CDN द्वारे सर्व्ह केलेली पृष्ठे अनुपलब्ध करण्यासाठी CPDoS हल्ला

हॅम्बर्ग आणि कोलोन विद्यापीठातील संशोधक
विकसित सामग्री वितरण नेटवर्क आणि कॅशिंग प्रॉक्सीवर एक नवीन हल्ला तंत्र - CPDoS (Cache-Poisoned Denial-of-service). हल्ला कॅशे विषबाधा द्वारे नाकारला जाण्यासाठी पृष्ठावर प्रवेश करण्यास अनुमती देतो.

समस्या CDNs कॅशे केवळ यशस्वीरित्या पूर्ण केलेल्या विनंत्याच करत नाही तर HTTP सर्व्हरने त्रुटी परत केल्यावर देखील होते. नियमानुसार, विनंत्या तयार करण्यात समस्या असल्यास, सर्व्हर 400 (खराब विनंती) त्रुटी जारी करतो; फक्त अपवाद IIS आहे, जो खूप मोठ्या शीर्षलेखांसाठी 404 (न सापडला) त्रुटी जारी करतो. मानक फक्त 404 (न सापडलेले), 405 (पद्धत अनुमत नाही), 410 (गेले) आणि 501 (अंमलबजावणी केलेले नाही) कोड असलेल्या त्रुटींना कॅशे करण्यास अनुमती देते, परंतु काही CDN कोड 400 (खराब विनंती) सह प्रतिसाद देखील कॅशे करतात, जे अवलंबून असते. पाठवलेल्या विनंतीवर.

हल्लेखोर एखाद्या विशिष्ट प्रकारे स्वरूपित केलेल्या HTTP शीर्षलेखांसह विनंती पाठवून मूळ संसाधनास “400 खराब विनंती” त्रुटी परत करण्यास कारणीभूत ठरू शकतात. हे शीर्षलेख CDN द्वारे विचारात घेतले जात नाहीत, त्यामुळे पृष्ठावर प्रवेश करण्याच्या अक्षमतेबद्दलची माहिती कॅश केली जाईल आणि कालबाह्य होण्यापूर्वी इतर सर्व वैध वापरकर्त्याच्या विनंत्यांमध्ये त्रुटी येऊ शकते, हे तथ्य असूनही मूळ साइट सामग्री प्रदान करते. कोणत्याही समस्यांशिवाय.

HTTP सर्व्हरला त्रुटी परत करण्यास भाग पाडण्यासाठी तीन आक्रमण पर्याय प्रस्तावित केले आहेत:

• HMO (HTTP मेथड ओव्हरराइड) - आक्रमणकर्ता मूळ विनंती पद्धत "X-HTTP-Method-Override", "X-HTTP-Method" किंवा "X-Method-Override" हेडरद्वारे ओव्हरराइड करू शकतो, काही सर्व्हरद्वारे समर्थित, परंतु CDN मध्ये विचारात घेतलेले नाही. उदाहरणार्थ, तुम्ही मूळ “GET” पद्धत “DELETE” पद्धतीमध्ये बदलू शकता, जी सर्व्हरवर प्रतिबंधित आहे, किंवा “POST” पद्धत, जी स्टॅटिक्ससाठी लागू नाही;
  

• HHO (HTTP हेडर ओव्हरसाइज) - आक्रमणकर्ता हेडरचा आकार निवडू शकतो जेणेकरून तो स्त्रोत सर्व्हरची मर्यादा ओलांडू शकेल, परंतु CDN निर्बंधांमध्ये येत नाही. उदाहरणार्थ, Apache httpd हेडरचा आकार 8 KB पर्यंत मर्यादित करते आणि Amazon Cloudfront CDN हेडरला 20 KB पर्यंत परवानगी देते;
  

• HMC (HTTP मेटा कॅरेक्टर) - आक्रमणकर्ता विनंती (\n, \r, \a) मध्ये विशेष वर्ण घालू शकतो, जे स्त्रोत सर्व्हरवर अवैध मानले जातात, परंतु CDN मध्ये दुर्लक्ष केले जातात.
  

अॅमेझॉन वेब सर्व्हिसेस (AWS) द्वारे वापरलेला क्लाउडफ्रंट सीडीएन हा हल्ल्यासाठी सर्वात संवेदनाक्षम होता. ऍमेझॉनने आता त्रुटी कॅशिंग अक्षम करून समस्येचे निराकरण केले आहे, परंतु संशोधकांना संरक्षण जोडण्यासाठी तीन महिन्यांपेक्षा जास्त वेळ लागला. या समस्येचा क्लाउडफ्लेअर, वार्निश, अकामाई, सीडीएन77 आणि वर देखील परिणाम झाला
जलद गतीने, परंतु त्यांच्याद्वारे हल्ला लक्ष्यित सर्व्हरपर्यंत मर्यादित आहे जे IIS, ASP.NET, फ्लास्क и 1 खेळा. याची नोंद आहे, यूएस डिपार्टमेंट ऑफ डिफेन्स डोमेन्सपैकी 11%, HTTP आर्काइव्ह डेटाबेसमधील 16% URL आणि Alexa द्वारे रँक केलेल्या 30 सर्वात मोठ्या साइट्सपैकी 500% संभाव्यतः हल्ल्याच्या अधीन असू शकतात.

साइटच्या बाजूने हल्ला रोखण्यासाठी उपाय म्हणून, तुम्ही “कॅशे-कंट्रोल: नो-स्टोअर” हेडर वापरू शकता, जे प्रतिसाद कॅशिंगला प्रतिबंधित करते. काही CDN मध्ये, उदा.
CloudFront आणि Akamai, आपण प्रोफाइल सेटिंग्ज स्तरावर त्रुटी कॅशिंग अक्षम करू शकता. संरक्षणासाठी, तुम्ही वेब अॅप्लिकेशन फायरवॉल (WAF, वेब अॅप्लिकेशन फायरवॉल) देखील वापरू शकता, परंतु ते कॅशिंग होस्टच्या समोर CDN बाजूला लागू केले जाणे आवश्यक आहे.

स्त्रोत: opennet.ru