{"id":31415,"date":"2019-10-31T21:41:08","date_gmt":"2019-10-31T18:41:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vse-ochen-ploho-ili-novyj-vid-perehvata-trafika\/"},"modified":"2019-10-31T21:41:08","modified_gmt":"2019-10-31T18:41:08","slug":"vse-ochen-ploho-ili-novyj-vid-perehvata-trafika","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/vse-ochen-ploho-ili-novyj-vid-perehvata-trafika","title":{"rendered":"Minden nagyon rossz, vagy \u00faj m\u00f3d a forgalom lehallgat\u00e1s\u00e1ra","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

M\u00e1rcius 13-\u00e1n a RIPE csoportban az vissza\u00e9l\u00e9sek ellen javaslat \u00e9rkezett<\/a><\/noindex> a BGP elfog\u00e1s (hjjack) RIPE szab\u00e1lyszeg\u00e9sk\u00e9nt val\u00f3 kezel\u00e9s\u00e9re. A javaslat elfogad\u00e1sa eset\u00e9n a t\u00e1madott internet-szolg\u00e1ltat\u00f3 k\u00fcl\u00f6n k\u00e9rv\u00e9nyt ny\u00fajthatna be a t\u00e1mad\u00f3 leleplez\u00e9s\u00e9re. Ha a szak\u00e9rt\u0151i csoport elegend\u0151 bizony\u00edt\u00e9kot gy\u0171jt, akkor az ilyen BGP elfog\u00e1st el\u0151id\u00e9z\u0151 LIR megs\u00e9rt\u0151nek sz\u00e1m\u00edtana, \u00e9s megfoszthatj\u00e1k LIR st\u00e1tusz\u00e1t\u00f3l. Volt n\u00e9h\u00e1ny \u00e9rv ezen<\/a><\/noindex> v\u00e1ltoztat\u00e1s ellen.<\/p>\n

A k\u00f6vetkez\u0151 publik\u00e1ci\u00f3ban p\u00e9ld\u00e1t szeretn\u00e9nk bemutatni egy olyan t\u00e1mad\u00e1sra, ahol nemcsak a val\u00f3di t\u00e1mad\u00f3, hanem az \u00f6sszes \u00e9rintett prefix lista is k\u00e9rd\u00e9ses volt. S\u0151t, egy ilyen t\u00e1mad\u00e1s \u00fajra felveti a k\u00e9rd\u00e9seket a j\u00f6v\u0151beli ilyen t\u00edpus\u00fa forgalomelfog\u00e1sok ind\u00edt\u00e9kait illet\u0151en.
\n<\/a><\/noindex>
\nAz elm\u00falt n\u00e9h\u00e1ny \u00e9vben a sajt\u00f3ban a BGP elfog\u00e1sokat csak MOAS (T\u00f6bb Eredet\u0171 Auton\u00f3m Rendszer) t\u00edpus\u00fa konfliktusok form\u00e1j\u00e1ban t\u00e1rgyalt\u00e1k. A MOAS egy k\u00fcl\u00f6nleges eset, amikor k\u00e9t k\u00fcl\u00f6nb\u00f6z\u0151 auton\u00f3m rendszer ellentmond\u00f3 prefixeket hirdet meg a megfelel\u0151 ASN sz\u00e1mokkal az AS_PATH-ban (az AS_PATH els\u0151 ASN-j\u00e9t a tov\u00e1bbiakban origin ASN-nek h\u00edvjuk). Azonban legal\u00e1bb h\u00e1rom tov\u00e1bbi t\u00edpus\u00e1t<\/a><\/noindex> is megeml\u00edthetj\u00fck a forgalom elfog\u00e1s\u00e1nak, amelyek lehet\u0151v\u00e9 teszik a t\u00e1mad\u00f3k sz\u00e1m\u00e1ra, hogy manipul\u00e1lj\u00e1k az AS_PATH attrib\u00fatumot k\u00fcl\u00f6nb\u00f6z\u0151 c\u00e9llal, bele\u00e9rtve a modern sz\u0171r\u00e9si \u00e9s megfigyel\u00e9si megk\u00f6zel\u00edt\u00e9sek megker\u00fcl\u00e9s\u00e9t. Az ismert t\u00e1mad\u00e1si t\u00edpus, Piloszova-Kapela<\/a><\/noindex> \u2014 az ilyen t\u00edpus\u00fa elfog\u00e1s leg\u00fajabb v\u00e1ltozata, de nem kevesebb jelent\u0151s\u00e9ggel b\u00edr. Nagyon val\u00f3sz\u00edn\u0171, hogy \u00e9ppen egy ilyen t\u00e1mad\u00e1s tan\u00fai voltunk az elm\u00falt hetekben. Az esem\u00e9ny \u00e9rthet\u0151, \u00e9s komoly k\u00f6vetkezm\u00e9nyekkel j\u00e1r.<\/p>\n

Akik a TL;DR verzi\u00f3t keresik, g\u00f6rgessenek le a \"T\u00f6k\u00e9letes t\u00e1mad\u00e1s\" alc\u00edmhez.<\/p>\n

H\u00e1l\u00f3zati h\u00e1tt\u00e9r<\/h3>\n

(hogy jobban meg\u00e9rts\u00e9k az adott incidensben r\u00e9szt vev\u0151 folyamatokat)<\/i><\/p>\n

Ha csomagot k\u00edv\u00e1n k\u00fcldeni, \u00e9s t\u00f6bb prefix is szerepel az \u00fatv\u00e1laszt\u00e1si t\u00e1bl\u00e1ban, amelyek tartalmazz\u00e1k az IP-c\u00edmet, akkor a maxim\u00e1lis hossz\u00fas\u00e1g\u00fa prefix \u00fatvonal\u00e1t fogja haszn\u00e1lni. Ha azonban az \u00fatv\u00e1laszt\u00e1si t\u00e1bl\u00e1ban t\u00f6bb elt\u00e9r\u0151 \u00fatvonal is l\u00e9tezik ugyanahhoz a prefixhez, akkor a legjobbat v\u00e1lasztja (a legjobb \u00fatvonalv\u00e1laszt\u00e1si mechanizmus \u00e9rtelm\u00e9ben).<\/p>\n

A l\u00e9tez\u0151 sz\u0171r\u00e9si \u00e9s megfigyel\u00e9si megk\u00f6zel\u00edt\u00e9sek pr\u00f3b\u00e1lj\u00e1k elemezni az \u00fatvonalakat, \u00e9s d\u00f6nt\u00e9seket hozni az AS_PATH attrib\u00fatum elemz\u00e9s\u00e9vel. A router megv\u00e1ltoztathatja ezt az attrib\u00fatumot b\u00e1rmilyen \u00e9rt\u00e9kre a hirdet\u00e9s sor\u00e1n. El\u00e9g lehet, ha a tulajdonos ASN-t az AS_PATH elej\u00e9re hozz\u00e1adjuk (mint eredeti ASN), hogy megker\u00fclj\u00fck a jelenlegi forr\u00e1sellen\u0151rz\u00e9si mechanizmusokat. Tov\u00e1bb\u00e1, ha van egy \u00fatvonal a megt\u00e1madott ASN-t\u00f3l hozz\u00e1nk, lehet\u0151s\u00e9g ny\u00edlik az AS_PATH elt\u00e1vol\u00edt\u00e1s\u00e1ra \u00e9s haszn\u00e1lat\u00e1ra m\u00e1s hirdet\u00e9seinkben. B\u00e1rmilyen \u00e9rv\u00e9nyess\u00e9gi ellen\u0151rz\u00e9s, amely csak az AS_PATH-ra vonatkozik a saj\u00e1t hirdetett \u00fatvonalainkn\u00e1l, v\u00e9g\u00fcl \u00e1t fog menni.<\/p>\n

M\u00e9g n\u00e9h\u00e1ny eml\u00edt\u00e9sre m\u00e9lt\u00f3 korl\u00e1toz\u00e1s l\u00e9tezik. El\u0151sz\u00f6r is, a fels\u0151bb szolg\u00e1ltat\u00f3 \u00e1ltal v\u00e9gzett prefix sz\u0171r\u00e9s eset\u00e9n az \u00fatvonalad m\u00e9g mindig kisz\u0171rhet\u0151 (m\u00e9g a helyes AS_PATH eset\u00e9n is), ha a prefix nem tartozik az upstream-n\u00e9l be\u00e1ll\u00edtott \u00fcgyf\u00e9lk\u00fapodhoz. M\u00e1sodszor, egy \u00e9rv\u00e9nyes AS_PATH \u00e9rv\u00e9nytelenn\u00e9 v\u00e1lhat, ha a l\u00e9trehozott \u00fatvonalat helytelen ir\u00e1nyokban hirdetik, \u00edgy megszegve a forgalomir\u00e1ny\u00edt\u00e1si politik\u00e1t. V\u00e9g\u00fcl, b\u00e1rmilyen \u00fatvonal, amelynek prefixe megszegi a ROA hossz\u00e1t, \u00e9rv\u00e9nytelennek tekinthet\u0151.<\/p>\n

Incidens<\/h3>\n

\nN\u00e9h\u00e1ny h\u00e9ttel ezel\u0151tt egy felhaszn\u00e1l\u00f3nkt\u00f3l panaszt kaptunk. Olyan \u00fatvonalakat l\u00e1ttunk az origin ASN-j\u00e9vel \u00e9s \/25 prefixekkel, mik\u00f6zben a felhaszn\u00e1l\u00f3 azt \u00e1ll\u00edtotta, hogy nem hirdette \u0151ket.<\/p>\n

TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.0\/25|265466 262761 263444 22356 3491 2914 9121|HI\u00c1NYZIK|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.128\/25|265466 262761 263444 22356 3491 2914 9121|HI\u00c1NYZIK|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.0\/25|265466 262761 263444 6762 2914 9121|HI\u00c1NYZIK|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.128\/25|265466 262761 263444 6762 2914 9121|HI\u00c1NYZIK|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.0\/25|265466 262761 263444 22356 3491 2914 9121|HI\u00c1NYZIK|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.128\/25|265466 262761 263444 22356 3491 2914 9121|HI\u00c1NYZIK|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.0\/25|265466 262761 263444 6762 2914 9121|HI\u00c1NYZIK|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.128\/25|265466 262761 263444 6762 2914 9121|HI\u00c1NYZIK|xxx|0|0||NAG||<\/code>
\nHirdet\u00e9si p\u00e9ld\u00e1k 2019 \u00e1prilis\u00e1nak elej\u00e9r\u0151l<\/i><\/p>\n

Az NTT \u00fatvonala a \/25 prefixhez k\u00fcl\u00f6n\u00f6sen gyan\u00fass\u00e1 teszi. Az incidens alatt az LG NTT semmit nem tudott err\u0151l az \u00fatvonalr\u00f3l. Sz\u00f3val igen, valaki l\u00e9trehoz egy teljes AS_PATH-ot ezekhez a prefixekhez! M\u00e1s routereken v\u00e9gzett ellen\u0151rz\u00e9s lehet\u0151v\u00e9 teszi egy k\u00fcl\u00f6nleges ASN kiemel\u00e9s\u00e9t: AS263444. M\u00e1s, ezzel az auton\u00f3m rendszerr\u0151l sz\u00e1rmaz\u00f3 \u00fatvonalak megvizsg\u00e1lva a k\u00f6vetkez\u0151 helyzetbe ker\u00fcltek:<\/p>\n

TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.0\/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.128\/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.24.0.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.24.128.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.26.0.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.26.128.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.64.96.0\/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.64.112.0\/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||<\/code>
\nPr\u00f3b\u00e1ld kital\u00e1lni, mi nem stimmel itt<\/i><\/p>\n

\u00dagy t\u0171nik, hogy valaki egy \u00fatvonal prefix\u00e9t vette, kett\u00e9v\u00e1gta, \u00e9s ugyanazzal az AS_PATH-dal hirdette ezt a k\u00e9t prefixet.<\/p>\n

TABLE_DUMP2|1554076800|B|xxx|263444|1.6.36.0\/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|263444|1.6.38.0\/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|61775|1.6.36.0\/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|61775|1.6.38.0\/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|28172|1.6.36.0\/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|28172|1.6.38.0\/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||<\/code>
\nAz egyik p\u00e1r pontosan elv\u00e1lasztott prefix hirdet\u00e9si p\u00e9ld\u00e1i<\/i><\/p>\n

T\u00f6bb k\u00e9rd\u00e9s is felmer\u00fcl. Val\u00f3ban pr\u00f3b\u00e1lta valaki ezt a fajta lehallgat\u00e1st a gyakorlatban? Valaki elfogadta ezeket az \u00fatvonalakat? Milyen prefixek voltak \u00e9rintve?<\/p>\n

Itt kezd\u0151dik a kudarcaink sorozata \u00e9s egy \u00fajabb csal\u00f3d\u00e1s a jelenlegi internetes eg\u00e9szs\u00e9g\u00fcgyi \u00e1llapotban.<\/p>\n

A kudarcok \u00fatja<\/h3>\n

\nMindent sorj\u00e1ban. Hogyan hat\u00e1rozhatjuk meg, hogy mely routerek fogadt\u00e1k el ezeket a lehallgatott \u00fatvonalakat \u00e9s kinek a forgalma ir\u00e1ny\u00edthat\u00f3 m\u00e1r ma? Azt gondoltuk, hogy az \/25 prefixekkel \u00e9rdemes kezdeni, mert ezek \"egyszer\u0171en nem lehetnek glob\u00e1lis eloszl\u00e1s\u00faak\". Ahogy sejthet\u0151 \u2014 nagyon t\u00e9vedt\u00fcnk. Ez a metrika t\u00fal zajos volt, \u00e9s az ilyen prefixek ak\u00e1r Tier-1 szolg\u00e1ltat\u00f3kt\u00f3l is megjelenhetnek. P\u00e9ld\u00e1ul az NTT-nek k\u00f6r\u00fclbel\u00fcl 50 ilyen prefixe van, amelyeket a saj\u00e1t \u00fcgyfeleinek terjeszt. M\u00e1s r\u00e9szr\u0151l azonban ez a metrika gyenge, mert az ilyen prefixek kisz\u0171rhet\u0151k, ha a szolg\u00e1ltat\u00f3 alkalmazza a kis prefixek sz\u0171r\u00e9s\u00e9t<\/a><\/noindex>, minden ir\u00e1nyba. Ez\u00e9rt ez a m\u00f3dszer nem alkalmas arra, hogy megtal\u00e1ljuk az \u00f6sszes szolg\u00e1ltat\u00f3t, akinek a forgalma egy ilyen esem\u00e9ny k\u00f6vetkezt\u00e9ben \u00e1tir\u00e1ny\u00edt\u00e1sra ker\u00fclt.<\/p>\n

Egy m\u00e1sik j\u00f3 \u00f6tletnek t\u0171nt megn\u00e9zni a POV<\/a><\/noindex>. K\u00fcl\u00f6n\u00f6sen a maxLength szab\u00e1lyt megs\u00e9rt\u0151 \u00fatvonalakra. \u00cdgy megtal\u00e1lhatn\u00e1nk azokat a k\u00fcl\u00f6nb\u00f6z\u0151 origin ASN-eket, amelyek Invalid st\u00e1tusz\u00faak, \u00e9s amelyek l\u00e1that\u00f3ak voltak az adott AS sz\u00e1m\u00e1ra. Azonban van egy \"kis\" probl\u00e9ma. Ennek az \u00e9rt\u00e9knek (a k\u00fcl\u00f6nb\u00f6z\u0151 origin ASN-ek sz\u00e1m\u00e1nak) az \u00e1tlag (medi\u00e1n \u00e9s m\u00f3d) k\u00f6r\u00fclbel\u00fcl 150, \u00e9s m\u00e9g ha kisz\u0171rj\u00fck is a kis prefixeket, akkor is 70 felett marad. Ennek az \u00e1llapotnak meglehet\u0151sen egyszer\u0171 magyar\u00e1zata van: nagyon kev\u00e9s szolg\u00e1ltat\u00f3 alkalmaz ROA-sz\u0171r\u0151ket az \"Invalid \u00fatvonalak visszavon\u00e1s\u00e1ra\" a bel\u00e9p\u00e9si pontokon, ez\u00e9rt b\u00e1rmikor, amikor a val\u00f3s vil\u00e1gban olyan \u00fatvonal jelenik meg, amely megs\u00e9rti a ROA-t, az minden ir\u00e1nyban terjedhet.<\/p>\n

Az utols\u00f3 k\u00e9t megk\u00f6zel\u00edt\u00e9s lehet\u0151v\u00e9 teszi, hogy megtal\u00e1ljuk azokat a szolg\u00e1ltat\u00f3kat, akik \u00e9szlelt\u00e9k a mi incidens\u00fcnket (mivel az el\u00e9g nagy volt), de \u00f6sszess\u00e9g\u00e9ben nem alkalmazhat\u00f3ak. Rendben, de megtal\u00e1lhatjuk a t\u00e1mad\u00f3t? Mik a AS_PATH manipul\u00e1ci\u00f3j\u00e1nak \u00e1ltal\u00e1nos jellemz\u0151i? Van n\u00e9h\u00e1ny alapvet\u0151 felt\u00e9telez\u00e9s:<\/p>\n