Gli sviluppatori della piattaforma di sviluppo collaborativo SourceHut hanno pubblicato un rapporto sull'incidente che ha interrotto il servizio per 7 giorni a causa di un prolungato attacco DDoS, per il quale l'infrastruttura del progetto non era preparata. I servizi di base sono stati ripristinati il terzo giorno, ma alcuni servizi sono rimasti non disponibili dal 10 al 17 gennaio. Nella fase iniziale dell'attacco, gli sviluppatori non sono riusciti a reagire e a tentare di affrontare il problema sui loro server, poiché tutto il traffico verso i server SourceHut è stato completamente bloccato dal provider superiore.
Per garantire il funzionamento di SourceHut venivano utilizzati server in tre data center. Nel primo veniva eseguita la configurazione operativa, il secondo era utilizzato per il backup e il terzo era impiegato per esperimenti di migrazione dell'infrastruttura verso una realizzazione del servizio più scalabile e resiliente (si stava sviluppando una versione di SourceHut di nuova generazione).
Per risolvere la questione dell'accesso ai propri server nel principale data center dopo il blocco, sono servite circa 9 ore, ma gli sviluppatori non sono riusciti a fare nulla, poiché al mattino l'attacco si è intensificato e ha iniziato a coprire tutta la sottorete, dopo di che il fornitore ha di nuovo riassegnato il traffico a un'interfaccia null. Gli sviluppatori sono stati costretti a lavorare urgentemente al deployment dell'infrastruttura SourceHut in un altro data center da backup (la sottorete temporanea per accedere ai server principali è stata ottenuta solo dopo 2 giorni).
Per proteggersi da un attacco DDoS a livello di rete, è stato ritenuto ottimale collocare un intermediario server sulla rete del fornitore di servizi cloud OVH, che offre protezione DDoS. Tutte le richieste venivano indirizzate a questo server e poi trasmesse all'infrastruttura operativa. Durante la migrazione, non è stato possibile evitare errori che hanno richiesto ulteriore tempo, come ad esempio un recupero errato utilizzando l'utility rsync, ci sono stati errori nella configurazione della rete e sono state devono risolvere problemi di reindirizzamento del traffico (prima che intervenisse la protezione DDoS di OVH, il traffico dell'attacco DDoS veniva trasmesso ai server operativi, il che ha fatto reagire il sistema di protezione DDoS, riconoscendo il server che accettava le richieste come fonte dell'attacco).
Gli sviluppatori hanno anche inviato una richiesta a Cloudflare e ad alcuni altri servizi di protezione DDoS, ma il costo della protezione risultava eccessivamente alto. In seguito, i membri di Cloudflare sono riusciti a negoziare con la direzione per fornire protezione al progetto SourceHut gratuitamente come supporto sponsorizzato, ma gli sviluppatori di SourceHut hanno rifiutato l'offerta, poiché a quel punto avevano già fatto progressi significativi nella risoluzione del problema con le proprie forze.
L'implementazione della nuova infrastruttura di SourceHut e il trasferimento del progetto su server in un altro data center erano previsti gradualmente per un periodo minimo di un anno, ma date le circostanze attuali, la migrazione è stata effettuata d'urgenza in 7 giorni. Attualmente, tutti i servizi di SourceHut sono stati trasferiti in un altro data center e il funzionamento della piattaforma è completamente ripristinato.
La piattaforma SourceHut si distingue per un'interfaccia originale, diversa da GitHub e GitLab, ma semplice, molto veloce e funzionante senza JavaScript. SourceHut offre funzionalità come gestione di repository Git e Mercurial pubblici e privati, un sistema di gestione degli accessi flessibile, wiki, ricezione di segnalazioni di bug, un'infrastruttura integrata per l'integrazione continua, chat, discussioni via email, visualizzazione ad albero degli archivi delle mailing list, revisione delle modifiche tramite Web, aggiunta di annotazioni al codice (allegando link e documentazione). Abilitando le impostazioni appropriate, è consentito il coinvolgimento nello sviluppo di utenti senza account locali (autenticazione tramite OAuth o partecipazione via email). Il codice è scritto in Python e Go e distribuito sotto licenza GPLv3.
Fonte: opennet.ru
