me kā mākou ʻohi a hāʻawi iā mākou i ka ʻike e pili ana i kāu ʻike pūnaewele, hiki iā mākou ke ʻike i ke ākea no nā hanana ʻē aʻe. No ka poʻe i pili ʻole i kā mākou ʻōnaehana nānā, e hoʻomaka me ka papa inoa o nā ala me kāu prefix e lawa. Inā he hālāwai kāu me mākou, e ʻoluʻolu e nānā ua hoʻouna ʻia kāu mau ala āpau. ʻO ka mea pōʻino, pono kēia e hoʻomanaʻo no ka mea poina kekahi mau mea hoʻohana i kahi prefix a ʻelua paha a no laila ke keʻakeʻa nei i kā mākou ʻano hulina. Inā hana pololei ʻia, e loaʻa iā mākou ka ʻikepili hilinaʻi e pili ana i kāu prefix, a i ka wā e hiki mai ana e kōkua iā mākou e ʻike pono a ʻike i kēia (a me nā ʻano ʻē aʻe) o ka interception no kāu wahi helu wahi.
Inā ʻike ʻoe i kahi interception o kāu kaʻa i ka manawa maoli, hiki iā ʻoe ke hoʻāʻo e kūʻē iā ʻoe iho. ʻO ke ala mua e hoʻolaha i nā ala me kēia mau prefix kikoʻī iā ʻoe iho. Ina he hoouka hou i keia mau prefix, e hana hou.
ʻO ke ala ʻelua, ʻo ia ka hoʻopaʻi ʻana i ka mea hoʻouka a me ka poʻe nona ia he wahi koʻikoʻi (no nā ala maikaʻi) ma ke ʻoki ʻana i ke komo ʻana o kāu mau ala i ka mea hoʻouka. Hiki ke hana i kēia ma ka hoʻohui ʻana i ka ASN o ka mea hoʻouka i ka AS_PATH o kāu mau ala kahiko a no laila e koi aku iā lākou e pale i kēlā AS me ka hoʻohana ʻana i ka mīkini ʻike loop i kūkulu ʻia ma BGP .
Source: www.habr.com