La compromissione dell'account amministratore ha portato a quasi quattro ore di downtime per il secondo operatore di telecomunicazioni spagnolo Orange Espagne, che serve 11 milioni di utenti. Per accedere all'interfaccia del registratore RIPE NCC, Orange Espagne ha utilizzato una password prevedibile "ripeadmin" e la autenticazione a due fattori non era attivata.
La password per RIPE è stata intercettata durante la compromissione del sistema di un dipendente da parte di malware e, da settembre, era presente nelle basi di dati vendute nel mercato nero. È interessante notare che, oltre all'account di Orange Espagne, in queste basi sono presenti migliaia di altri account per connettersi a access.ripe.net, che potrebbero essere potenzialmente utilizzati per attacchi simili.
L'incidente è rimasto inosservato fino al 2 gennaio, quando un vandalismo è entrato nell'interfaccia web di RIPE NCC e ha modificato le impostazioni BGP e RPKI (Resource Public Key Infrastructure), a seguito del quale, per quasi quattro ore, è stata compromessa la routing di circa metà del traffico dell'operatore di telecomunicazioni. Le azioni degli attaccanti hanno fatto sì che la tecnologia RPKI, progettata per proteggere gli annunci BGP dalla falsificazione, fosse utilizzata per bloccare gli annunci legittimi.
L'attaccante ha creato diversi nuovi record RPKI ROA (Route Origin Authorization), tra cui alcuni che legavano grandi blocchi di indirizzi di Orange Espagne a un altro sistema autonomo, causando il blocco degli annunci BGP corretti da parte del sistema autonomo di questo operatore sui router di molti operatori di rete. Di conseguenza, il numero di percorsi BGP legati a Orange Espagne è diminuito da 9200 a 7400, e il traffico si è quasi dimezzato.
RPKI (Resource Public Key Infrastructure) è utilizzato per l'autenticazione degli annunci BGP e consente di verificare se un annuncio BGP proviene o meno dal proprietario della rete. Quando si utilizza RPKI per i sistemi autonomi e indirizzi IP si costruisce una catena di fiducia da IANA ai registratori regionali (RIR), poi ai fornitori (LIR) e infine ai consumatori finali, che consente a terzi di verificare che l'operazione con la risorsa sia stata eseguita dal suo proprietario. Senza l'autenticazione, qualsiasi operatore può annunciare una sottorete con informazioni fasulle sulla lunghezza del percorso e avviare il transito attraverso di sé di parte del traffico di altri sistemi che non applicano il filtraggio degli annunci.
Fonte: opennet.ru
