Сè е многу лошо или нов тип на следење на сообраќајот

13 март до работната група против злоупотреба RIPE добиена е понуда сметајте го киднапирањето на BGP (hjjack) како прекршување на политиката RIPE. Доколку предлогот беше прифатен, интернет провајдерот нападнат со следење на сообраќајот ќе има можност да испрати посебно барање за разоткривање на напаѓачот. Доколку тимот за преглед собра доволно докази за поддршка, LIR што беше извор на пресретнувањето на BGP ќе се смета за натрапник и може да му се одземе статусот LIR. Имаше и некои аргументи против ова промени.

Во оваа публикација сакаме да прикажеме пример за напад каде што не се работи само за вистинскиот напаѓач, туку и за целата листа на засегнати префикси. Дополнително, ваквиот напад повторно отвора прашања за мотивите за идни пресретнувања на овој вид сообраќај.

Во текот на изминатите неколку години, само конфликти како MOAS (Multiple Origin Autonomous System) беа покриени во печатот како пресретнување на BGP. MOAS е посебен случај кога два различни автономни системи рекламираат конфликтни префикси со соодветните ASN во AS_PATH (првиот ASN во AS_PATH, во понатамошниот текст како ASN на потекло). Сепак, можеме да именуваме барем 3 дополнителни типови следење на сообраќајот, дозволувајќи му на напаѓачот да манипулира со атрибутот AS_PATH за различни цели, вклучително и заобиколување на современите пристапи за филтрирање и следење. Познат тип на напад Пилосова-Капели - последен тип на вакво пресретнување, но воопшто не по важност. Сосема е можно да е токму таков напад што го видовме во изминатите недели. Ваквиот настан има разбирлив карактер и доста сериозни последици.

Оние кои ја бараат верзијата TL;DR можат да се движат до титлот „Perfect Attack“.

Мрежна позадина

(за да ви помогне подобро да ги разберете процесите вклучени во овој инцидент)

Ако сакате да испратите пакет и имате повеќе префикси во рутирачката табела што ја содржи одредишната IP адреса, тогаш ќе ја користите рутата за префиксот со најголема должина. Ако има неколку различни правци за истиот префикс во рутирачката табела, ќе ја изберете најдобрата (според механизмот за избор на најдобра патека).

Постојните пристапи за филтрирање и следење се обидуваат да ги анализираат маршрутите и да донесат одлуки со анализа на атрибутот AS_PATH. Рутерот може да го промени овој атрибут на која било вредност за време на рекламата. Едноставното додавање на ASN на сопственикот на почетокот на AS_PATH (како ASN за потекло) може да биде доволно за да се заобиколат механизмите за проверка на тековното потекло. Дополнително, ако постои маршрута од нападнатиот ASN до вас, станува возможно да се извлече и да се користи AS_PATH на оваа рута во другите ваши реклами. Секоја проверка за валидација само за AS_PATH за вашите изработени објави на крајот ќе помине.

Сè уште има неколку ограничувања што вреди да се споменат. Прво, во случај на филтрирање на префиксот од добавувачот нагоре, вашата маршрута сепак може да се филтрира (дури и со точната AS_PATH) ако префиксот не припаѓа на конусот на вашиот клиент конфигуриран нагоре. Второ, важечката AS_PATH може да стане неважечка ако креираната рута се рекламира во неточни насоки и, на тој начин, ја прекршува политиката за насочување. И на крај, секоја маршрута со префикс што ја прекршува должината на ROA може да се смета за неважечка.

Инцидент

Пред неколку недели добивме поплака од еден наш корисник. Видовме рути со неговото потекло ASN и /25 префикси, додека корисникот тврдеше дека не ги рекламирал.

TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
Примери на огласи за почеток на април 2019 година

NTT во патеката за префиксот /25 го прави особено сомнителен. LG NTT не бил свесен за оваа рута во моментот на инцидентот. Така да, некој оператор создава цела AS_PATH за овие префикси! Проверката на други рутери открива еден посебен ASN: AS263444. Откако ги разгледавме другите рути со овој автономен систем, наидовме на следнава ситуација:

TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.0/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.128/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.96.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.112.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
Обидете се да погодите што не е во ред овде

Се чини дека некој го зел префиксот од маршрутата, го поделил на два дела и ја рекламирал маршрутата со истата AS_PATH за тие два префикси.

TABLE_DUMP2|1554076800|B|xxx|263444|1.6.36.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|263444|1.6.38.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.36.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.38.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.36.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.38.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
Пример правци за еден од паровите на поделени префикс

Се појавуваат неколку прашања одеднаш. Дали некој навистина го испробал овој тип на пресретнување во пракса? Дали некој тргнал на овие правци? Кои префикси беа засегнати?

Тука започнува нашата низа неуспеси и уште една рунда на разочарување од моменталната состојба на здравјето на Интернетот.

Патот на неуспехот

Првите нешта прво. Како можеме да одредиме кои рутери прифатиле такви пресретнати рути и чиј сообраќај би можел да се пренасочува денес? Мислевме дека ќе започнеме со /25 префикси бидејќи тие „едноставно не можат да имаат глобална дистрибуција“. Како што можете да претпоставите, многу погрешивме. Оваа метрика се покажа како премногу бучна и маршрутите со такви префикси може да се појават дури и од операторите Tier-1. На пример, NTT има околу 50 такви префикси, кои ги дистрибуира до своите клиенти. Од друга страна, оваа метрика е лоша бидејќи таквите префикси може да се филтрираат доколку операторот користи филтрирање на мали префикси, во сите правци. Затоа, овој метод не е погоден за пронаоѓање на сите оператори чиј сообраќај е пренасочен како резултат на таков инцидент.

Друга добра идеја што мислевме беше да погледнеме POV. Особено за маршрути кои го прекршуваат правилото maxLength на соодветната ROA. На овој начин можевме да го најдеме бројот на ASN со различно потекло со статус Невалиден што беа видливи за даден AS. Сепак, постои еден „мал“ проблем. Просекот (медијана и режим) на овој број (бројот на ASN од различно потекло) е околу 150 и, дури и ако ги филтрираме малите префикси, тој останува над 70. Оваа состојба на работите има многу едноставно објаснување: има само неколку оператори кои веќе користат ROA-филтри со политика „ресетирани Невалидни рути“ на влезните точки, така што каде и да се појави рута со прекршување на ROA во реалниот свет, таа може да се шири во сите правци.

Последните два пристапа ни овозможуваат да најдеме оператори кои го виделе нашиот инцидент (бидејќи беше доста голем), но генерално тие не се применливи. Добро, но дали можеме да го најдеме натрапникот? Кои се општите карактеристики на оваа манипулација AS_PATH? Постојат неколку основни претпоставки:

• Префиксот не беше виден никаде претходно;
• Потекло ASN (потсетник: првиот ASN во AS_PATH) е валиден;
• Последниот ASN во AS_PATH е ASN на напаѓачот (во случај неговиот сосед да го провери ASN на соседот на сите дојдовни рути);
• Нападот потекнува од еден провајдер.

Ако сите претпоставки се точни, тогаш сите неточни рути ќе го претстават ASN на напаѓачот (освен потеклото ASN) и, според тоа, ова е „критична“ точка. Меѓу вистинските киднапери беше AS263444, иако имаше и други. Дури и кога ги отфрливме правците на инцидентот од разгледување. Зошто? Критична точка може да остане критична дури и за правилни правци. Тоа може да биде или резултат на лоша поврзаност во некој регион или ограничувања во нашата сопствена видливост.

Како резултат на тоа, постои начин да се открие напаѓачот, но само ако се исполнети сите горенаведени услови и само кога пресретнувањето е доволно големо за да ги помине праговите за следење. Ако некои од овие фактори не се исполнети, тогаш можеме ли да ги идентификуваме префиксите што страдале од таквото пресретнување? За одредени оператори - да.

Кога напаѓачот создава поконкретна рута, таков префикс не се рекламира од вистинскиот сопственик. Ако имате динамичен список на сите негови префикси од него, тогаш станува возможно да се направи споредба и да се најдат искривени поспецифични правци. Оваа листа на префикси ја собираме користејќи ги нашите BGP сесии, бидејќи ни е даден не само целосниот список на маршрути видливи за операторот во моментов, туку и список на сите префикси што тој сака да ги рекламира во светот. За жал, сега има неколку десетици корисници на Радар кои не го завршуваат правилно последниот дел. Ќе ги известиме наскоро и ќе се обидеме да го решиме овој проблем. Сите останати можат да се приклучат на нашиот систем за следење во моментов.

Ако се вратиме на првичниот инцидент, и напаѓачот и областа за дистрибуција беа откриени од нас со пребарување на критични точки. Изненадувачки, AS263444 не испрати фабрикувани рути до сите свои клиенти. Иако има некој почуден момент.

BGP4MP|1554905421|A|xxx|263444|178.248.236.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
BGP4MP|1554905421|A|xxx|263444|178.248.237.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
Неодамнешен пример на обид да се пресретне нашиот адресен простор

Кога беа креирани поспецифични за нашите префикси, се користеше специјално креиран AS_PATH. Сепак, оваа AS_PATH не можеше да биде преземена од ниту една од нашите претходни маршрути. Немаме ни комуникација со AS6762. Гледајќи ги другите правци во инцидентот, некои од нив имаа вистински AS_PATH што претходно се користеше, додека други не, дури и ако изгледа како вистинската. Дополнително менувањето на AS_PATH нема никаква практична смисла, бидејќи сообраќајот во секој случај ќе биде пренасочен кон напаѓачот, но маршрутите со „лош“ AS_PATH може да се филтрираат со ASPA или кој било друг механизам за проверка. Тука размислуваме за мотивацијата на киднаперот. Во моментов немаме доволно информации за да потврдиме дека овој инцидент бил планиран напад. Сепак, тоа е можно. Да се ​​обидеме да замислиме, иако сè уште хипотетичка, но потенцијално сосема реална, ситуација.

Совршен напад

Што имаме? Да речеме дека сте давател на транзит што ги емитува рутите за вашите клиенти. Доколку вашите клиенти имаат повеќекратно присуство (мултидом), тогаш ќе добиете само дел од нивниот сообраќај. Но, колку повеќе сообраќај, толку повеќе вашиот приход. Значи, ако започнете да рекламирате префикси на подмрежа на истите маршрути со истата AS_PATH, ќе го добиете остатокот од нивниот сообраќај. Како резултат на тоа, остатокот од парите.

Дали ROA ќе помогне овде? Можеби да, ако одлучите целосно да престанете да го користите максимална должина. Дополнително, многу е непожелно да има записи ROA со префиксни префикси. За некои оператори, таквите ограничувања се неприфатливи.

Имајќи ги предвид другите безбедносни механизми за рутирање, ASPA нема да помогне ниту во овој случај (бидејќи користи AS_PATH од валидна рута). BGPSec сè уште не е оптимална опција поради ниските стапки на усвојување и преостанатата можност за напади за деградирање.

Значи, имаме јасна добивка за напаѓачот и недостаток на безбедност. Одличен микс!

Што треба да направам?

Очигледниот и најдрастичен чекор е да ја прегледате вашата тековна политика за рутирање. Поделете го вашиот адресен простор на најмали делови (без преклопувања) што сакате да ги рекламирате. Потпишете ROA само за нив, без да го користите параметарот maxLength. Во овој случај, вашиот моментален POV може да ве спаси од таков напад. Сепак, повторно, за некои оператори овој пристап не е разумен поради ексклузивната употреба на поспецифични рути. Сите проблеми со моменталната состојба на ROA и објектите на маршрутата ќе бидат опишани во еден од нашите идни материјали.

Покрај тоа, можете да се обидете да ги следите таквите пресретнувања. За да го направите ова, потребни ни се сигурни информации за вашите префикси. Така, ако воспоставите BGP сесија со нашиот колекционер и ни дадете информации за вашата видливост на Интернет, можеме да го најдеме просторот за други инциденти. За оние кои сè уште не се поврзани со нашиот систем за следење, за почеток, ќе биде доволен список на маршрути само со вашите префикси. Ако имате сесија со нас, проверете дали се испратени сите ваши рути. За жал, ова вреди да се запамети бидејќи некои оператори забораваат еден или два префикс и на тој начин се мешаат во нашите методи за пребарување. Ако се направи правилно, ќе имаме веродостојни податоци за вашите префикси, кои во иднина ќе ни помогнат автоматски да го идентификуваме и откриеме овој (и други) типови на следење сообраќај за вашиот адресен простор.

Ако станете свесни за таквото пресретнување на вашиот сообраќај во реално време, можете сами да се обидете да се спротивставите на тоа. Првиот пристап е сами да ги рекламирате рутите со овие поспецифични префикси. Во случај на нов напад на овие префикси, повторете.

Вториот пристап е да го казните напаѓачот и оние за кои тој е критична точка (за добри рути) со прекинување на пристапот на вашите рути до напаѓачот. Ова може да се направи со додавање на ASN на напаѓачот во AS_PATH на вашите стари маршрути и на тој начин принудувајќи ги да го избегнат тој AS користејќи го вградениот механизам за откривање јамка во BGP за ваше добро.

Извор: www.habr.com