Lub Peb Hlis 13 mus rau RIPE pawg neeg ua haujlwm tiv thaiv kev tsim txom xav txog BGP hijacking (hjjack) ua txhaum txoj cai RIPE. Yog tias qhov kev pom zoo tau txais, tus neeg muab kev pabcuam hauv Is Taws Nem tau tawm tsam los ntawm kev cuam tshuam kev thauj mus los yuav muaj sijhawm los xa daim ntawv thov tshwj xeeb kom nthuav tawm tus neeg tawm tsam. Yog tias pawg neeg saib xyuas tau sau cov pov thawj txaus, LIR uas yog lub hauv paus ntawm BGP cuam tshuam yuav raug suav hais tias yog tus neeg tawm tsam thiab tuaj yeem raug tshem tawm ntawm nws txoj cai LIR. Kuj muaj qee qhov kev sib cav kev hloov.
Hauv qhov kev tshaj tawm no peb xav qhia ib qho piv txwv ntawm qhov kev tawm tsam uas tsis yog tus neeg tawm tsam tiag tiag hauv nqe lus nug, tab sis kuj tseem tag nrho cov npe ntawm cov cuam tshuam ua ntej. Tsis tas li ntawd, qhov kev tawm tsam no rov ua rau cov lus nug txog kev xav rau kev cuam tshuam yav tom ntej ntawm hom kev tsheb no.
Ob peb xyoos dhau los, tsuas yog kev tsis sib haum xeeb xws li MOAS (Multiple Origin Autonomous System) tau tshaj tawm hauv xov xwm raws li BGP cuam tshuam. MOAS yog ib rooj plaub tshwj xeeb uas ob txoj kev tswj hwm tus kheej sib txawv tshaj tawm cov lus tsis sib haum xeeb nrog cov ASNs sib xws hauv AS_PATH (thawj ASN hauv AS_PATH, hauv qab no hu ua keeb kwm ASN). Txawm li cas los xij, peb tuaj yeem sau npe tsawg kawg kev cuam tshuam kev khiav tsheb, tso cai rau tus neeg tawm tsam los tswj hwm tus cwj pwm AS_PATH rau ntau lub hom phiaj, suav nrog kev hla kev niaj hnub mus rau kev lim thiab saib xyuas. Paub hom kev tawm tsam - hom kawg ntawm xws li interception, tab sis tsis nyob rau hauv tag nrho cov tseem ceeb. Nws yog qhov ua tau tias qhov no yog qhov kev tawm tsam uas peb tau pom nyob rau lub asthiv dhau los. Cov xwm txheej zoo li no muaj qhov nkag siab zoo thiab muaj txiaj ntsig loj heev.
Cov neeg tab tom nrhiav rau TL; DR version tuaj yeem txav mus rau "Pib Zoo Tshaj Plaws" subtitle.
Network keeb kwm yav dhau
(kom pab koj nkag siab zoo dua cov txheej txheem koom nrog hauv qhov xwm txheej no)
Yog tias koj xav xa ib pob ntawv thiab koj muaj ntau lub npe ua ntej hauv lub rooj sib tham uas muaj qhov chaw nyob IP, ces koj yuav siv txoj hauv kev rau cov ntawv ua ntej nrog qhov ntev tshaj plaws. Yog tias muaj ob peb txoj kev sib txawv rau tib lub npe hauv lub rooj sib tham, koj yuav xaiv qhov zoo tshaj plaws (raws li txoj kev xaiv txoj kev zoo tshaj plaws).
Cov kev lim dej uas twb muaj lawm thiab saib xyuas kev sim tshuaj xyuas txoj hauv kev thiab txiav txim siab los ntawm kev txheeb xyuas tus cwj pwm AS_PATH. Lub router tuaj yeem hloov tus cwj pwm no rau txhua tus nqi thaum tshaj tawm. Tsuas yog ntxiv tus tswv lub ASN thaum pib ntawm AS_PATH (raws li lub hauv paus chiv keeb ASN) yuav txaus los hla cov txheej txheem tshawb xyuas keeb kwm tam sim no. Ntxiv mus, yog tias muaj txoj hauv kev los ntawm kev tawm tsam ASN rau koj, nws tuaj yeem rho tawm thiab siv AS_PATH ntawm txoj kev no hauv koj lwm qhov kev tshaj tawm. Ib qho AS_PATH-tsuas siv tau kuaj xyuas rau koj cov ntawv tshaj tawm uas tau tsim thaum kawg yuav dhau mus.
Tseem muaj qee qhov kev txwv uas tsim nyog hais txog. Ua ntej, nyob rau hauv cov ntaub ntawv ntawm prefix filtering los ntawm tus neeg muab kev pab cuam upstream, koj txoj kev tseem yuav raug lim (txawm tias muaj yog AS_PATH) yog hais tias lub prefix tsis yog rau koj tus neeg siv configured nyob rau hauv upstream. Qhov thib ob, AS_PATH siv tau tuaj yeem ua tsis tau yog tias txoj kev tsim tau tshaj tawm hauv cov lus qhia tsis raug thiab, yog li, ua txhaum txoj cai routing. Thaum kawg, txhua txoj hauv kev nrog cov lus ua ntej uas ua txhaum ROA ntev yuav raug suav hais tias tsis raug.
Teeb meem
Ob peb lub lis piam dhau los peb tau txais kev tsis txaus siab los ntawm ib qho ntawm peb cov neeg siv. Peb pom txoj hauv kev nrog nws keeb kwm ASN thiab / 25 prefixes, thaum tus neeg siv tau thov tias nws tsis tshaj tawm lawv.
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
Piv txwv ntawm kev tshaj tawm rau thaum pib lub Plaub Hlis 2019
NTT nyob rau hauv txoj kev rau /25 prefix ua rau nws tshwj xeeb tshaj yog tsis txaus ntseeg. LG NTT tsis paub txog txoj kev no thaum lub sijhawm teeb meem. Yog li yog, qee tus neeg teb xov tooj tsim tag nrho AS_PATH rau cov npe ua ntej! Kev tshuaj xyuas ntawm lwm cov routers qhia ib qho tshwj xeeb ASN: AS263444. Tom qab saib lwm txoj hauv kev nrog qhov kev tswj hwm tus kheej no, peb tau ntsib cov xwm txheej hauv qab no:
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.0/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.128/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.96.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.112.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
Sim twv seb dab tsi tsis ncaj ncees lawm ntawm no
Nws zoo nkaus li tias ib tug neeg coj cov lus ua ntej los ntawm txoj kev, faib nws ua ob ntu, thiab tshaj tawm txoj kev nrog tib AS_PATH rau ob lub npe ua ntej.
TABLE_DUMP2|1554076800|B|xxx|263444|1.6.36.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|263444|1.6.38.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.36.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.38.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.36.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.38.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
Piv txwv txoj hauv kev rau ib qho ntawm kev sib cais ua ntej ua khub
Ob peb lo lus nug tshwm sim ib zaug. Puas muaj leej twg tau sim hom kev cuam tshuam no hauv kev xyaum? Puas muaj leej twg coj txoj kev no? Dab tsi ua ntej raug cuam tshuam?
Qhov no yog qhov uas peb txoj hlua ntawm kev ua tsis tiav pib thiab tseem muaj lwm qhov kev poob siab nrog lub xeev tam sim no ntawm Internet kev noj qab haus huv.
Txoj kev ua tsis tiav
Thawj yam ua ntej. Peb tuaj yeem txiav txim siab li cas routers lees txais cov kev cuam tshuam zoo li no thiab cov tsheb yuav raug xa rov qab hnub no li cas? Peb xav tias peb yuav pib nrog / 25 prefixes vim lawv "tsuas yog tsis muaj kev faib thoob ntiaj teb." Raws li koj tau twv, peb tau yuam kev heev. Qhov kev ntsuas no tau dhau los ua suab nrov heev thiab txoj hauv kev nrog cov lus hais ua ntej tuaj yeem tshwm sim txawm tias los ntawm Tier-1 tus tswv. Piv txwv li, NTT muaj txog 50 qhov ua ntej, uas nws faib rau nws tus kheej cov neeg siv khoom. Ntawm qhov tod tes, qhov kev ntsuas no tsis zoo vim tias cov ntawv sau ua ntej tuaj yeem raug lim tawm yog tias tus neeg siv khoom siv , nyob rau hauv tag nrho cov lus qhia. Yog li ntawd, txoj kev no tsis haum rau kev nrhiav txhua tus neeg ua haujlwm uas nws cov tsheb thauj mus los tau raug xa rov qab los ntawm qhov xwm txheej zoo li no.
Lwm lub tswv yim zoo uas peb xav tau yog saib . Tshwj xeeb tshaj yog rau txoj kev uas ua txhaum txoj cai maxLength ntawm tus coj ROA. Txoj kev no peb tuaj yeem pom cov naj npawb ntawm cov keeb kwm sib txawv ASNs nrog cov xwm txheej tsis raug uas pom tau rau AS muab. Txawm li cas los xij, muaj qhov teeb meem "me me". Qhov nruab nrab (qhov nruab nrab thiab hom) ntawm tus lej no (tus naj npawb ntawm cov keeb kwm sib txawv ASNs) yog li 150 thiab, txawm tias peb lim tawm cov npe me me, nws tseem nyob saum 70. Lub xeev no muaj cov lus piav qhia yooj yim heev: tsuas muaj ib qho ob peb tus neeg ua haujlwm uas twb tau siv ROA- lim nrog "rov pib dua txoj kev tsis raug cai" txoj cai ntawm cov ntsiab lus nkag, yog li txhua qhov chaw uas muaj kev ua txhaum ROA tshwm nyob rau hauv lub ntiaj teb tiag, nws tuaj yeem nthuav tawm hauv txhua qhov kev qhia.
Ob txoj hauv kev dhau los tso cai rau peb nrhiav cov neeg ua haujlwm uas pom peb qhov xwm txheej (vim nws loj heev), tab sis feem ntau lawv tsis siv. Okay, tab sis peb puas tuaj yeem pom tus neeg nkag tebchaws? Dab tsi yog cov yam ntxwv ntawm AS_PATH manipulation? Muaj qee qhov kev xav tau yooj yim:
- Lub prefix tsis tau pom nyob qhov twg ua ntej;
- Keeb kwm ASN (ceeb toom: thawj ASN hauv AS_PATH) siv tau;
- Qhov kawg ASN hauv AS_PATH yog tus neeg tawm tsam ASN (nyob rau hauv rooj plaub nws cov neeg nyob ze xyuas cov neeg zej zog ASN ntawm txhua txoj kev tuaj);
- Qhov kev tawm tsam yog los ntawm ib tus kws kho mob.
Yog tias tag nrho cov kev xav tau raug, ces txhua txoj kev tsis raug yuav nthuav tawm tus neeg tawm tsam ASN (tshwj tsis yog keeb kwm ASN) thiab, yog li, qhov no yog qhov "tseem ceeb". Ntawm qhov tseeb hijackers yog AS263444, txawm tias muaj lwm tus. Txawm tias thaum peb muab pov tseg qhov xwm txheej txoj hauv kev los ntawm kev xav. Vim li cas? Lub ntsiab lus tseem ceeb yuav tseem ceeb txawm tias txoj hauv kev raug. Nws tuaj yeem yog qhov tshwm sim ntawm kev sib txuas tsis zoo hauv ib cheeb tsam lossis kev txwv hauv peb tus kheej pom.
Yog li ntawd, muaj ib txoj hauv kev los ntes tus neeg tawm tsam, tab sis tsuas yog tias tag nrho cov xwm txheej saum toj no tau ntsib thiab tsuas yog thaum qhov kev cuam tshuam loj txaus kom dhau qhov kev soj ntsuam. Yog tias qee yam ntawm cov xwm txheej no tsis tau ntsib, peb puas tuaj yeem txheeb xyuas cov lus ua ntej uas raug kev cuam tshuam los ntawm kev cuam tshuam? Rau qee tus neeg ua haujlwm - yog.
Thaum tus neeg tawm tsam tsim ib txoj hauv kev tshwj xeeb, xws li cov lus hais ua ntej tsis tau tshaj tawm los ntawm tus tswv tiag. Yog tias koj muaj ib daim ntawv teev npe dynamic ntawm tag nrho nws cov prefixes los ntawm nws, ces nws yuav ua tau kom muaj kev sib piv thiab nrhiav distorted ntau txoj kev. Peb sau cov npe ntawm cov npe ua ntej siv peb cov kev sib tham BGP, vim tias peb tau muab tsis yog tag nrho cov npe ntawm cov kev pom rau tus neeg teb xov tooj tam sim no, tab sis kuj tseem muaj cov npe ntawm txhua qhov ua ntej uas nws xav tshaj tawm rau lub ntiaj teb. Hmoov tsis zoo, tam sim no muaj ntau lub kaum os cov neeg siv Radar uas tsis ua tiav qhov kawg kom raug. Peb yuav ceeb toom rau lawv sai sai thiab sim daws qhov teeb meem no. Txhua tus neeg tuaj yeem koom nrog peb txoj kev saib xyuas tam sim no.
Yog tias peb rov qab mus rau qhov xwm txheej qub, ob qho tib si tus neeg tawm tsam thiab thaj chaw faib khoom raug kuaj pom los ntawm peb los ntawm kev tshawb nrhiav cov ntsiab lus tseem ceeb. Kuj ceeb tias, AS263444 tsis tau xa cov txheej txheem rau tag nrho nws cov neeg siv khoom. Txawm tias muaj ib lub sijhawm txawv txawv.
BGP4MP|1554905421|A|xxx|263444|178.248.236.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
BGP4MP|1554905421|A|xxx|263444|178.248.237.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
Ib qho piv txwv tsis ntev los no ntawm kev sim cuam tshuam peb qhov chaw nyob
Thaum muaj ntau qhov tshwj xeeb tau tsim rau peb cov npe ua ntej, tshwj xeeb tsim AS_PATH tau siv. Txawm li cas los xij, AS_PATH no tsis tuaj yeem raug coj los ntawm ib qho ntawm peb txoj kev dhau los. Peb tseem tsis tau muaj kev sib txuas lus nrog AS6762. Saib ntawm lwm txoj hauv kev hauv qhov xwm txheej, qee qhov ntawm lawv muaj AS_PATH tiag tiag uas tau siv yav dhau los, thaum lwm tus tsis tau, txawm tias nws zoo li qhov tiag. Hloov AS_PATH tsis tas yuav ua rau muaj txiaj ntsig zoo, txij li cov tsheb yuav raug xa rov qab mus rau tus neeg tawm tsam lawm, tab sis txoj kev nrog "tsis zoo" AS_PATH tuaj yeem lim los ntawm ASPA lossis lwm yam kev tshuaj xyuas. Ntawm no peb xav txog qhov kev txhawb siab ntawm tus neeg nyiag khoom. Peb tam sim no tsis muaj ntaub ntawv txaus los lees paub tias qhov xwm txheej no yog kev npaj tawm tsam. Txawm li cas los xij, nws ua tau. Cia peb sim xav txog, txawm tias tseem hypothetical, tab sis muaj peev xwm tiag tiag, qhov xwm txheej.
Zoo meej Attack
Peb muaj dab tsi? Cia peb hais tias koj yog tus muab kev thauj mus los tshaj tawm txoj hauv kev rau koj cov neeg siv khoom. Yog tias koj cov neeg siv khoom muaj ntau qhov chaw (multihome), ces koj tsuas yog tau txais ib feem ntawm lawv cov tsheb. Tab sis cov tsheb khiav ntau dua, koj cov nyiaj tau los ntau dua. Yog li yog tias koj pib tshaj tawm subnet prefixes ntawm tib txoj kev no nrog tib AS_PATH, koj yuav tau txais cov seem ntawm lawv cov tsheb. Yog li ntawd, cov nyiaj seem.
ROA puas yuav pab tau ntawm no? Tej zaum yog, yog tias koj txiav txim siab tsis siv nws tag nrho . Tsis tas li ntawd, nws yog qhov tsis xav kom muaj ROA cov ntaub ntawv nrog kev sib tshuam ua ntej. Rau qee tus neeg ua haujlwm, cov kev txwv no tsis tuaj yeem lees txais.
Xav txog lwm yam kev ruaj ntseg mechanisms, ASPA yuav tsis pab rau qhov no ib yam (vim nws siv AS_PATH los ntawm txoj kev siv tau). BGPSec tseem tsis yog qhov kev xaiv zoo tshaj plaws vim muaj tus nqi txais yuav qis thiab qhov tseem tshuav ntawm kev txo qis kev tawm tsam.
Yog li peb muaj qhov tseeb nce rau tus neeg tawm tsam thiab tsis muaj kev ruaj ntseg. Zoo sib xws!
Kuv yuav tsum tau ua dab tsi?
Qhov pom tseeb thiab cov kauj ruam tseem ceeb tshaj plaws yog los tshuaj xyuas koj txoj cai tam sim no. Txiav koj qhov chaw nyob rau hauv cov chunks me tshaj plaws (tsis muaj qhov sib tshooj) uas koj xav tshaj tawm. Kos npe ROA rau lawv nkaus xwb, tsis tas siv maxLength parameter. Hauv qhov no, koj tus POV tam sim no tuaj yeem cawm koj ntawm kev tawm tsam. Txawm li cas los xij, dua, rau qee tus neeg ua haujlwm txoj hauv kev no tsis tsim nyog vim yog kev siv tshwj xeeb ntawm ntau txoj kev. Txhua yam teeb meem nrog lub xeev tam sim no ntawm ROA thiab cov khoom siv yuav raug piav qhia hauv ib qho ntawm peb cov ntaub ntawv yav tom ntej.
Tsis tas li ntawd, koj tuaj yeem sim saib xyuas cov kev cuam tshuam zoo li no. Txhawm rau ua qhov no, peb xav tau cov ntaub ntawv txhim khu kev qha txog koj cov npe ua ntej. Yog li, yog tias koj tsim kom muaj kev sib tham BGP nrog peb tus neeg sau thiab muab cov ntaub ntawv qhia txog koj qhov kev pom hauv Is Taws Nem, peb tuaj yeem nrhiav tau cov peev txheej rau lwm qhov xwm txheej. Rau cov neeg uas tseem tsis tau txuas nrog peb cov kev saib xyuas, pib nrog, cov npe ntawm txoj kev tsuas yog nrog koj cov npe ua ntej yuav txaus. Yog tias koj muaj kev sib tham nrog peb, thov xyuas tias tag nrho koj txoj kev tau xa tuaj. Hmoov tsis zoo, qhov no tsim nyog nco ntsoov vim qee tus neeg ua haujlwm tsis nco qab ua ntej lossis ob thiab yog li cuam tshuam nrog peb txoj kev tshawb nrhiav. Yog tias ua tiav lawm, peb yuav muaj cov ntaub ntawv txhim khu kev qha txog koj cov npe ua ntej, uas yav tom ntej yuav pab peb txheeb xyuas thiab txheeb xyuas qhov no (thiab lwm yam) hom kev cuam tshuam rau koj qhov chaw nyob.
Yog tias koj paub txog qhov kev cuam tshuam ntawm koj lub tsheb hauv lub sijhawm, koj tuaj yeem sim tiv thaiv koj tus kheej. Thawj txoj hauv kev yog tshaj tawm txoj hauv kev nrog cov npe tshwj xeeb ntxiv rau koj tus kheej. Nyob rau hauv rooj plaub ntawm qhov kev tawm tsam tshiab ntawm cov prefixes, rov ua dua.
Qhov thib ob txoj hauv kev yog rau txim rau tus neeg tawm tsam thiab cov uas nws yog qhov tseem ceeb (rau txoj hauv kev zoo) los ntawm kev txiav koj txoj kev nkag mus rau tus neeg tawm tsam. Qhov no tuaj yeem ua tiav los ntawm kev ntxiv tus neeg tawm tsam ASN rau AS_PATH ntawm koj cov kev qub qub thiab yog li yuam kom lawv tsis txhob AS siv lub tshuab tshawb nrhiav lub voj hauv BGP. .
Tau qhov twg los: www.hab.com