La compromission dell'account amministratore ha causato quasi quattro ore di interruzione nel funzionamento del secondo operatore di telecomunicazioni spagnolo, Orange Espagne, che serve 11 milioni di abbonati. Per accedere all'interfaccia del registratore RIPE NCC, Orange Espagne ha utilizzato una password prevedibile "ripeadmin" e l'autenticazione a due fattori non era attivata.
La password per RIPE è stata intercettata durante il compromesso del sistema di un dipendente da parte di un malware e da settembre si trovava in database di password compromesse in vendita nel mercato nero. È notevole che, oltre all'account di Orange Espagne, in questi database siano presenti anche migliaia di altri account per accedere a access.ripe.net, che potrebbero potenzialmente essere utilizzati per attacchi simili.
L'incidente è rimasto inosservato fino al 2 gennaio, quando un vandalo ha effettuato l'accesso all'interfaccia web di RIPE NCC e ha apportato modifiche alle impostazioni BGP e RPKI (Resource Public Key Infrastructure), causando quasi quattro ore di interruzione nella routizzazione di circa la metà del traffico dell'operatore di rete. Le azioni degli attaccanti hanno comportato che la tecnologia RPKI, progettata per proteggere gli annunci BGP dalla falsificazione, fosse utilizzata per bloccare annunci legittimi.
L'attaccante ha creato diverse nuove registrazioni RPKI ROA (Route Origin Authorization), tra cui registrazioni che collegano grandi blocchi di indirizzi di Orange Espagne a un sistema autonomo straniero, portando a un blocco degli annunci BGP corretti dal sistema autonomo di questo operatore sui router di molti operatori di rete di livello 1. Di conseguenza, il numero di rotte BGP associate a Orange Espagne è sceso da 9200 a 7400, con un calo quasi della metà del traffico.
RPKI (Resource Public Key Infrastructure) è utilizzato per autorizzare gli annunci BGP e consente di determinare se un annuncio BGP provenga dal legittimo proprietario della rete o meno. Quando si utilizza RPKI per le sistemi autonomi e IP addresses si costruisce una catena di fiducia da IANA ai registratori regionali (RIR), poi ai fornitori (LIR) e infine ai consumatori finali, che consente a terzi di verificare che l'operazione con la risorsa sia stata effettuata dal suo proprietario. Senza l'uso di autorizzazione, qualsiasi operatore può annunciare una subnet con informazioni false sulla lunghezza del percorso e avviare il transito di parte del traffico da altri sistemi che non applicano il filtraggio degli annunci.
Fonte: opennet.ru
