{"id":110728,"date":"2023-10-11T03:10:14","date_gmt":"2023-10-11T01:10:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-protokole-http-2-zadejstvovannaya-v-krupnejshej-ddos-atake"},"modified":"2023-10-11T03:10:14","modified_gmt":"2023-10-11T01:10:14","slug":"uyazvimost-v-protokole-http-2-zadejstvovannaya-v-krupnejshej-ddos-atake","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimost-v-protokole-http-2-zadejstvovannaya-v-krupnejshej-ddos-atake","title":{"rendered":"Luka w protokole HTTP\/2, wykorzystana w najwi\u0119kszym ataku DDoS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Firma Google zarejestrowa\u0142a najwi\u0119kszy atak DDoS na swoj\u0105 infrastruktur\u0119, kt\u00f3rego intensywno\u015b\u0107 wynios\u0142a 398 milion\u00f3w zapyta\u0144 na sekund\u0119. Nowy atak przewy\u017csza intensywno\u015bci\u0105 poprzedni rekordowy atak DDoS siedmiokrotnie, w kt\u00f3rym przest\u0119pcom uda\u0142o si\u0119 wygenerowa\u0107 strumie\u0144 47 milion\u00f3w zapyta\u0144 na sekund\u0119. Dla por\u00f3wnania, ca\u0142y ruch w Internecie szacuje si\u0119 na poziomie 1-3 miliard\u00f3w zapyta\u0144 na sekund\u0119. Opr\u00f3cz Google z atakiem zmierzy\u0142y si\u0119 r\u00f3wnie\u017c firmy Amazon i Cloudflare. Mo\u017cliwo\u015b\u0107 przeprowadzenia nowego ataku zwi\u0105zana jest z wykryt\u0105 w protokole HTTP\/2 luk\u0105 (CVE-2023-44487), kt\u00f3ra pozwala na kierowanie ogromnego strumienia zapyta\u0144 na serwer przy minimalnym obci\u0105\u017ceniu klienta. <\/p>\n

Nowa technika ataku nazywa si\u0119 «Rapid Reset» i wykorzystuje to, \u017ce \u015brodki multiplikacji kana\u0142\u00f3w komunikacyjnych oferowane w HTTP\/2 umo\u017cliwiaj\u0105 tworzenie strumienia zapyta\u0144 w ramach ju\u017c ustanowionego po\u0142\u0105czenia, bez otwierania nowych po\u0142\u0105cze\u0144 sieciowych i bez oczekiwania na potwierdzenie odbioru pakiet\u00f3w. Luka postrzegana jest jako konsekwencja niedopracowania protoko\u0142u HTTP\/2, w specyfikacji kt\u00f3rego napisano, \u017ce w przypadku pr\u00f3by otwarcia zbyt du\u017cej liczby strumieni, nale\u017cy uniewa\u017cni\u0107 tylko strumienie przekraczaj\u0105ce limit, ale nie zamyka\u0107 ca\u0142ego po\u0142\u0105czenia sieciowego. <\/p>\n

Podobnie jak w wcze\u015bniej stosowanych metodach prowadzenia atak\u00f3w na HTTP\/2, w nowym ataku r\u00f3wnie\u017c tworzy si\u0119 du\u017c\u0105 liczb\u0119 strumieni w ramach jednego po\u0142\u0105czenia. Kluczow\u0105 r\u00f3\u017cnic\u0105 nowego ataku jest to, \u017ce zamiast czeka\u0107 na odpowied\u017a, po ka\u017cdym wys\u0142anym zapytaniu kierowany jest fram z flag\u0105 RST_STREAM, natychmiastowo anuluj\u0105c\u0105 zapytanie. Anulowanie zapytania na wczesnym etapie pozwala pozby\u0107 si\u0119 ruchu zwrotnego w stron\u0119 klienta i omin\u0105\u0107 ograniczenia istniej\u0105ce na serwerach HTTP dotycz\u0105ce maksymalnej liczby strumieni, kt\u00f3re mog\u0105 by\u0107 jednocze\u015bnie otwarte w ramach jednego po\u0142\u0105czenia w HTTP\/2. W ten spos\u00f3b, w nowym ataku, obj\u0119to\u015b\u0107 zapyta\u0144 kierowanych do serwera HTTP przestaje zale\u017ce\u0107 od op\u00f3\u017anie\u0144 mi\u0119dzy wys\u0142aniem zapytania a otrzymaniem odpowiedzi (RTT, round-trip time) i ogranicza si\u0119 tylko do przepustowo\u015bci kana\u0142u komunikacyjnego.

\"Luka<\/center> <\/p>\n

Poniewa\u017c do przeprowadzenia ataku ze strony klienta wystarczy po prostu wysy\u0142a\u0107 zapytania, nie oczekuj\u0105c odpowiedzi, atak mo\u017cna przeprowadzi\u0107 przy minimalnych kosztach. Na przyk\u0142ad, atak zarejestrowany przez firm\u0119 Cloudflare wynosz\u0105cy 201 milion\u00f3w zapyta\u0144 na sekund\u0119 zosta\u0142 przeprowadzony przy u\u017cyciu stosunkowo niewielkiego botnetu licz\u0105cego 20 tysi\u0119cy komputer\u00f3w. Po stronie serwera<\/a> koszty przetwarzania nadchodz\u0105cych zapyta\u0144 s\u0105 znacznie wy\u017csze, mimo ich anulowania, poniewa\u017c konieczne jest wykonanie takich operacji jak alokacja struktur danych dla nowych strumieni, analiza zapytania, rozpakowywanie nag\u0142\u00f3wka i dopasowywanie URL do zasob\u00f3w. W przypadku ataku na serwery proxy, atak mo\u017ce rozprzestrzeni\u0107 si\u0119 na backendy, poniewa\u017c proxy mo\u017ce zd\u0105\u017cy\u0107 przekaza\u0107 zapytanie do backendu przed przetworzeniem ramki RST_STREAM. <\/p>\n

Atak mo\u017ce by\u0107 przeprowadzony tylko na podatne serwery obs\u0142uguj\u0105ce HTTP\/2 (skrypt do sprawdzania manifestacji podatno\u015bci w serwerach, zestaw narz\u0119dzi do przeprowadzenia ataku). Jak dot\u0105d nie zarejestrowano atak\u00f3w na HTTP\/3, a mo\u017cliwo\u015b\u0107 ich przeprowadzenia nie zosta\u0142a w pe\u0142ni przeanalizowana, ale przedstawiciele Google zalecaj\u0105 programistom serwer\u00f3w<\/a> dodanie do implementacji HTTP\/3 \u015brodk\u00f3w ochrony podobnych do tych zaimplementowanych w celu zablokowania ataku na HTTP\/2. <\/p>\n

Podatno\u015b\u0107 na podatno\u015b\u0107 i dost\u0119pno\u015b\u0107 poprawek dla serwer\u00f3w HTTP i proxy: <\/p>\n