ການໂຈມຕີ CPDoS ເພື່ອເຮັດໃຫ້ຫນ້າທີ່ໃຫ້ບໍລິການຜ່ານ CDN ບໍ່ສາມາດໃຊ້ໄດ້

ນັກຄົ້ນຄວ້າຈາກມະຫາວິທະຍາໄລ Hamburg ແລະ Cologne
ພັດທະນາ ເຕັກນິກການໂຈມຕີໃໝ່ໃນເຄືອຂ່າຍການຈັດສົ່ງເນື້ອຫາ ແລະຖານຄວາມລັບຂອງຕົວແທນ - CPDoS (Cache-Poisoned Denial-of-Service). ການໂຈມຕີອະນຸຍາດໃຫ້ເຂົ້າເຖິງຫນ້າເວັບທີ່ຖືກປະຕິເສດໂດຍຜ່ານການເປັນພິດຂອງ cache.

ບັນຫາແມ່ນຍ້ອນຄວາມຈິງທີ່ວ່າ CDNs cache ບໍ່ພຽງແຕ່ສໍາເລັດການຮ້ອງຂໍ, ແຕ່ຍັງສະຖານະການໃນເວລາທີ່ເຄື່ອງແມ່ຂ່າຍຂອງ http ກັບຄືນຄວາມຜິດພາດ. ຕາມກົດລະບຽບ, ຖ້າມີບັນຫາກັບການສ້າງຄໍາຮ້ອງຂໍ, ເຄື່ອງແມ່ຂ່າຍຈະອອກຂໍ້ຜິດພາດ 400 (ຄໍາຮ້ອງຂໍທີ່ບໍ່ດີ); ຂໍ້ຍົກເວັ້ນພຽງແຕ່ແມ່ນ IIS, ເຊິ່ງອອກຂໍ້ຜິດພາດ 404 (ບໍ່ພົບ) ສໍາລັບຫົວໃຫຍ່ເກີນໄປ. ມາດຕະຖານພຽງແຕ່ອະນຸຍາດໃຫ້ມີຂໍ້ຜິດພາດກັບລະຫັດ 404 (ບໍ່ພົບ), 405 (ວິທີການບໍ່ອະນຸຍາດໃຫ້), 410 (ຫມົດໄປ) ແລະ 501 (ບໍ່ໄດ້ປະຕິບັດ) ທີ່ຖືກເກັບໄວ້ໃນຖານຄວາມຈໍາ, ແຕ່ບາງ CDNs ຍັງ cache ຄໍາຕອບກັບລະຫັດ 400 (ຄໍາຮ້ອງຂໍທີ່ບໍ່ດີ), ເຊິ່ງຂຶ້ນກັບ. ກ່ຽວກັບຄໍາຮ້ອງຂໍທີ່ສົ່ງ.

ຜູ້ໂຈມຕີສາມາດເຮັດໃຫ້ຊັບພະຍາກອນຕົ້ນສະບັບສົ່ງຄືນຂໍ້ຜິດພາດ "400 Bad Request" ໂດຍການສົ່ງຄໍາຮ້ອງຂໍກັບ HTTP headers ໃນຮູບແບບສະເພາະໃດຫນຶ່ງ. ສ່ວນຫົວເຫຼົ່ານີ້ບໍ່ໄດ້ຖືກພິຈາລະນາໂດຍ CDN, ດັ່ງນັ້ນຂໍ້ມູນກ່ຽວກັບຄວາມບໍ່ສາມາດເຂົ້າຫາຫນ້າເວັບຈະຖືກເກັບໄວ້ໃນຖານຄວາມຈໍາ, ແລະທຸກຄໍາຮ້ອງຂໍຂອງຜູ້ໃຊ້ທີ່ຖືກຕ້ອງກ່ອນເວລາຫມົດເວລາອາດຈະເຮັດໃຫ້ເກີດຄວາມຜິດພາດ, ເຖິງແມ່ນວ່າເວັບໄຊທ໌ຕົ້ນສະບັບໃຫ້ບໍລິການເນື້ອຫາ. ໂດຍບໍ່ມີບັນຫາໃດໆ.

ສາມທາງເລືອກການໂຈມຕີໄດ້ຖືກສະເຫນີເພື່ອບັງຄັບໃຫ້ເຄື່ອງແມ່ຂ່າຍ HTTP ສົ່ງຄືນຂໍ້ຜິດພາດ:

• HMO (HTTP Method Override) - ຜູ້ໂຈມຕີສາມາດ override ວິທີການຮ້ອງຂໍຕົ້ນສະບັບໂດຍຜ່ານ "X-HTTP-Method-Override", "X-HTTP-Method" ຫຼື "X-Method-Override" headers, ສະຫນັບສະຫນູນໂດຍບາງເຄື່ອງແມ່ຂ່າຍ, ແຕ່. ບໍ່ໄດ້ພິຈາລະນາຢູ່ໃນ CDN. ຕົວຢ່າງເຊັ່ນ, ທ່ານສາມາດປ່ຽນວິທີ "GET" ຕົ້ນສະບັບເປັນວິທີການ "DELETE", ເຊິ່ງຖືກຫ້າມຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ, ຫຼືວິທີການ "POST", ເຊິ່ງບໍ່ສາມາດໃຊ້ໄດ້ກັບ statics;
  

• HHO (HTTP Header Oversize) - ຜູ້ໂຈມຕີສາມາດເລືອກຂະຫນາດສ່ວນຫົວເພື່ອໃຫ້ມັນເກີນຂອບເຂດຈໍາກັດຂອງເຄື່ອງແມ່ຂ່າຍແຫຼ່ງ, ແຕ່ບໍ່ຢູ່ໃນຂໍ້ຈໍາກັດຂອງ CDN. ຕົວຢ່າງ, Apache httpd ຈໍາກັດຂະຫນາດ header ກັບ 8 KB, ແລະ Amazon Cloudfront CDN ອະນຸຍາດໃຫ້ headers ສູງສຸດ 20 KB;
  

• HMC (HTTP Meta Character) - ຜູ້ໂຈມຕີສາມາດໃສ່ຕົວອັກສອນພິເສດເຂົ້າໄປໃນຄໍາຮ້ອງຂໍ (\n, \r, \a), ເຊິ່ງຖືວ່າບໍ່ຖືກຕ້ອງໃນເຄື່ອງແມ່ຂ່າຍແຫຼ່ງ, ແຕ່ຖືກລະເລີຍໃນ CDN.
  

ຄວາມອ່ອນໄຫວຕໍ່ກັບການໂຈມຕີຫຼາຍທີ່ສຸດແມ່ນ CloudFront CDN ທີ່ໃຊ້ໂດຍ Amazon Web Services (AWS). ດຽວນີ້ Amazon ໄດ້ແກ້ໄຂບັນຫາໂດຍການປິດການເກັບຂໍ້ມູນຂໍ້ຜິດພາດ, ແຕ່ມັນໃຊ້ເວລານັກຄົ້ນຄ້ວາຫຼາຍກວ່າສາມເດືອນເພື່ອເພີ່ມການປົກປ້ອງ. ບັນຫາດັ່ງກ່າວຍັງສົ່ງຜົນກະທົບຕໍ່ Cloudflare, Varnish, Akamai, CDN77 ແລະ
ໄວ, ແຕ່ການໂຈມຕີຜ່ານພວກມັນຖືກຈໍາກັດກັບເຄື່ອງແມ່ຂ່າຍເປົ້າຫມາຍທີ່ໃຊ້ IIS, ASP.NET, Flask и ຫຼີ້ນ 1. ມັນໄດ້ຖືກບັນທຶກໄວ້, ວ່າ 11% ຂອງໂດເມນຂອງກະຊວງປ້ອງກັນປະເທດສະຫະລັດ, 16% ຂອງ URL ຈາກຖານຂໍ້ມູນ HTTP Archive ແລະປະມານ 30% ຂອງ 500 ເວັບໄຊທ໌ທີ່ໃຫຍ່ທີ່ສຸດທີ່ຖືກຈັດອັນດັບໂດຍ Alexa ອາດຈະຖືກໂຈມຕີ.

ເປັນການແກ້ໄຂບັນຫາເພື່ອສະກັດກັ້ນການໂຈມຕີໃນດ້ານເວັບໄຊທ໌, ທ່ານສາມາດນໍາໃຊ້ຫົວຂໍ້ "Cache-Control: no-store", ເຊິ່ງຫ້າມການເກັບຂໍ້ມູນການຕອບໂຕ້. ໃນບາງ CDNs, e.g.
CloudFront ແລະ Akamai, ທ່ານສາມາດປິດການເກັບຂໍ້ມູນຂໍ້ຜິດພາດໃນລະດັບການຕັ້ງຄ່າໂປຣໄຟລ໌. ສໍາລັບການປ້ອງກັນ, ທ່ານຍັງສາມາດໃຊ້ໄຟວໍຂອງແອັບພລິເຄຊັນເວັບ (WAF, Web Application Firewall), ແຕ່ພວກມັນຕ້ອງຖືກປະຕິບັດຢູ່ຂ້າງ CDN ຢູ່ທາງຫນ້າຂອງແຄດໂຮສ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru