{"id":35550,"date":"2019-10-31T22:04:58","date_gmt":"2019-10-31T19:04:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/pochemu-internet-do-sih-por-onlajn\/"},"modified":"2019-10-31T22:04:58","modified_gmt":"2019-10-31T19:04:58","slug":"pochemu-internet-do-sih-por-onlajn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/pochemu-internet-do-sih-por-onlajn","title":{"rendered":"Perch\u00e9 Internet \u00e8 ancora online?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Internet sembra una struttura forte, indipendente e inalterabile. In teoria, la robustezza della rete sarebbe sufficiente per sopravvivere a un'esplosione nucleare. Nella realt\u00e0, l'internet pu\u00f2 crollare a causa di un piccolo router. Tutto ci\u00f2 \u00e8 dovuto al fatto che l'internet \u00e8 un insieme di contraddizioni, vulnerabilit\u00e0, errori e video di gattini. Alla base di internet c'\u00e8 il protocollo BGP, che presenta numerosi problemi. \u00c8 sorprendente che sia ancora attivo. Oltre agli errori all'interno di internet, \u00e8 vulnerabile anche a chiunque possa approfittarne: grandi fornitori di servizi internet, corporazioni, stati e attacchi DDoS. Cosa fare con tutto ci\u00f2 e come viverci?<\/p>\n

\"Perch\u00e9
\n
\nLa risposta la conosce Aleksey Uchakin<\/b> (Night_Snake<\/a><\/noindex>) \u00e8 il leader del team di ingegneri di rete presso IQ Option. Il suo compito principale \u00e8 garantire l'accessibilit\u00e0 della piattaforma per gli utenti. Nella sua relazione al\u00a0Saint HighLoad++ 2019<\/a><\/noindex> parleremo di BGP, attacchi DDoS, interruttori per l'internet, errori dei fornitori, decentralizzazione e situazioni in cui un piccolo router ha messo internet a dormire. Alla fine, alcune raccomandazioni su come affrontare tutto questo.
\n<\/a><\/noindex>
\n

\r\n \"Riproduci\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Il giorno in cui internet \u00e8 crollato<\/h2>\n

\nRiporter\u00f2 solo alcuni incidenti in cui la connettivit\u00e0 di Internet \u00e8 andata in tilt. Sar\u00e0 sufficiente per avere un quadro completo.<\/p>\n

\u00abL'incidente di AS7007\u00bb<\/b>. La prima volta che Internet si \u00e8 interrotto \u00e8 stata nell'aprile del 1997. Nel software di un router del sistema autonomo 7007 c'era un errore. A un certo punto, il router ha annunciato ai suoi vicini la propria tabella di routing interna e ha inviato met\u00e0 della rete in un black hole.<\/p>\n

\u00abIl Pakistan contro YouTube\u00bb<\/b>. Nel 2008, i ragazzi coraggiosi del Pakistan hanno deciso di bloccare YouTube nel loro paese. Lo hanno fatto cos\u00ec bene che il mondo \u00e8 rimasto senza gattini.<\/p>\n

\u00abL'acquisizione dei prefissi VISA, MasterCard e Symantec da parte di Rostelecom\u00bb<\/b>. Nel 2017, Rostelecom ha erroneamente iniziato ad annunciare i prefissi VISA, MasterCard e Symantec. Di conseguenza, il traffico finanziario \u00e8 stato indirizzato attraverso i canali controllati dal provider. La fuga \u00e8 durata poco, ma \u00e8 stata sgradevole per le societ\u00e0 finanziarie.<\/p>\n

\u00abGoogle contro il Giappone\u00bb<\/b>. Nell'agosto 2017, Google ha iniziato ad annunciare alcuni prefissi di grandi provider giapponesi come NTT e KDDI. Il traffico \u00e8 stato inviato a Google come transitorio, probabilmente per errore. Poich\u00e9 Google non \u00e8 un provider e non gestisce traffico transitorio, gran parte del Giappone \u00e8 rimasta senza Internet.<\/p>\n

\u00abDV LINK ha acquisito i prefissi di Google, Apple, Facebook, Microsoft\u00bb<\/b>. Nello stesso anno, il provider russo DV LINK ha iniziato a annunciare per qualche motivo le reti di Google, Apple, Facebook, Microsoft e di altri grandi attori.<\/p>\n

\u00abeNet dagli Stati Uniti ha acquisito i prefissi di AWS Route53 e MyEtherwallet\u00bb<\/b>. Nel 2018, un provider dell'Ohio o qualcuno dei suoi clienti ha annunciato le reti di Amazon Route53 e del portafoglio criptato MyEtherwallet. L'attacco \u00e8 stato un successo: nonostante il certificato autofirmato, avviso del quale appariva agli utenti tentando di accedere al sito MyEtherwallet, molti portafogli sono stati compromessi e parte delle criptovalute sottratte.<\/p>\n

Solo nel 2017 ci sono stati pi\u00f9 di 14.000 di questi incidenti! La rete \u00e8 ancora decentralizzata, quindi non tutto si rompe e non a tutti. Ma gli incidenti avvengono in migliaia, e tutti sono legati al protocollo BGP, su cui si basa Internet.<\/p>\n

BGP e i suoi problemi<\/h2>\n

\nProtocollo BGP - Border Gateway Protocol<\/b>, descritto per la prima volta nel 1989 da due ingegneri di IBM e Cisco Systems su tre \"tovaglioli\" - fogli di formato A4. Questi \"tovaglioli\"<\/a><\/noindex> ripostati nel quartier generale di Cisco Systems a San Francisco come reliquia del mondo delle reti.<\/p>\n

Alla base del protocollo c'\u00e8 l'interazione delle autonomie sistemiche<\/b>\u00a0\u2014 Autonomous Systems o, in breve, AS. Un sistema autonomo \u00e8 semplicemente un ID, sotto il quale nelle registrazioni pubbliche sono associate reti IP. Un router con tale ID pu\u00f2 annunciare al mondo queste reti. Di conseguenza, qualsiasi percorso su Internet pu\u00f2 essere rappresentato come un vettore, noto come AS Path<\/b>. Il vettore \u00e8 composto da numeri di sistemi autonomi che devono essere attraversati per raggiungere la rete di destinazione.<\/p>\n

Ad esempio, esiste una rete formata da un certo numero di sistemi autonomi. Si deve passare dal sistema AS65001 al sistema AS65003. Il percorso da un sistema \u00e8 rappresentato dall'AS Path nello schema. Esso \u00e8 composto da due autonome: 65002 e 65003. Per ogni indirizzo di destinazione esiste un vettore AS Path composto dai numeri dei sistemi autonomi che dobbiamo attraversare.<\/p>\n

\"Perch\u00e9
\n
\nQuali sono quindi i problemi del BGP?<\/p>\n

BGP \u00e8 un protocollo di fiducia<\/h3>\n

\nIl protocollo BGP \u00e8 basato sulla fiducia. Ci\u00f2 significa che di default ci fidiamo del nostro vicino. \u00c8 una caratteristica di molti protocolli sviluppati all'alba di Internet. Vediamo cosa significa \"fidarsi\".<\/p>\n

Nessuna autenticazione del vicino<\/b>. Formalmente esiste MD5, ma MD5 nel 2019 \u00e8... beh, cos\u00ec cos\u00ec...<\/p>\n

Nessun filtraggio<\/b>. BGP ha dei filtri, e sono descritti, ma non vengono utilizzati, o vengono utilizzati in modo errato. Spiegher\u00f2 pi\u00f9 tardi perch\u00e9.<\/p>\n

\u00c8 molto semplice stabilire una vicinanza<\/b>. Configurare la vicinanza nel protocollo BGP \u00e8 quasi questione di poche righe di configurazione su qualsiasi router.<\/p>\n

Non sono necessari diritti per gestire BGP<\/b>. Non \u00e8 necessario superare esami che attestino la tua qualificazione. Nessuno ti toglier\u00e0 i diritti per configurare BGP in stato di ebbrezza.<\/p>\n

Due principali problemi<\/h3>\n

\nFurti di prefissi - prefix hijacks<\/b>. Il furto di un prefisso \u00e8 l'annuncio di una rete che non ti appartiene, come nel caso di MyEtherwallet. Abbiamo preso alcuni prefissi, ci siamo accordati con il fornitore o lo abbiamo violato, e attraverso di lui annunciamo queste reti.<\/p>\n

Fughe di rotte - route leaks<\/b>. Le fughe di rotte sono un po' pi\u00f9 complicate. Una fuga \u00e8 una modifica dell'AS Path<\/b>. Nel migliore dei casi, la modifica comporter\u00e0 un ritardo maggiore, poich\u00e9 sar\u00e0 necessario percorrere un percorso pi\u00f9 lungo o una connessione meno performante. Nel peggiore dei casi, si ripeter\u00e0 quanto accaduto con Google e il Giappone.<\/p>\n

Lo stesso Google non \u00e8 un operatore e non \u00e8 un sistema autonomo di transito. Ma quando ha annunciato al suo provider di rete degli operatori giapponesi, il traffico attraverso Google sembrava pi\u00f9 prioritario lungo il percorso AS. Il traffico \u00e8 stato dirottato l\u00ec ed \u00e8 dropato semplicemente perch\u00e9 le impostazioni di routing interne di Google sono pi\u00f9 complesse dei semplici filtri al confine.<\/p>\n

Perch\u00e9 i filtri non funzionano?<\/h3>\n

\nNessuno se ne importa<\/b>. Questa \u00e8 la ragione principale: a nessuno interessa. L'amministratore di un piccolo provider o di un'azienda che si \u00e8 connessa a un provider tramite BGP ha preso un MikroTik, l'ha configurato per BGP e non sa nemmeno che si possono impostare filtri.<\/p>\n

Errori di configurazione<\/b>. Qualcosa \u00e8 stato debuggato, si \u00e8 sbagliato nella maschera, \u00e8 stata impostata la rete sbagliata - ecco, un altro errore.<\/p>\n

Mancanza di capacit\u00e0 tecnica<\/b>. Ad esempio, i fornitori di telecomunicazioni hanno molti clienti. \u00c8 intelligente aggiornare automaticamente i filtri per ciascun cliente \u2013 monitorare se quale nuova rete appare, se ha affittato la sua rete a qualcun altro. Fare questo manualmente \u00e8 difficile, a mano \u2013 ancora di pi\u00f9. Pertanto, si usano semplicemente filtri pi\u00f9 permissivi oppure non si utilizzano affatto filtri.<\/p>\n

Eccezioni<\/b>. Ci sono eccezioni per clienti molto importanti e fedeli. Specialmente nel caso di interconnessioni tra operatori. Ad esempio, TransTeleCom e Rostelecom hanno molte reti e c'\u00e8 un'interconnessione tra di loro. Se l'interconnessione si interrompe \u2013 nessuno star\u00e0 bene, quindi i filtri vengono allentati o addirittura rimossi completamente.<\/p>\n

Informazioni obsolete o non aggiornate in IRR<\/b>. I filtri vengono costruiti sulla base delle informazioni registrate in\u00a0IRR \u2013 Internet Routing Registry<\/b>. Questi sono registri degli registratori internet regionali. Spesso nei registri ci sono informazioni obsolete o non aggiornate, oppure entrambi.<\/p>\n

Chi sono questi registratori?<\/h3>\n

\"Perch\u00e9
\n
\nTutti gli indirizzi su internet appartengono all'organizzazione IANA \u2013 Internet Assigned Numbers Authority<\/b>. Quando acquisti una rete IP da qualcuno, non stai comprando indirizzi, ma il diritto al loro utilizzo. Gli indirizzi sono una risorsa immateriale e, per accordo generale, appartengono tutti all'agenzia IANA.<\/p>\n

Il sistema funziona cos\u00ec. IANA delega la gestione degli indirizzi IP e dei numeri di sistemi autonomi a cinque registri regionali. Questi emettono sistemi autonomi LIR - registri internet locali<\/b>. Successivamente, i LIR assegnano indirizzi IP agli utenti finali.<\/p>\n

Il difetto del sistema \u00e8 che ciascun registro regionale tiene i suoi registri in modo diverso. Ognuno ha le proprie opinioni su quali informazioni dovrebbero essere contenute nei registri, chi dovrebbe o non dovrebbe verificarle. Il risultato \u00e8 il caos che esiste attualmente.<\/p>\n

In che altro modo si possono affrontare questi problemi?<\/h3>\n

\nIRR - qualit\u00e0 mediocre<\/b>. Con IRR \u00e8 chiaro - l\u00ec le cose non vanno bene.<\/p>\n

BGP-communities<\/b>. Questo \u00e8 un attributo descritto nel protocollo. Possiamo, ad esempio, applicare una community speciale al nostro annuncio, per evitare che i vicini inviino le nostre reti ai loro conoscenti. Con un link P2P, condividiamo solo le nostre reti. Per prevenire che accidentalmente il percorso vada verso reti diverse, applichiamo la community.<\/p>\n

Le community non sono transitive<\/b>. \u00c8 sempre un accordo tra due parti, e questo \u00e8 il loro svantaggio. Non possiamo applicare alcuna community, tranne una, che viene accettata per impostazione predefinita da tutti. Non possiamo essere certi che questa community verr\u00e0 accettata e interpretata correttamente. Pertanto, nel miglior caso, se ti accordi con il tuo uplink, lui comprender\u00e0 cosa desideri da lui tramite la community. Ma il suo vicino potrebbe non capirlo, oppure l'operatore potrebbe semplicemente scartare il tuo tag, e non otterrai ci\u00f2 che desideravi.<\/p>\n

RPKI + ROA risolve solo una piccola parte dei problemi<\/b>. RPKI \u00e8 Resource Public Key Infrastructure\u00a0<\/b> \u2014 un framework speciale per firmare le informazioni sui percorsi. \u00c8 una buona idea spingere gli LIR e i loro clienti a mantenere un registro aggiornato dello spazio indirizzi. Ma presenta un problema.<\/p>\n

RPKI \u00e8 anche un sistema gerarchico di chiavi pubbliche. IANA ha una chiave da cui vengono generate le chiavi RIR, e da esse le chiavi LIR, che firmano il loro spazio di indirizzamento tramite ROA - Route Origin Authorisations:<\/p>\n

\u2014 Garantisco che questo prefisso sar\u00e0 annunciato a nome di questa autonoma.<\/i><\/p>\n

Oltre alle ROA, ci sono altri oggetti, ma di questo parleremo in seguito. Sembra che sia una cosa buona e utile. Tuttavia, non ci protegge affatto dalle perdite e non risolve tutti i problemi di furto dei prefissi. Pertanto, gli operatori non hanno fretta di implementarlo. Anche se gi\u00e0 da grandi attori come AT&T e grandi IX c'\u00e8 la garanzia che i prefissi con registrazione ROA invalid sono destinati a essere eliminati. <\/p>\n

Forse lo faranno, ma al momento abbiamo un enorme numero di prefissi che non sono stati firmati in alcun modo. Da un lato, non \u00e8 chiaro se sono validi per l'annuncio. Dall'altro, non possiamo eliminarli per default, perch\u00e9 non siamo sicuri che sia corretto o meno.<\/p>\n

Cosa c'\u00e8 di nuovo?<\/h3>\n

\nBGPSec<\/b>. \u00c8 una cosa interessante, che \u00e8 stata ideata da accademici per una rete di pony rosa. Hanno detto:<\/p>\n

\u2014 Abbiamo RPKI + ROA \u2014 un meccanismo di attestazione della firma dello spazio indirizzi. Creiamo un attributo BGP separato e chiamiamolo BGPSec Path. Ogni router firmer\u00e0 con la propria firma gli annunci che divulga ai vicini. In questo modo otterremo un percorso fidato da una catena di annunci firmati e potremo verificarlo.<\/i><\/p>\n

In teoria va bene, ma nella pratica ci sono molti problemi. BGPSec rompe molte meccaniche esistenti di BGP per la scelta del next-hop e per la gestione del traffico in entrata\/uscita direttamente sul router. BGPSec non funziona fino a quando non \u00e8 adottato dal 95% dei partecipanti del mercato, il che \u00e8 di per s\u00e9 un'utopia.<\/p>\n

BGPSec ha enormi problemi di prestazioni. Sull'hardware attuale, la velocit\u00e0 di verifica degli annunci \u00e8 di circa 50 prefissi al secondo. A titolo di confronto: l'attuale tabella di internet con 700.000 prefissi ci vorr\u00e0 5 ore a essere caricata, durante le quali 10 volte cambier\u00e0.<\/p>\n

BGP Open Policy (BGP basato sui ruoli)<\/b>. Una proposta fresca basata sul modello Gao-Rexford<\/b>. Sono due studiosi che si occupano della ricerca su BGP.<\/p>\n

Il modello di Gao-Rexford consiste nel seguente. Per semplificare, nel caso di BGP ci sono pochi tipi di interazioni:<\/p>\n