ਖਾਤੇ ਨਾਲ ਸਮਝੌਤਾ ਕਰਨ ਕਾਰਨ BGP ਰੂਟਿੰਗ Orange Espagne ਫੇਲ ਹੋ ਗਈ

ਇੱਕ ਪ੍ਰਸ਼ਾਸਕ ਖਾਤੇ ਨਾਲ ਸਮਝੌਤਾ ਕਰਨ ਨਾਲ 11 ਮਿਲੀਅਨ ਗਾਹਕਾਂ ਦੀ ਸੇਵਾ ਕਰਦੇ ਹੋਏ ਦੂਜੇ ਸਭ ਤੋਂ ਵੱਡੇ ਸਪੈਨਿਸ਼ ਟੈਲੀਕਾਮ ਆਪਰੇਟਰ ਔਰੇਂਜ ਐਸਪੇਨ 'ਤੇ ਲਗਭਗ ਚਾਰ ਘੰਟੇ ਦੀ ਆਊਟੇਜ ਹੋਈ। Orange Espagne ਵਿੱਚ RIPE NCC ਰਜਿਸਟਰਾਰ ਇੰਟਰਫੇਸ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਲਈ, ਪੂਰਵ-ਅਨੁਮਾਨਿਤ ਪਾਸਵਰਡ "ripeadmin" ਵਰਤਿਆ ਗਿਆ ਸੀ ਅਤੇ ਦੋ-ਕਾਰਕ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਸਮਰੱਥ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ।

RIPE ਪਾਸਵਰਡ ਉਦੋਂ ਰੋਕਿਆ ਗਿਆ ਸੀ ਜਦੋਂ ਇੱਕ ਕਰਮਚਾਰੀ ਦਾ ਸਿਸਟਮ ਮਾਲਵੇਅਰ ਨਾਲ ਸੰਕਰਮਿਤ ਸੀ ਅਤੇ ਸਤੰਬਰ ਤੋਂ ਬਲੈਕ ਮਾਰਕੀਟ ਵਿੱਚ ਵੇਚੇ ਗਏ ਪਾਸਵਰਡ ਡੇਟਾਬੇਸ ਵਿੱਚ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਸੀ। ਇਹ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ Orange Espagne ਖਾਤੇ ਤੋਂ ਇਲਾਵਾ, ਇਹਨਾਂ ਡੇਟਾਬੇਸ ਵਿੱਚ access.ripe.net ਨਾਲ ਜੁੜਨ ਲਈ ਹਜ਼ਾਰਾਂ ਹੋਰ ਖਾਤੇ ਹਨ, ਜੋ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਇਸ ਤਰ੍ਹਾਂ ਦੇ ਹਮਲੇ ਕਰਨ ਲਈ ਵਰਤੇ ਜਾ ਸਕਦੇ ਹਨ।

ਇਸ ਘਟਨਾ ਦਾ 2 ਜਨਵਰੀ ਤੱਕ ਪਤਾ ਨਹੀਂ ਚੱਲ ਸਕਿਆ, ਜਦੋਂ ਇੱਕ ਬਦਮਾਸ਼ RIPE NCC ਵੈੱਬ ਇੰਟਰਫੇਸ ਵਿੱਚ ਦਾਖਲ ਹੋਇਆ ਅਤੇ BGP ਅਤੇ RPKI (ਰਿਸੋਰਸ ਪਬਲਿਕ ਕੀ ਇਨਫਰਾਸਟਰੱਕਚਰ) ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਬਦਲਾਅ ਕੀਤਾ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਲਗਭਗ ਚਾਰ ਘੰਟਿਆਂ ਲਈ ਲਗਭਗ ਅੱਧੇ ਓਪਰੇਟਰ ਦੇ ਟ੍ਰੈਫਿਕ ਦੀ ਰੂਟਿੰਗ ਵਿੱਚ ਵਿਘਨ ਪਿਆ। ਸੰਚਾਰ. ਹਮਲਾਵਰਾਂ ਦੀਆਂ ਕਾਰਵਾਈਆਂ ਨੇ ਇਸ ਤੱਥ ਵੱਲ ਅਗਵਾਈ ਕੀਤੀ ਕਿ BGP ਘੋਸ਼ਣਾਵਾਂ ਨੂੰ ਜਾਅਲਸਾਜ਼ੀ ਤੋਂ ਬਚਾਉਣ ਲਈ ਤਿਆਰ ਕੀਤੀ ਗਈ RPKI ਤਕਨਾਲੋਜੀ, ਜਾਇਜ਼ ਘੋਸ਼ਣਾਵਾਂ ਨੂੰ ਰੋਕਣ ਲਈ ਵਰਤੀ ਗਈ ਸੀ।

ਹਮਲਾਵਰ ਨੇ ਕਈ ਨਵੇਂ RPKI ROA (ਰੂਟ ਓਰੀਜਨ ਆਥੋਰਾਈਜ਼ੇਸ਼ਨ) ਰਿਕਾਰਡ ਬਣਾਏ, ਜਿਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਹੋਰ ਦੇ ਖੁਦਮੁਖਤਿਆਰੀ ਸਿਸਟਮ ਨਾਲ ਔਰੇਂਜ ਐਸਪੇਨ ਪਤਿਆਂ ਦੇ ਵੱਡੇ ਬਲਾਕਾਂ ਨੂੰ ਜੋੜਨ ਵਾਲੇ ਰਿਕਾਰਡ ਸਨ, ਜਿਸ ਕਾਰਨ ਇਸ ਆਪਰੇਟਰ ਦੇ ਖੁਦਮੁਖਤਿਆਰੀ ਪ੍ਰਣਾਲੀ ਤੋਂ ਸਹੀ BGP ਘੋਸ਼ਣਾਵਾਂ ਹੋਣੀਆਂ ਸ਼ੁਰੂ ਹੋ ਗਈਆਂ। ਬਹੁਤ ਸਾਰੇ ਰੀੜ੍ਹ ਦੀ ਹੱਡੀ ਆਪਰੇਟਰਾਂ ਦੇ ਰਾਊਟਰਾਂ 'ਤੇ ਬਲੌਕ ਕੀਤਾ ਗਿਆ ਹੈ। ਨਤੀਜੇ ਵਜੋਂ, Orange Espagne ਨਾਲ ਜੁੜੇ BGP ਰੂਟਾਂ ਦੀ ਗਿਣਤੀ 9200 ਤੋਂ ਘਟਾ ਕੇ 7400 ਹੋ ਗਈ, ਅਤੇ ਆਵਾਜਾਈ ਲਗਭਗ ਅੱਧੇ ਤੱਕ ਘਟ ਗਈ।

RPKI (ਸਰੋਤ ਜਨਤਕ ਕੁੰਜੀ ਬੁਨਿਆਦੀ ਢਾਂਚਾ) ਦੀ ਵਰਤੋਂ BGP ਘੋਸ਼ਣਾਵਾਂ ਨੂੰ ਅਧਿਕਾਰਤ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਅਤੇ ਤੁਹਾਨੂੰ ਇਹ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ ਕਿ ਕੀ BGP ਘੋਸ਼ਣਾ ਨੈੱਟਵਰਕ ਮਾਲਕ ਤੋਂ ਆਉਂਦੀ ਹੈ ਜਾਂ ਨਹੀਂ। ਖੁਦਮੁਖਤਿਆਰ ਪ੍ਰਣਾਲੀਆਂ ਅਤੇ IP ਪਤਿਆਂ ਲਈ RPKI ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ, IANA ਤੋਂ ਖੇਤਰੀ ਰਜਿਸਟਰਾਰਾਂ (RIRs), ਅਤੇ ਫਿਰ ਸੇਵਾ ਪ੍ਰਦਾਤਾਵਾਂ (LIRs) ਅਤੇ ਅੰਤਮ ਉਪਭੋਗਤਾਵਾਂ ਤੱਕ ਟਰੱਸਟ ਦੀ ਇੱਕ ਲੜੀ ਬਣਾਈ ਜਾਂਦੀ ਹੈ, ਜੋ ਤੀਜੀ ਧਿਰਾਂ ਨੂੰ ਇਹ ਪੁਸ਼ਟੀ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ ਕਿ ਸਰੋਤ ਦਾ ਸੰਚਾਲਨ ਸੀ। ਇਸ ਦੇ ਮਾਲਕ ਦੁਆਰਾ ਕੀਤਾ ਗਿਆ. ਅਧਿਕਾਰ ਦੇ ਬਿਨਾਂ, ਕੋਈ ਵੀ ਆਪਰੇਟਰ ਰੂਟ ਦੀ ਲੰਬਾਈ ਬਾਰੇ ਫਰਜ਼ੀ ਜਾਣਕਾਰੀ ਦੇ ਨਾਲ ਸਬਨੈੱਟ ਦਾ ਇਸ਼ਤਿਹਾਰ ਦੇ ਸਕਦਾ ਹੈ ਅਤੇ ਹੋਰ ਸਿਸਟਮਾਂ ਤੋਂ ਆਵਾਜਾਈ ਦੇ ਹਿੱਸੇ ਦੇ ਆਪਣੇ ਆਪ ਦੁਆਰਾ ਆਵਾਜਾਈ ਸ਼ੁਰੂ ਕਰ ਸਕਦਾ ਹੈ ਜੋ ਇਸ਼ਤਿਹਾਰ ਫਿਲਟਰਿੰਗ ਨੂੰ ਲਾਗੂ ਨਹੀਂ ਕਰਦੇ ਹਨ।

ਸਰੋਤ: opennet.ru