פגיעה בחשבון גרמה לכשל בניתוב BGP של Orange Espagne

הפשרה של חשבון מנהל הובילה להפסקה של כמעט ארבע שעות אצל מפעילת הטלקום הספרדית השנייה בגודלה Orange Espagne, המשרתת 11 מיליון מנויים. כדי לגשת לממשק הרשם של RIPE NCC ב-Orange Espagne, נעשה שימוש בסיסמה הצפויה "ripeadmin" ואימות דו-גורמי לא הופעל.

סיסמת RIPE יורטה כאשר מערכת של עובד נדבקה בתוכנה זדונית ונמצאת במאגרי סיסמאות שנפרצו שנמכרו בשוק השחור מאז ספטמבר. ראוי לציין כי בנוסף לחשבון Orange Espagne, מאגרי מידע אלו מכילים אלפי חשבונות נוספים לחיבור ל-access.ripe.net, אשר עשויים לשמש לביצוע התקפות דומות.

התקרית נותרה בלתי מזוהה עד ה-2 בינואר, אז נכנס ונדל לממשק האינטרנט של RIPE NCC וביצע שינויים בהגדרות BGP ו-RPKI (Resource Public Key Infrastructure), ולאחר מכן הניתוב של כמחצית מתעבורת המפעיל הופרע במשך כמעט ארבע שעות תקשורת. פעולות התוקפים הובילו לכך שטכנולוגיית RPKI, שנועדה להגן על הודעות BGP מפני זיוף, שימשה לחסימת הודעות לגיטימיות.

התוקף יצר מספר רשומות RPKI ROA חדשות (Route Origin Authorization), ביניהן רשומות המקשרות בלוקים גדולים של כתובות Orange Espagne למערכת האוטונומית של מישהו אחר, מה שהוביל לעובדה שהודעות BGP נכונות מהמערכת האוטונומית של מפעיל זה החלו להיות. חסום בנתבים של מפעילי עמוד שדרה רבים. כתוצאה מכך, מספר מסלולי ה-BGP הקשורים ל-Orange Espagne צומצם מ-9200 ל-7400, והתנועה ירדה בכמעט חצי.

RPKI (תשתית מפתח ציבורי של משאבים) משמשת לאשר הודעות BGP ומאפשרת לך לקבוע אם הודעת BGP מגיעה מבעל הרשת או לא. בעת שימוש ב-RPKI עבור מערכות אוטונומיות וכתובות IP, נבנית שרשרת אמון מ-IANA לרשמים אזוריים (RIRs), ולאחר מכן לספקי שירותים (LIRs) ומשתמשי קצה, המאפשרת לצדדים שלישיים לוודא שתפעול המשאב היה מבוצע על ידי בעליו. ללא אישור, כל מפעיל יכול לפרסם תת-רשת עם מידע פיקטיבי על אורך המסלול וליזום מעבר דרכו של חלק מהתנועה ממערכות אחרות שאינן מיישמות סינון פרסומות.

מקור: OpenNet.ru