ਰੋਸਟੇਲੀਕਾਮ ਵਿੱਚ ਇੱਕ ਬੀਜੀਪੀ ਰੂਟ ਦੇ ਲੀਕ ਹੋਣ ਕਾਰਨ ਸਭ ਤੋਂ ਵੱਡੇ ਨੈੱਟਵਰਕਾਂ ਦੀ ਕੁਨੈਕਟੀਵਿਟੀ ਵਿੱਚ ਵਿਘਨ ਪਿਆ

ਇੱਕ ਗਲਤ BGP ਘੋਸ਼ਣਾ ਦੇ ਨਤੀਜੇ ਵਜੋਂ, 8800 ਤੋਂ ਵੱਧ ਵਿਦੇਸ਼ੀ ਨੈੱਟਵਰਕ ਪ੍ਰੀਫਿਕਸ ਆਪਣੇ ਆਪ ਨੂੰ ਲੱਭ ਲਿਆ ਰੀਡਾਇਰੈਕਟ ਕੀਤਾ Rostelecom ਨੈੱਟਵਰਕ ਰਾਹੀਂ, ਜਿਸ ਨਾਲ ਰੂਟਿੰਗ ਦੇ ਥੋੜ੍ਹੇ ਸਮੇਂ ਲਈ ਢਹਿ, ਨੈੱਟਵਰਕ ਕਨੈਕਟੀਵਿਟੀ ਵਿੱਚ ਵਿਘਨ ਅਤੇ ਦੁਨੀਆ ਭਰ ਵਿੱਚ ਕੁਝ ਸੇਵਾਵਾਂ ਤੱਕ ਪਹੁੰਚ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ ਪੈਦਾ ਹੋਈਆਂ। ਸਮੱਸਿਆ ਕਵਰ ਕੀਤਾ 200 ਤੋਂ ਵੱਧ ਖੁਦਮੁਖਤਿਆਰ ਪ੍ਰਣਾਲੀਆਂ ਪ੍ਰਮੁੱਖ ਇੰਟਰਨੈਟ ਕੰਪਨੀਆਂ ਅਤੇ ਸਮੱਗਰੀ ਡਿਲੀਵਰੀ ਨੈਟਵਰਕਾਂ ਦੀ ਮਲਕੀਅਤ ਹਨ, ਜਿਸ ਵਿੱਚ Akamai, Cloudflare, Digital Ocean, Amazon AWS, Hetzner, Level3, Facebook, Alibaba ਅਤੇ Linode ਸ਼ਾਮਲ ਹਨ।

ਗਲਤ ਘੋਸ਼ਣਾ Rostelecom (AS12389) ਦੁਆਰਾ 1 ਅਪ੍ਰੈਲ ਨੂੰ 22:28 (MSK) ਦੁਆਰਾ ਕੀਤੀ ਗਈ ਸੀ, ਫਿਰ ਇਸਨੂੰ ਪ੍ਰਦਾਤਾ Rascom (AS20764) ਦੁਆਰਾ ਚੁੱਕਿਆ ਗਿਆ ਸੀ ਅਤੇ ਅੱਗੇ ਚੇਨ ਦੇ ਨਾਲ ਇਹ Cogent (AS174) ਅਤੇ Level3 (AS3356) ਵਿੱਚ ਫੈਲ ਗਿਆ ਸੀ। , ਜਿਸ ਦੇ ਖੇਤਰ ਵਿੱਚ ਲਗਭਗ ਸਾਰੇ ਇੰਟਰਨੈਟ ਪ੍ਰਦਾਤਾ ਪਹਿਲੇ ਪੱਧਰ (ਪੜਾਅ- 1). ਸੇਵਾਵਾਂ ਮੋਨੀਟੋਰਿੰਗਾ ਬੀਜੀਪੀ ਨੇ ਤੁਰੰਤ ਰੋਸਟੇਲੀਕਾਮ ਨੂੰ ਸਮੱਸਿਆ ਬਾਰੇ ਸੂਚਿਤ ਕੀਤਾ, ਇਸ ਲਈ ਇਹ ਘਟਨਾ ਲਗਭਗ 10 ਮਿੰਟ ਚੱਲੀ (ਅਨੁਸਾਰ ਹੋਰ ਡਾਟਾ ਪ੍ਰਭਾਵ ਲਗਭਗ ਇੱਕ ਘੰਟੇ ਲਈ ਦੇਖਿਆ ਗਿਆ ਸੀ).

ਇਹ ਪਹਿਲੀ ਘਟਨਾ ਨਹੀਂ ਹੈ ਜਿਸ ਵਿੱਚ ਰੋਸਟੇਲੀਕਾਮ ਦੇ ਪਾਸੇ ਕੋਈ ਗਲਤੀ ਸ਼ਾਮਲ ਹੈ। Rostelecom ਦੁਆਰਾ 2017-5 ਮਿੰਟ ਦੇ ਅੰਦਰ 7 ਵਿੱਚ ਰੀਡਾਇਰੈਕਟ ਕੀਤੇ ਗਏ ਸਨ ਵੀਜ਼ਾ ਅਤੇ ਮਾਸਟਰਕਾਰਡ ਸਮੇਤ ਸਭ ਤੋਂ ਵੱਡੇ ਬੈਂਕਾਂ ਅਤੇ ਵਿੱਤੀ ਸੇਵਾਵਾਂ ਦੇ ਨੈੱਟਵਰਕ। ਦੋਵੇਂ ਘਟਨਾਵਾਂ ਵਿੱਚ ਸਮੱਸਿਆ ਦਾ ਸਰੋਤ ਜਾਪਦਾ ਹੈ ਸੇਵਾ ਕੀਤੀ ਟ੍ਰੈਫਿਕ ਪ੍ਰਬੰਧਨ ਨਾਲ ਸਬੰਧਤ ਕੰਮ, ਉਦਾਹਰਨ ਲਈ, ਕੁਝ ਸੇਵਾਵਾਂ ਅਤੇ ਸੀਡੀਐਨਜ਼ ਲਈ ਰੋਸਟੇਲੀਕਾਮ ਤੋਂ ਲੰਘਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਦੀ ਅੰਦਰੂਨੀ ਨਿਗਰਾਨੀ, ਤਰਜੀਹ ਜਾਂ ਮਿਰਰਿੰਗ ਦਾ ਆਯੋਜਨ ਕਰਦੇ ਸਮੇਂ ਰੂਟਾਂ ਦਾ ਲੀਕ ਹੋ ਸਕਦਾ ਹੈ (ਅੰਤ ਵਿੱਚ ਘਰ ਤੋਂ ਵੱਡੇ ਪੱਧਰ 'ਤੇ ਕੰਮ ਕਰਨ ਦੇ ਕਾਰਨ ਨੈਟਵਰਕ ਲੋਡ ਵਿੱਚ ਵਾਧਾ ਹੋਣ ਕਾਰਨ) ਮਾਰਚ ਚਰਚਾ ਕੀਤੀ ਘਰੇਲੂ ਸਰੋਤਾਂ ਦੇ ਪੱਖ ਵਿੱਚ ਵਿਦੇਸ਼ੀ ਸੇਵਾਵਾਂ ਦੇ ਆਵਾਜਾਈ ਲਈ ਤਰਜੀਹ ਨੂੰ ਘਟਾਉਣ ਦਾ ਮੁੱਦਾ)। ਉਦਾਹਰਣ ਵਜੋਂ, ਕਈ ਸਾਲ ਪਹਿਲਾਂ ਪਾਕਿਸਤਾਨ ਵਿੱਚ ਇੱਕ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ ਗਈ ਸੀ ਸਮੇਟਣਾ null ਇੰਟਰਫੇਸ 'ਤੇ YouTube ਸਬਨੈੱਟਸ ਨੇ BGP ਘੋਸ਼ਣਾਵਾਂ ਵਿੱਚ ਇਹਨਾਂ ਸਬਨੈੱਟਾਂ ਦੀ ਦਿੱਖ ਅਤੇ YouTube ਦੇ ਸਾਰੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਪਾਕਿਸਤਾਨ ਤੱਕ ਪਹੁੰਚਾਉਣ ਦੀ ਅਗਵਾਈ ਕੀਤੀ।

ਇਹ ਦਿਲਚਸਪ ਹੈ ਕਿ ਰੋਸਟੇਲੀਕਾਮ ਨਾਲ ਘਟਨਾ ਤੋਂ ਇਕ ਦਿਨ ਪਹਿਲਾਂ, ਸ਼ਹਿਰ ਤੋਂ ਛੋਟੇ ਪ੍ਰਦਾਤਾ "ਨਿਊ ਰਿਐਲਿਟੀ" (AS50048). ਸੁਮਰਲਿਆ Transtelecom ਦੁਆਰਾ ਇਹ ਸੀ ਐਲਾਨ ਕੀਤਾ Orange, Akamai, Rostelecom ਅਤੇ 2658 ਤੋਂ ਵੱਧ ਕੰਪਨੀਆਂ ਦੇ ਨੈੱਟਵਰਕਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਨ ਵਾਲੇ 300 ਅਗੇਤਰ। ਰੂਟ ਲੀਕ ਹੋਣ ਕਾਰਨ ਟ੍ਰੈਫਿਕ ਰੀਡਾਇਰੈਕਟ ਦੀਆਂ ਕਈ ਲਹਿਰਾਂ ਕਈ ਮਿੰਟਾਂ ਤੱਕ ਚੱਲੀਆਂ। ਇਸ ਦੇ ਸਿਖਰ 'ਤੇ, ਸਮੱਸਿਆ ਨੇ 13.5 ਮਿਲੀਅਨ IP ਪਤਿਆਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕੀਤਾ। ਟ੍ਰਾਂਸਟੈਲੀਕਾਮ ਦੁਆਰਾ ਹਰੇਕ ਕਲਾਇੰਟ ਲਈ ਰੂਟ ਪਾਬੰਦੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਲਈ ਇੱਕ ਧਿਆਨ ਦੇਣ ਯੋਗ ਗਲੋਬਲ ਰੁਕਾਵਟ ਤੋਂ ਬਚਿਆ ਗਿਆ ਸੀ।

ਇਸ ਤਰ੍ਹਾਂ ਦੀਆਂ ਘਟਨਾਵਾਂ ਇੰਟਰਨੈੱਟ 'ਤੇ ਹੁੰਦੀਆਂ ਰਹਿੰਦੀਆਂ ਹਨ ਬਾਕਾਇਦਾ ਅਤੇ ਉਦੋਂ ਤੱਕ ਜਾਰੀ ਰਹੇਗਾ ਜਦੋਂ ਤੱਕ ਉਹ ਹਰ ਥਾਂ ਲਾਗੂ ਨਹੀਂ ਹੋ ਜਾਂਦੇ ਅਧਿਕਾਰ ਦੇ ਢੰਗ RPKI (BGP ਮੂਲ ਪ੍ਰਮਾਣਿਕਤਾ) 'ਤੇ ਆਧਾਰਿਤ BGP ਘੋਸ਼ਣਾਵਾਂ, ਸਿਰਫ਼ ਨੈੱਟਵਰਕ ਮਾਲਕਾਂ ਤੋਂ ਘੋਸ਼ਣਾਵਾਂ ਦੇ ਰਿਸੈਪਸ਼ਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀਆਂ ਹਨ। ਅਧਿਕਾਰ ਦੇ ਬਿਨਾਂ, ਕੋਈ ਵੀ ਆਪਰੇਟਰ ਰੂਟ ਦੀ ਲੰਬਾਈ ਬਾਰੇ ਫਰਜ਼ੀ ਜਾਣਕਾਰੀ ਦੇ ਨਾਲ ਸਬਨੈੱਟ ਦਾ ਇਸ਼ਤਿਹਾਰ ਦੇ ਸਕਦਾ ਹੈ ਅਤੇ ਹੋਰ ਸਿਸਟਮਾਂ ਤੋਂ ਆਵਾਜਾਈ ਦੇ ਹਿੱਸੇ ਦੇ ਆਪਣੇ ਆਪ ਦੁਆਰਾ ਆਵਾਜਾਈ ਸ਼ੁਰੂ ਕਰ ਸਕਦਾ ਹੈ ਜੋ ਇਸ਼ਤਿਹਾਰ ਫਿਲਟਰਿੰਗ ਨੂੰ ਲਾਗੂ ਨਹੀਂ ਕਰਦੇ ਹਨ।

ਉਸੇ ਸਮੇਂ, ਵਿਚਾਰ ਅਧੀਨ ਘਟਨਾ ਵਿੱਚ, RIPE RPKI ਰਿਪੋਜ਼ਟਰੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਇੱਕ ਜਾਂਚ ਨਿਕਲੀ। ਬੇਕਾਰ. ਇਤਫ਼ਾਕ ਨਾਲ, Rostelecom ਵਿੱਚ BGP ਰੂਟ ਦੇ ਲੀਕ ਹੋਣ ਤੋਂ ਤਿੰਨ ਘੰਟੇ ਪਹਿਲਾਂ, RIPE ਸਾਫਟਵੇਅਰ ਨੂੰ ਅਪਡੇਟ ਕਰਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਦੌਰਾਨ, ਗਲਤੀ ਨਾਲ ਮਿਟਾ ਦਿੱਤਾ 4100 ROA ਰਿਕਾਰਡ (RPKI ਰੂਟ ਮੂਲ ਅਧਿਕਾਰ)। ਡੇਟਾਬੇਸ ਨੂੰ ਸਿਰਫ 2 ਅਪ੍ਰੈਲ ਨੂੰ ਹੀ ਬਹਾਲ ਕੀਤਾ ਗਿਆ ਸੀ, ਅਤੇ ਇਸ ਸਾਰੇ ਸਮੇਂ ਦੌਰਾਨ ਚੈੱਕ RIPE ਗਾਹਕਾਂ ਲਈ ਅਯੋਗ ਸੀ (ਸਮੱਸਿਆ ਨੇ ਹੋਰ ਰਜਿਸਟਰਾਰਾਂ ਦੇ RPKI ਰਿਪੋਜ਼ਟਰੀਆਂ ਨੂੰ ਪ੍ਰਭਾਵਤ ਨਹੀਂ ਕੀਤਾ)। ਅੱਜ RIPE ਕੋਲ 7 ਘੰਟਿਆਂ ਦੇ ਅੰਦਰ ਨਵੀਆਂ ਸਮੱਸਿਆਵਾਂ ਅਤੇ RPKI ਰਿਪੋਜ਼ਟਰੀ ਹੈ ਅਣਉਪਲਬਧ ਸੀ.

ਰਜਿਸਟਰੀ-ਅਧਾਰਿਤ ਫਿਲਟਰਿੰਗ ਨੂੰ ਲੀਕ ਨੂੰ ਰੋਕਣ ਦੇ ਹੱਲ ਵਜੋਂ ਵੀ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ IRR (ਇੰਟਰਨੈੱਟ ਰਾਊਟਿੰਗ ਰਜਿਸਟਰੀ), ਜੋ ਕਿ ਖੁਦਮੁਖਤਿਆਰੀ ਪ੍ਰਣਾਲੀਆਂ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ ਜਿਸ ਦੁਆਰਾ ਨਿਰਧਾਰਤ ਅਗੇਤਰਾਂ ਦੇ ਰੂਟਿੰਗ ਦੀ ਆਗਿਆ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ। ਛੋਟੇ ਓਪਰੇਟਰਾਂ ਨਾਲ ਗੱਲਬਾਤ ਕਰਦੇ ਸਮੇਂ, ਮਨੁੱਖੀ ਗਲਤੀਆਂ ਦੇ ਪ੍ਰਭਾਵ ਨੂੰ ਘਟਾਉਣ ਲਈ, ਤੁਸੀਂ EBGP ਸੈਸ਼ਨਾਂ (ਵੱਧ ਤੋਂ ਵੱਧ-ਅਗੇਤਰ ਸੈਟਿੰਗ) ਲਈ ਸਵੀਕਾਰ ਕੀਤੇ ਅਗੇਤਰਾਂ ਦੀ ਅਧਿਕਤਮ ਸੰਖਿਆ ਨੂੰ ਸੀਮਤ ਕਰ ਸਕਦੇ ਹੋ।

ਜ਼ਿਆਦਾਤਰ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਘਟਨਾਵਾਂ ਦੁਰਘਟਨਾਤਮਕ ਕਰਮਚਾਰੀਆਂ ਦੀਆਂ ਗਲਤੀਆਂ ਦਾ ਨਤੀਜਾ ਹੁੰਦੀਆਂ ਹਨ, ਪਰ ਹਾਲ ਹੀ ਵਿੱਚ ਨਿਸ਼ਾਨਾ ਹਮਲੇ ਵੀ ਹੋਏ ਹਨ, ਜਿਸ ਦੌਰਾਨ ਹਮਲਾਵਰ ਪ੍ਰਦਾਤਾਵਾਂ ਦੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਨਾਲ ਸਮਝੌਤਾ ਕਰਦੇ ਹਨ ਸੰਗਠਿਤ ਰੀਡਾਇਰੈਕਸ਼ਨ и ਰੁਕਾਵਟ ਲਈ ਆਵਾਜਾਈ ਬਦਲ DNS ਜਵਾਬਾਂ ਨੂੰ ਬਦਲਣ ਲਈ MiTM ਹਮਲੇ ਦਾ ਆਯੋਜਨ ਕਰਨ ਦੁਆਰਾ ਖਾਸ ਸਾਈਟਾਂ।
ਅਜਿਹੇ ਹਮਲਿਆਂ ਦੌਰਾਨ TLS ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਾਪਤ ਕਰਨਾ ਹੋਰ ਮੁਸ਼ਕਲ ਬਣਾਉਣ ਲਈ, Let's Encrypt ਸਰਟੀਫਿਕੇਟ ਅਥਾਰਟੀ ਹਾਲ ਹੀ ਵਿੱਚ ਬਦਲਿਆ ਵੱਖ-ਵੱਖ ਸਬਨੈੱਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਮਲਟੀ-ਪੋਜ਼ੀਸ਼ਨ ਡੋਮੇਨ ਜਾਂਚ ਕਰਨ ਲਈ। ਇਸ ਜਾਂਚ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਲਈ, ਇੱਕ ਹਮਲਾਵਰ ਨੂੰ ਵੱਖ-ਵੱਖ ਅਪਲਿੰਕਸ ਵਾਲੇ ਪ੍ਰਦਾਤਾਵਾਂ ਦੇ ਕਈ ਖੁਦਮੁਖਤਿਆਰੀ ਪ੍ਰਣਾਲੀਆਂ ਲਈ ਇੱਕੋ ਸਮੇਂ ਰੂਟ ਰੀਡਾਇਰੈਕਸ਼ਨ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਜ਼ਰੂਰਤ ਹੋਏਗੀ, ਜੋ ਇੱਕ ਸਿੰਗਲ ਰੂਟ ਨੂੰ ਰੀਡਾਇਰੈਕਟ ਕਰਨ ਨਾਲੋਂ ਬਹੁਤ ਮੁਸ਼ਕਲ ਹੈ।

ਸਰੋਤ: opennet.ru