CDN के माध्यम से प्रदत्त पृष्ठों को अनुपलब्ध बनाने के लिए CPDoS हमला

हैम्बर्ग और कोलोन विश्वविद्यालयों के शोधकर्ता
विकसित किया है सामग्री वितरण नेटवर्क और कैशिंग प्रॉक्सी पर एक नई आक्रमण तकनीक - सीपीडीओएस (कैश-पॉइज़नड डेनियल-ऑफ़-सर्विस)। हमला कैश पॉइज़निंग के माध्यम से किसी पृष्ठ तक पहुंच को अस्वीकार करने की अनुमति देता है।

समस्या इस तथ्य के कारण है कि सीडीएन न केवल सफलतापूर्वक पूर्ण किए गए अनुरोधों को कैश करता है, बल्कि ऐसी स्थिति भी होती है जब http सर्वर कोई त्रुटि देता है। एक नियम के रूप में, यदि अनुरोध बनाने में समस्याएं हैं, तो सर्वर 400 (खराब अनुरोध) त्रुटि जारी करता है; एकमात्र अपवाद आईआईएस है, जो बहुत बड़े हेडर के लिए 404 (नहीं मिला) त्रुटि जारी करता है। मानक केवल कोड 404 (नहीं मिला), 405 (विधि की अनुमति नहीं), 410 (गया हुआ) और 501 (कार्यान्वयन नहीं) के साथ त्रुटियों को कैश करने की अनुमति देता है, लेकिन कुछ सीडीएन कोड 400 (खराब अनुरोध) के साथ प्रतिक्रियाओं को भी कैश करते हैं, जो निर्भर करता है भेजे गए अनुरोध पर.

हमलावर एक निश्चित तरीके से स्वरूपित HTTP हेडर के साथ अनुरोध भेजकर मूल संसाधन को "400 खराब अनुरोध" त्रुटि लौटाने का कारण बन सकते हैं। इन हेडर को सीडीएन द्वारा ध्यान में नहीं रखा जाता है, इसलिए पृष्ठ तक पहुंचने में असमर्थता के बारे में जानकारी कैश की जाएगी, और टाइमआउट समाप्त होने से पहले अन्य सभी वैध उपयोगकर्ता अनुरोधों के परिणामस्वरूप त्रुटि हो सकती है, इस तथ्य के बावजूद कि मूल साइट सामग्री परोसती है बिना किसी समस्या के।

HTTP सर्वर को त्रुटि लौटाने के लिए बाध्य करने के लिए तीन आक्रमण विकल्प प्रस्तावित किए गए हैं:

• एचएमओ (एचटीटीपी मेथड ओवरराइड) - एक हमलावर कुछ सर्वरों द्वारा समर्थित "एक्स-एचटीटीपी-मेथड-ओवरराइड", "एक्स-एचटीटीपी-मेथड" या "एक्स-मेथड-ओवरराइड" हेडर के माध्यम से मूल अनुरोध विधि को ओवरराइड कर सकता है, लेकिन सीडीएन में ध्यान नहीं दिया गया। उदाहरण के लिए, आप मूल "GET" विधि को "DELETE" विधि में बदल सकते हैं, जो सर्वर पर निषिद्ध है, या "POST" विधि, जो स्टैटिक्स के लिए लागू नहीं है;
  

• एचएचओ (HTTP हैडर ओवरसाइज़) - एक हमलावर हेडर आकार का चयन कर सकता है ताकि यह स्रोत सर्वर की सीमा से अधिक हो, लेकिन सीडीएन प्रतिबंधों के अंतर्गत नहीं आता है। उदाहरण के लिए, Apache httpd हेडर आकार को 8 KB तक सीमित करता है, और Amazon Cloudfront CDN 20 KB तक हेडर की अनुमति देता है;
  

• एचएमसी (HTTP मेटा कैरेक्टर) - एक हमलावर अनुरोध में विशेष वर्ण सम्मिलित कर सकता है (\n, \r, \a), जिन्हें स्रोत सर्वर पर अमान्य माना जाता है, लेकिन सीडीएन में नजरअंदाज कर दिया जाता है।
  

हमले के प्रति सबसे संवेदनशील अमेज़ॅन वेब सर्विसेज (एडब्ल्यूएस) द्वारा उपयोग किया जाने वाला क्लाउडफ्रंट सीडीएन था। अमेज़ॅन ने अब त्रुटि कैशिंग को अक्षम करके समस्या को ठीक कर दिया है, लेकिन सुरक्षा जोड़ने में शोधकर्ताओं को तीन महीने से अधिक समय लग गया। इस मुद्दे ने क्लाउडफ्लेयर, वार्निश, अकामाई, सीडीएन77 और को भी प्रभावित किया
तेज़, लेकिन उनके माध्यम से हमला लक्ष्य सर्वर तक सीमित है जो IIS, ASP.NET का उपयोग करते हैं। कुप्पी и 1 खेलें. विख्यात, कि अमेरिकी रक्षा विभाग के 11% डोमेन, HTTP आर्काइव डेटाबेस से 16% यूआरएल और एलेक्सा द्वारा रैंक की गई शीर्ष 30 वेबसाइटों में से लगभग 500% संभावित रूप से हमले के अधीन हो सकते हैं।

साइट साइड पर किसी हमले को रोकने के लिए वैकल्पिक समाधान के रूप में, आप "कैश-कंट्रोल: नो-स्टोर" हेडर का उपयोग कर सकते हैं, जो प्रतिक्रिया कैशिंग को प्रतिबंधित करता है। कुछ सीडीएन में, उदा.
CloudFront और Akamai, आप प्रोफ़ाइल सेटिंग स्तर पर त्रुटि कैशिंग अक्षम कर सकते हैं। सुरक्षा के लिए, आप वेब एप्लिकेशन फ़ायरवॉल (WAF, वेब एप्लिकेशन फ़ायरवॉल) का भी उपयोग कर सकते हैं, लेकिन उन्हें कैशिंग होस्ट के सामने CDN पक्ष पर लागू किया जाना चाहिए।

स्रोत: opennet.ru