खाता सम्झौताले BGP राउटिङ Orange Espagne असफल भयो

प्रशासक खाताको सम्झौताले दोस्रो ठूलो स्पेनी टेलिकम अपरेटर, ओरेन्ज एस्पेग्ने, 11 मिलियन ग्राहकहरूलाई सेवा प्रदान गर्ने लगभग चार घण्टाको आउटेज निम्त्यायो। Orange Espagne मा RIPE NCC रजिस्ट्रार इन्टरफेस पहुँच गर्न, अनुमानित पासवर्ड "ripeadmin" प्रयोग गरिएको थियो र दुई-कारक प्रमाणीकरण सक्षम गरिएको थिएन।

RIPE पासवर्ड रोकिएको थियो जब एक कर्मचारीको प्रणाली मालवेयरबाट संक्रमित भएको थियो र सेप्टेम्बरदेखि कालो बजारमा बेचेको पासवर्ड डाटाबेसमा छोएको थियो। यो उल्लेखनीय छ कि Orange Espagne खाता बाहेक, यी डाटाबेसहरूमा access.ripe.net मा जडान गर्नका लागि अन्य हजारौं खाताहरू छन्, जुन सम्भावित रूपमा समान आक्रमणहरू गर्न प्रयोग गर्न सकिन्छ।

घटना जनवरी २ सम्म पत्ता नलागेको थियो, जब एक तोडफोडले RIPE NCC वेब इन्टरफेसमा प्रवेश गर्यो र BGP र RPKI (रिसोर्स पब्लिक की इन्फ्रास्ट्रक्चर) सेटिङहरूमा परिवर्तन गर्यो, त्यसपछि लगभग चार घण्टासम्म अपरेटरको ट्राफिकको लगभग आधा रूटिङ अवरुद्ध भयो। संचार। आक्रमणकारीहरूको कार्यहरूले यो तथ्यलाई निम्त्यायो कि BGP घोषणाहरूलाई जालसाजीबाट जोगाउन डिजाइन गरिएको RPKI प्रविधि, वैध घोषणाहरू रोक्न प्रयोग गरिएको थियो।

आक्रमणकारीले धेरै नयाँ RPKI ROA (रूट उत्पत्ति प्राधिकरण) रेकर्डहरू सिर्जना गरे, जसमध्ये अरू कसैको स्वायत्त प्रणालीमा Orange Espagne ठेगानाहरूको ठूला ब्लकहरू लिङ्क गर्ने रेकर्डहरू थिए, जसले यस अपरेटरको स्वायत्त प्रणालीबाट सही BGP घोषणाहरू हुन थालेको तथ्यलाई निम्त्यायो। धेरै ब्याकबोन अपरेटरहरूको राउटरहरूमा अवरुद्ध। फलस्वरूप, Orange Espagne सँग सम्बन्धित BGP मार्गहरूको संख्या 9200 बाट 7400 मा घट्यो, र ट्राफिक लगभग आधाले घट्यो।

RPKI (रिसोर्स पब्लिक की इन्फ्रास्ट्रक्चर) BGP घोषणाहरूलाई अधिकृत गर्न प्रयोग गरिन्छ र BGP घोषणा नेटवर्क मालिकबाट आएको हो वा होइन भनेर निर्धारण गर्न अनुमति दिन्छ। स्वायत्त प्रणाली र आईपी ठेगानाहरूका लागि RPKI प्रयोग गर्दा, IANA बाट क्षेत्रीय रजिस्ट्रारहरू (RIRs), र त्यसपछि सेवा प्रदायकहरू (LIRs) र अन्तिम प्रयोगकर्ताहरूमा विश्वासको एक श्रृंखला बनाइन्छ, जसले तेस्रो पक्षहरूलाई स्रोतको सञ्चालन भएको प्रमाणित गर्न अनुमति दिन्छ। यसको मालिक द्वारा गरिएको। प्राधिकरण बिना, कुनै पनि अपरेटरले मार्ग लम्बाइको बारेमा काल्पनिक जानकारीको साथ सबनेटको विज्ञापन गर्न सक्छ र विज्ञापन फिल्टरिङ लागू नगर्ने अन्य प्रणालीहरूबाट ट्राफिकको अंशको माध्यमबाट ट्रान्जिट सुरु गर्न सक्छ।

स्रोत: opennet.ru