{"id":35550,"date":"2019-10-31T22:04:58","date_gmt":"2019-10-31T19:04:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/pochemu-internet-do-sih-por-onlajn\/"},"modified":"2019-10-31T22:04:58","modified_gmt":"2019-10-31T19:04:58","slug":"pochemu-internet-do-sih-por-onlajn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/pochemu-internet-do-sih-por-onlajn","title":{"rendered":"Perch\u00e9 Internet \u00e8 ancora online?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Internet sembra una struttura forte, indipendente e inespugnabile. In teoria, la robustezza della rete dovrebbe essere sufficiente per sopravvivere a un'esplosione nucleare. In realt\u00e0, Internet pu\u00f2 andare in tilt a causa di un piccolo router. Questo perch\u00e9 Internet \u00e8 un accumulo di contraddizioni, vulnerabilit\u00e0, errori e video di gattini. La base di Internet, il protocollo BGP, contiene un sacco di problemi. \u00c8 sorprendente che sia ancora in funzione. Oltre agli errori all'interno di Internet, \u00e8 anche soggetto ad attacchi da parte di chiunque: grandi provider di servizi Internet, corporation, stati e attacchi DDoS. Come si pu\u00f2 affrontare tutto ci\u00f2 e come si vive con questa situazione?<\/p>\n

\"Perch\u00e9
\n
\nLa risposta la sa Aleksej U\u010dakin<\/b> (Night_Snake<\/a><\/noindex>) \u00e8 il leader del team di ingegneri di rete nella societ\u00e0 IQ Option. Il suo compito principale \u00e8 garantire la disponibilit\u00e0 della piattaforma per gli utenti. Nella sua presentazione durante\u00a0Saint HighLoad++ 2019<\/a><\/noindex> parleremo di BGP, attacchi DDoS, interruttori di Internet, errori dei provider, decentralizzazione e casi in cui un piccolo router ha fatto addormentare Internet. Alla fine, qualche consiglio su come affrontare tutto questo.
\n<\/a><\/noindex>
\n

\r\n \"Guarda\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Il giorno in cui Internet si \u00e8 bloccato<\/h2>\n

\nRiporter\u00f2 solo alcuni incidenti in cui la connettivit\u00e0 di Internet \u00e8 stata compromessa. Questo sar\u00e0 sufficiente per avere un quadro completo.<\/p>\n

\u00abL'incidente di AS7007\u00bb<\/b>. La prima volta in cui Internet si \u00e8 bloccato \u00e8 stato ad aprile 1997. Nel software di un router del sistema autonomo 7007 c'era un errore. A un certo punto, il router ha annunciato ai vicini la propria tabella di routing interna e ha diretto met\u00e0 della rete in un black hole.<\/p>\n

\u00abPakistan contro YouTube\u00bb<\/b>. Nel 2008, i coraggiosi ragazzi del Pakistan hanno deciso di bloccare YouTube nel loro paese. Hanno fatto cos\u00ec bene che met\u00e0 del mondo \u00e8 rimasta senza gattini.<\/p>\n

\u00abCattura dei prefissi VISA, MasterCard e Symantec da parte di Rostelecom\u00bb<\/b>. Nel 2017, Rostelecom ha erroneamente iniziato a pubblicizzare i prefissi di VISA, MasterCard e Symantec. Di conseguenza, il traffico finanziario \u00e8 stato deviato attraverso canali controllati dal provider. La fuga di dati \u00e8 durata poco, ma \u00e8 stata sgradevole per le societ\u00e0 finanziarie.<\/p>\n

\u00abGoogle contro Giappone\u00bb<\/b>. Nell'agosto 2017, Google ha iniziato a pubblicizzare su parte dei suoi uplink i prefissi dei principali provider giapponesi NTT e KDDI. Il traffico \u00e8 stato inviato a Google come transitario, probabilmente per un errore. Poich\u00e9 Google non \u00e8 un provider e non accetta traffico di transito, una parte significativa del Giappone \u00e8 rimasta senza Internet.<\/p>\n

\u00abDV LINK ha acquisito i prefissi di Google, Apple, Facebook, Microsoft\u00bb<\/b>. Nello stesso 2017, il fornitore russo DV LINK ha iniziato a pubblicizzare, per qualche motivo, le reti di Google, Apple, Facebook, Microsoft e di altri grandi operatori.<\/p>\n

\u00abeNet dagli USA ha acquisito i prefissi di AWS Route53 e MyEtherwallet\u00bb<\/b>. Nel 2018, un fornitore dall'Ohio o uno dei suoi clienti ha annunciato le reti di Amazon Route53 e del wallet crittografico MyEtherwallet. L'attacco \u00e8 riuscito: nonostante un certificato autofirmato, il quale avvisava l'utente all'ingresso nel sito MyEtherwallet, molti wallet sono stati rubati e parte della criptovaluta \u00e8 stata sottratta.<\/p>\n

Solo nel 2017 ci sono stati oltre 14.000 incidenti di questo tipo! La rete \u00e8 ancora decentralizzata, quindi non tutte le parti si rompono e non per tutti. Ma gli incidenti si verificano a migliaia e tutti sono correlati al protocollo BGP, su cui si basa Internet.<\/p>\n

I problemi del BGP<\/h2>\n

\nProtocollo BGP - Border Gateway Protocol<\/b>, descritto per la prima volta nel 1989 da due ingegneri di IBM e Cisco Systems su tre \u00abtovaglioli\u00bb - fogli A4. Questi \u00abtovaglioli\u00bb<\/a><\/noindex> sono ancora custoditi presso la sede centrale di Cisco Systems a San Francisco come una reliquia del mondo delle reti.<\/p>\n

Alla base del protocollo c'\u00e8 l'interazione tra sistemi autonomi<\/b>\u00a0\u2014 Autonomous Systems o, in breve, AS. Un sistema autonomo \u00e8 semplicemente un ID che ha assegnato nella registrazione pubblica delle reti IP. Un router con tale ID pu\u00f2 annunciare queste reti al mondo. Di conseguenza, ogni percorso su Internet pu\u00f2 essere rappresentato come un vettore chiamato AS Path<\/b>. Il vettore \u00e8 composto dai numeri dei sistemi autonomi che devono essere attraversati per raggiungere la rete di destinazione.<\/p>\n

Ad esempio, c'\u00e8 una rete composta da un certo numero di sistemi autonomi. \u00c8 necessario passare dal sistema AS65001 al sistema AS65003. Il percorso da un sistema \u00e8 rappresentato dall'AS Path nel diagramma. \u00c8 composto da due autonomi: 65002 e 65003. Per ogni indirizzo di destinazione esiste un vettore AS Path, composto dai numeri dei sistemi autonomi da attraversare.<\/p>\n

\"Perch\u00e9
\n
\nQuali sono quindi i problemi del BGP?<\/p>\n

Il BGP \u00e8 un protocollo di fiducia<\/h3>\n

\nIl protocollo BGP \u00e8 basato sulla fiducia. Ci\u00f2 significa che di default ci fidiamo del nostro vicino. Questa \u00e8 una caratteristica di molti protocolli sviluppati alle origini di Internet. Vediamo cosa significa \u00abfidarci\u00bb.<\/p>\n

Non c'\u00e8 autenticazione del vicino<\/b>. Formalmente esiste l'MD5, ma l'MD5 nel 2019 \u00e8 \u2026<\/p>\n

Non c'\u00e8 filtraggio<\/b>. BGP ha dei filtri e sono descritti, ma non vengono utilizzati o vengono utilizzati in modo errato. Spiegher\u00f2 pi\u00f9 tardi perch\u00e9.<\/p>\n

\u00c8 molto semplice impostare la vicinanza<\/b>. La configurazione della vicinanza nel protocollo BGP su quasi qualsiasi router richiede solo un paio di righe di configurazione.<\/p>\n

Non sono necessari diritti di gestione BGP<\/b>. Non \u00e8 necessario sostenere esami per convalidare le proprie qualifiche. Nessuno ti toglier\u00e0 i diritti per configurare BGP in stato di ebbrezza.<\/p>\n

Due problemi principali<\/h3>\n

\nRiconfigurazioni di prefissi - prefix hijacks<\/b>. Il dirottamento di un prefisso \u00e8 l'annuncio di una rete che non ti appartiene, come nel caso di MyEtherwallet. Abbiamo preso alcuni prefissi, abbiamo raggiunto un accordo con il fornitore o l'abbiamo violato, e attraverso di lui annunciamo queste reti.<\/p>\n

Fughe di percorso - route leaks<\/b>. Le fughe di percorso sono un po' pi\u00f9 complicate. Una fuga \u00e8 una modifica dell'AS Path<\/b>. Nella migliore delle ipotesi, la modifica porter\u00e0 a un aumento della latenza, perch\u00e9 sar\u00e0 necessario passare attraverso un percorso pi\u00f9 lungo o su un link meno capiente. Nella peggiore delle ipotesi, si ripeter\u00e0 il caso di Google e Giappone.<\/p>\n

Google stesso non \u00e8 un operatore e non \u00e8 un sistema autonomo di transito. Ma quando annunci\u00f2 al suo fornitore le reti degli operatori giapponesi, il traffico attraverso Google \u00e8 apparso come pi\u00f9 prioritario nel AS Path. Il traffico \u00e8 andato l\u00ec e \u00e8 stato perso semplicemente perch\u00e9 le impostazioni di routing all'interno di Google sono pi\u00f9 complesse rispetto a semplici filtri al confine.<\/p>\n

Perch\u00e9 non funzionano i filtri?<\/h3>\n

\nA nessuno importa<\/b>. Questa \u00e8 la causa principale: a tutti non importa. L'amministratore di un piccolo fornitore o di un'azienda che si \u00e8 connessa a un fornitore tramite BGP ha preso un MikroTik, l'ha configurato con BGP e nemmeno sa che ci sono filtri da configurare.<\/p>\n

Errori di configurazione<\/b>. Qualcosa \u00e8 stato debuggato, si \u00e8 sbagliato nella maschera, si \u00e8 impostata la rete sbagliata, e voil\u00e0, di nuovo un errore.<\/p>\n

Nessuna possibilit\u00e0 tecnica<\/b>. Ad esempio, i fornitori di servizi hanno molti clienti. In modo intelligente, bisognerebbe aggiornare automaticamente i filtri per ogni cliente - monitorare che emerga una nuova rete, che abbiano affittato una rete a qualcuno. \u00c8 difficile tenere traccia di tutto questo, a mano \u00e8 ancora pi\u00f9 difficile. Pertanto, si impostano semplicemente filtri rilassati o non si impostano affatto.<\/p>\n

Eccezioni<\/b>. Ci sono eccezioni per i clienti preferiti e grandi. Soprattutto nel caso di interconnessioni tra operatori. Ad esempio, TransTeleCom e Rostelecom hanno molte reti e un'interconnessione tra di loro. Se l'interconnessione si guasta, nessuno sar\u00e0 contento, quindi i filtri vengono allentati o rimossi completamente.<\/p>\n

Informazioni obsolete o non pertinenti in IRR<\/b>. I filtri sono costruiti sulla base delle informazioni registrate in\u00a0IRR - Internet Routing Registry<\/b>. Questi sono i registri degli enti regionali di registrazione di internet. Spesso nei registri ci sono informazioni obsolete o non pertinenti, oppure entrambi.<\/p>\n

Chi sono questi registratori?<\/h3>\n

\"Perch\u00e9
\n
\nTutti gli indirizzi su internet appartengono all'organizzazione IANA - Internet Assigned Numbers Authority<\/b>. Quando acquisti una rete IP da qualcuno, non stai acquistando gli indirizzi, ma il diritto di usarli. Gli indirizzi sono una risorsa immateriale e, per comune accordo, tutti appartengono all'agenzia IANA.<\/p>\n

Il sistema funziona cos\u00ec. IANA delega la gestione degli indirizzi IP e dei numeri di sistema autonomi a cinque registratori regionali. Questi rilasciano sistemi autonomi LIR - registratori internet locali<\/b>. Gli LIR poi assegnano indirizzi IP agli utenti finali.<\/p>\n

Il difetto del sistema \u00e8 che ognuno dei registratori regionali tiene i propri registri a modo suo. Ognuno ha la propria visione su quali informazioni dovrebbero essere contenute nei registri, chi dovrebbe o non dovrebbe verificarle. Di conseguenza, ne risulta un pasticcio come quello attuale.<\/p>\n

Come si possono affrontare ulteriormente questi problemi?<\/h3>\n

\nIRR - qualit\u00e0 mediocre<\/b>. Con l'IRR \u00e8 chiaro: \u00e8 tutto pessimo.<\/p>\n

BGP-communities<\/b>. Questo \u00e8 un certo attributo descritto nel protocollo. Possiamo associare, ad esempio, una community speciale al nostro annuncio, affinch\u00e9 il vicino non invii le nostre reti ai propri vicini. Quando abbiamo un link P2P, scambiamo solo le nostre reti. Per evitare che un percorso venga accidentalmente inviato ad altre reti, associamo una community.<\/p>\n

Le community non sono transitive<\/b>. \u00c8 sempre un accordo tra due, e questo \u00e8 il loro difetto. Non possiamo associare alcuna community, tranne una che \u00e8 accettata per default da tutti. Non possiamo essere certi che questa community venga accettata e interpretata correttamente. Pertanto, nel miglior caso, se concordi con il tuo uplink, lui capir\u00e0 cosa vuoi da lui tramite la community. Ma il suo vicino potrebbe non capirlo, o l'operatore potrebbe semplicemente scartare il tuo tag, e non raggiungerai ci\u00f2 che volevi.<\/p>\n

RPKI + ROA risolve solo una piccola parte dei problemi<\/b>. RPKI \u00e8 Resource Public Key Infrastructure\u00a0<\/b> \u2014 un framework speciale per la firma delle informazioni di routing. \u00c8 una buona idea per costringere i LIR e i loro clienti a mantenere un database attuale dello spazio indirizzi. Ma c'\u00e8 un problema con questo.<\/p>\n

RPKI \u00e8 anche un sistema gerarchico di chiavi pubbliche. IANA ha una chiave da cui sono generate le chiavi RIR, e da esse le chiavi LIR? con le quali firmano il loro spazio indirizzi tramite ROA \u2014 Route Origin Authorisations:<\/p>\n

\u2014 Garantisco che questo prefisso sar\u00e0 annunciato a nome di questa autonomia.<\/i><\/p>\n

Oltre ai ROA ci sono altri oggetti, ma di questo parleremo in seguito. Sembra una cosa buona e utile. Ma non ci protegge per niente dalle perdite e non risolve tutti i problemi con i furti di prefissi. Perci\u00f2 i protagonisti non si affrettano a implementarlo. Anche se gi\u00e0 da grandi attori come AT&T e grandi IX ci sono assicurazioni che i prefissi con registrazione ROA non valida saranno scartati. <\/p>\n

Potrebbero farlo, ma al momento abbiamo un'enorme quantit\u00e0 di prefissi che non sono stati firmati in alcun modo. Da un lato, non \u00e8 chiaro se sono validi per essere annunciati. Dall'altro, non possiamo scartarli per impostazione predefinita perch\u00e9 non siamo sicuri se sia corretto o meno.<\/p>\n

Che cos'altro c'\u00e8?<\/h3>\n

\nBGPSec<\/b>. \u00c8 una cosa fantastica inventata dagli accademici per una rete di ponies rosa. Hanno detto:<\/p>\n

\u2014 Abbiamo RPKI + ROA \u2014 un meccanismo di garanzia per la firma dello spazio indirizzi. Creiamo un attributo BGP separato e lo chiamiamo BGPSec Path. Ogni router firmer\u00e0 con la propria firma gli annunci che comunica ai vicini. In questo modo otterremo un percorso fidato da una catena di annunci firmati che potremo verificare.<\/i><\/p>\n

In teoria \u00e8 bello, ma nella pratica ci sono molti problemi. BGPSec rompe molte meccaniche BGP esistenti per la scelta del next-hop e per la gestione del traffico in entrata\/uscita direttamente sui router. BGPSec non funziona finch\u00e9 non viene implementato dal 95% dei partecipanti al mercato, il che \u00e8 utopico.<\/p>\n

BGPSec ha enormi problemi di prestazioni. Sull'hardware attuale, la velocit\u00e0 di verifica degli annunci \u00e8 di circa 50 prefissi al secondo. Per confronto: l'attuale tabella di internet con 700.000 prefissi richiederebbe 5 ore, durante le quali cambierebbero ulteriormente 10 volte.<\/p>\n

BGP Open Policy (BGP basato su ruoli)<\/b>. Una proposta fresca basata sul modello Gao-Rexford<\/b>. Questi sono due studiosi che studiano BGP.<\/p>\n

Il modello Gao-Rexford consiste nel seguente. Se semplificato, nel caso di BGP ci sono un numero ristretto di tipi di interazioni:<\/p>\n