CDN मार्फत सेवा गरिएका पृष्ठहरू अनुपलब्ध बनाउन CPDoS आक्रमण

ह्याम्बर्ग र कोलोन विश्वविद्यालयका अनुसन्धानकर्ताहरू
विकसित सामग्री डेलिभरी नेटवर्क र क्यासिङ प्रोक्सीहरूमा नयाँ आक्रमण प्रविधि - CPDoS (Cache-Poisoned Denial-of-Service)। आक्रमणले पृष्ठमा पहुँचलाई क्यास विषाक्तता मार्फत अस्वीकार गर्न अनुमति दिन्छ।

समस्या यो तथ्यको कारण हो कि CDNs क्यासले अनुरोधहरू सफलतापूर्वक पूरा गरेको मात्र होइन, तर HTTP सर्भरले त्रुटि फिर्ता गर्दा परिस्थितिहरू पनि। नियमको रूपमा, यदि अनुरोधहरू बनाउनमा समस्याहरू छन् भने, सर्भरले 400 (खराब अनुरोध) त्रुटि जारी गर्दछ; एक मात्र अपवाद IIS हो, जसले धेरै ठूला हेडरहरूको लागि 404 (फेला परेन) त्रुटि जारी गर्दछ। मानकले कोड 404 (फेला परेन), 405 (विधि अनुमति छैन), 410 (गेन) र 501 (लागू गरिएको छैन) क्यास गर्नको लागि मात्र त्रुटिहरूलाई अनुमति दिन्छ, तर केही CDNहरूले कोड 400 (खराब अनुरोध) सँग प्रतिक्रियाहरू पनि क्यास गर्दछ, जुन निर्भर गर्दछ। पठाइएको अनुरोधमा।

आक्रमणकारीहरूले एक निश्चित तरिकामा ढाँचामा HTTP हेडरहरूको साथ अनुरोध पठाएर मूल स्रोतलाई "400 खराब अनुरोध" त्रुटि फर्काउन सक्छ। यी हेडरहरूलाई CDN द्वारा ध्यानमा राखिएको छैन, त्यसैले पृष्ठमा पहुँच गर्न असक्षमताको बारेमा जानकारी क्यास गरिनेछ, र टाइमआउट समाप्त हुनु अघि अन्य सबै मान्य प्रयोगकर्ता अनुरोधहरूले त्रुटि निम्त्याउन सक्छ। कुनै पनि समस्या बिना।

HTTP सर्भरलाई त्रुटि फिर्ता गर्न बाध्य पार्न तीन आक्रमण विकल्पहरू प्रस्ताव गरिएको छ:

• HMO (HTTP मेथड ओभरराइड) - एक आक्रमणकर्ताले "X-HTTP-Method-Override", "X-HTTP-Method" वा "X-Method-Override" हेडरहरू मार्फत मूल अनुरोध विधिलाई ओभरराइड गर्न सक्छ, तर केही सर्भरहरूद्वारा समर्थित। CDN मा ध्यानमा राखिएको छैन। उदाहरणका लागि, तपाईले मूल "GET" विधिलाई "DELETE" विधिमा परिवर्तन गर्न सक्नुहुन्छ, जुन सर्भरमा निषेध गरिएको छ, वा "POST" विधि, जुन statistics को लागि लागू हुँदैन;
  

• HHO (HTTP हेडर ओभरसाइज) - एक आक्रमणकर्ताले हेडर साइज चयन गर्न सक्छ ताकि यो स्रोत सर्भरको सीमा नाघोस्, तर CDN प्रतिबन्धहरू भित्र पर्दैन। उदाहरणका लागि, Apache httpd ले हेडर साइज 8 KB मा सीमित गर्दछ, र Amazon Cloudfront CDN ले २० KB सम्म हेडरहरूलाई अनुमति दिन्छ;
  

• HMC (HTTP मेटा क्यारेक्टर) - एक आक्रमणकारीले अनुरोध (\n, \r, \a) मा विशेष क्यारेक्टरहरू घुसाउन सक्छ, जुन स्रोत सर्भरमा अमान्य मानिन्छ, तर CDN मा बेवास्ता गरिन्छ।
  

आक्रमणको लागि सबैभन्दा संवेदनशील CloudFront CDN Amazon Web Services (AWS) द्वारा प्रयोग गरिएको थियो। अमेजनले अब त्रुटि क्यासिङ असक्षम गरेर समस्या समाधान गरेको छ, तर अनुसन्धानकर्ताहरूलाई सुरक्षा थप्न तीन महिनाभन्दा बढी समय लाग्यो। यस मुद्दाले क्लाउडफ्लेयर, वार्निश, अकामाई, CDN77 र लाई पनि असर गर्यो
द्रुत रूपमा, तर तिनीहरू मार्फत आक्रमण लक्षित सर्भरहरूमा सीमित छ जसले IIS, ASP.NET, फ्लास्क и २ Play खेल्नुहोस्. यो उल्लेख छ, कि अमेरिकाको रक्षा विभागको 11% डोमेनहरू, HTTP अभिलेख डेटाबेसबाट 16% URL र Alexa द्वारा श्रेणीबद्ध शीर्ष 30 वेबसाइटहरूको लगभग 500% सम्भावित रूपमा आक्रमणको अधीनमा हुन सक्छ।

साइट साइडमा आक्रमण रोक्नको लागि एक समाधानको रूपमा, तपाइँ "क्यास-नियन्त्रण: नो-स्टोर" हेडर प्रयोग गर्न सक्नुहुन्छ, जसले प्रतिक्रिया क्यासिङलाई निषेध गर्दछ। केही CDN मा, उदाहरणका लागि
CloudFront र Akamai, तपाइँ प्रोफाइल सेटिङ स्तर मा त्रुटि क्यास अक्षम गर्न सक्नुहुन्छ। सुरक्षाको लागि, तपाईंले वेब अनुप्रयोग फायरवालहरू (WAF, वेब अनुप्रयोग फायरवाल) पनि प्रयोग गर्न सक्नुहुन्छ, तर तिनीहरू क्यासिङ होस्टहरूको अगाडि CDN साइडमा लागू गरिनुपर्छ।

स्रोत: opennet.ru