{"id":35550,"date":"2019-10-31T22:04:58","date_gmt":"2019-10-31T19:04:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/pochemu-internet-do-sih-por-onlajn\/"},"modified":"2019-10-31T22:04:58","modified_gmt":"2019-10-31T19:04:58","slug":"pochemu-internet-do-sih-por-onlajn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/pochemu-internet-do-sih-por-onlajn","title":{"rendered":"Dlaczego Internet wci\u0105\u017c jest online?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Internet wydaje si\u0119 siln\u0105, niezale\u017cn\u0105 i niepodwa\u017caln\u0105 struktur\u0105. W teorii, wytrzyma\u0142o\u015b\u0107 sieci wystarczy\u0142aby, aby przetrwa\u0107 wybuch j\u0105drowy. W rzeczywisto\u015bci, Internet mo\u017ce spa\u015b\u0107 przez jeden ma\u0142y router. Wszystko przez to, \u017ce Internet to nagromadzenie sprzeczno\u015bci, podatno\u015bci, b\u0142\u0119d\u00f3w i filmik\u00f3w o kotach. Podstaw\u0105 Internetu jest protok\u00f3\u0142 BGP, kt\u00f3ry zawiera mn\u00f3stwo problem\u00f3w. Zadziwiaj\u0105ce, \u017ce nadal funkcjonuje. Opr\u00f3cz b\u0142\u0119d\u00f3w samego Internetu, jest on \u0142amany przez wszystkich, kt\u00f3rzy tylko maj\u0105 na to ochot\u0119: du\u017cych dostawc\u00f3w Internetu, korporacje, rz\u0105dy i ataki DDoS. Co z tym zrobi\u0107 i jak z tym \u017cy\u0107?<\/p>\n

\"Dlaczego
\n
\nOdpowied\u017a zna Aleksiej Uczakin<\/b> (Night_Snake<\/a><\/noindex>) \u2013 lider zespo\u0142u in\u017cynier\u00f3w sieciowych w firmie IQ Option. Jego g\u0142\u00f3wnym zadaniem jest zapewnienie dost\u0119pno\u015bci platformy dla u\u017cytkownik\u00f3w. W transkrypcji wyk\u0142adu Aleksieja na\u00a0Saint HighLoad++ 2019<\/a><\/noindex> porozmawiamy o BGP, atakach DDoS, wy\u0142\u0105czniku dla Internetu, b\u0142\u0119dach dostawc\u00f3w, decentralizacji oraz przypadkach, gdy ma\u0142y router wys\u0142a\u0142 Internet na drzemk\u0119. Na ko\u0144cu \u2013 kilka wskaz\u00f3wek, jak to wszystko przetrwa\u0107.
\n<\/a><\/noindex>
\n

\r\n \"Odtwarzaj\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Dzie\u0144, w kt\u00f3rym Internet si\u0119 zepsu\u0142<\/h2>\n

\nPrzedstawi\u0119 tylko kilka incydent\u00f3w, kiedy Internet traci\u0142 \u0142\u0105czno\u015b\u0107. To wystarczy, aby zobaczy\u0107 pe\u0142ny obraz.<\/p>\n

Incydent z AS7007<\/b>. Po raz pierwszy Internet si\u0119 zepsu\u0142 w kwietniu 1997 roku. W oprogramowaniu jednego routera z autonomicznego systemu 7007 wyst\u0105pi\u0142 b\u0142\u0105d. W pewnym momencie router og\u0142osi\u0142 swoim s\u0105siadom swoj\u0105 wewn\u0119trzn\u0105 tabel\u0119 routingu i wys\u0142a\u0142 po\u0142ow\u0119 sieci w czarn\u0105 dziur\u0119.<\/p>\n

Pakistan przeciwko YouTube<\/b>. W 2008 roku dzielni panowie z Pakistanu postanowili zablokowa\u0107 YouTube u siebie. Zrobili to na tyle skutecznie, \u017ce po\u0142owa \u015bwiata zosta\u0142a bez filmik\u00f3w o kotach.<\/p>\n

Przechwycenie prefiks\u00f3w VISA, MasterCard i Symantec przez Rostelekom<\/b>. W 2017 roku Rostelekom przez pomy\u0142k\u0119 zacz\u0105\u0142 og\u0142asza\u0107 prefiksy VISA, MasterCard i Symantec. W rezultacie finansowy ruch zosta\u0142 skierowany przez kana\u0142y kontrolowane przez dostawc\u0119. Incydent trwa\u0142 kr\u00f3tko, ale dla firm finansowych by\u0142o to nieprzyjemne.<\/p>\n

Google przeciwko Japonii<\/b>. W sierpniu 2017 roku Google zacz\u0105\u0142 og\u0142asza\u0107 w cz\u0119\u015bci swoich \u0142\u0105czy uplink prefiksy du\u017cych japo\u0144skich dostawc\u00f3w NTT i KDDI. Ruch zosta\u0142 skierowany do Google jako tranzytowy, prawdopodobnie przez b\u0142\u0105d. Poniewa\u017c Google nie jest dostawc\u0105 i nie przepuszcza ruchu tranzytowego, znaczna cz\u0119\u015b\u0107 Japonii zosta\u0142a bez Internetu.<\/p>\n

DV LINK przechwyci\u0142 prefiksy Google, Apple, Facebook, Microsoft<\/b>. W 2017 roku rosyjski dostawca DV LINK zacz\u0105\u0142 bezsensownie og\u0142asza\u0107 sieci Google, Apple, Facebook, Microsoft i niekt\u00f3rych innych du\u017cych graczy.<\/p>\n

\u201eeNet z USA przej\u0105\u0142 prefiksy AWS Route53 i MyEtherwallet\u201d<\/b>. W 2018 roku dostawca z Ohio lub kto\u015b z jego klient\u00f3w og\u0142osi\u0142 sieci Amazon Route53 i portfela kryptowalutowego MyEtherwallet. Atak by\u0142 udany: mimo samopodpisanego certyfikatu, ostrze\u017cenie, kt\u00f3re pojawia\u0142o si\u0119 u u\u017cytkownika przy odwiedzaniu strony MyEtherwallet, wiele portfeli zosta\u0142o skradzionych i cz\u0119\u015b\u0107 kryptowaluty skradziona.<\/p>\n

W 2017 roku takich incydent\u00f3w by\u0142o ponad 14 000! Sie\u0107 nadal jest zdecentralizowana, dlatego nie wszystko psuje si\u0119 u wszystkich. Ale incydenty zdarzaj\u0105 si\u0119 tysi\u0105cami i wszystkie s\u0105 zwi\u0105zane z protoko\u0142em BGP, na kt\u00f3rym dzia\u0142a internet.<\/p>\n

BGP i jego problemy<\/h2>\n

\nProtok\u00f3\u0142 BGP - Border Gateway Protocol<\/b>, po raz pierwszy opisany w 1989 roku przez dw\u00f3ch in\u017cynier\u00f3w z IBM i Cisco Systems na trzech \u201eserwetkach\u201d - kartkach formatu A4. Te \u201eserwetki\u201d<\/a><\/noindex> do dzi\u015b le\u017c\u0105 w g\u0142\u00f3wnym biurze Cisco Systems w San Francisco jako relikwia \u015bwiata sieciowego.<\/p>\n

W podstawie protoko\u0142u znajduje si\u0119 interakcja autonomicznych system\u00f3w<\/b>\u00a0\u2014 Autonomous Systems, w skr\u00f3cie - AS. Autonomiczny system to po prostu pewien ID, pod kt\u00f3rym w publicznym rejestrze przypisane s\u0105 sieci IP. Router z takim ID mo\u017ce og\u0142asza\u0107 te sieci \u015bwiatu. W zwi\u0105zku z tym, ka\u017cd\u0105 tras\u0119 w internecie mo\u017cna przedstawi\u0107 jako wektor, kt\u00f3ry nazywa si\u0119 AS Path<\/b>. Wektor sk\u0142ada si\u0119 z numer\u00f3w autonomicznych system\u00f3w, kt\u00f3re trzeba przej\u015b\u0107, aby dotrze\u0107 do sieci docelowej.<\/p>\n

Na przyk\u0142ad, istnieje sie\u0107 sk\u0142adaj\u0105ca si\u0119 z pewnej liczby autonomicznych system\u00f3w. Trzeba przej\u015b\u0107 z systemu AS65001 do systemu AS65003. Droga od jednego systemu jest przedstawiona jako AS Path na schemacie. Sk\u0142ada si\u0119 z dw\u00f3ch autonomicznych system\u00f3w: 65002 i 65003. Dla ka\u017cdego adresu docelowego istnieje wektor AS Path, kt\u00f3ry sk\u0142ada si\u0119 z numer\u00f3w autonomicznych system\u00f3w, kt\u00f3re musimy przej\u015b\u0107.<\/p>\n

\"Dlaczego
\n
\nJakie s\u0105 zatem problemy z BGP?<\/p>\n

BGP to protok\u00f3\u0142 zaufania<\/h3>\n

\nProtok\u00f3\u0142 BGP - oparty na zaufaniu. To oznacza, \u017ce z zasady ufamy naszemu s\u0105siadowi. Jest to cecha wielu protoko\u0142\u00f3w, kt\u00f3re zosta\u0142y opracowane na samym pocz\u0105tku internetu. Zrozummy, co oznacza \u201eufamy\u201d.<\/p>\n

Brak autoryzacji s\u0105siada<\/b>. Formalnie istnieje MD5, ale MD5 w 2019 roku - no, takie sobie...<\/p>\n

Brak filtracji<\/b>. BGP ma filtry i s\u0105 one opisane, ale nie s\u0105 u\u017cywane lub s\u0105 u\u017cywane niew\u0142a\u015bciwie. P\u00f3\u017aniej wyja\u015bni\u0119, dlaczego.<\/p>\n

Bardzo \u0142atwe do skonfigurowania s\u0105siedztwo<\/b>. Konfiguracja s\u0105siedztwa w protokole BGP na\u00a0niemal ka\u017cdym routerze to\u00a0tylko kilka linijek konfiguracyjnych.<\/p>\n

Nie s\u0105 wymagane uprawnienia do\u00a0zarz\u0105dzania BGP<\/b>. Nie trzeba zdawa\u0107 egzamin\u00f3w potwierdzaj\u0105cych kwalifikacje. Nikt nie\u00a0odbierze uprawnie\u0144 za\u00a0konfiguracj\u0119 BGP w\u00a0stanie nietrze\u017awym.<\/p>\n

Dwa g\u0142\u00f3wne problemy<\/h3>\n

\nKrady prefiks\u00f3w \u2014 prefix hijacks<\/b>. Kradzie\u017c prefiksu to\u00a0og\u0142aszanie sieci, kt\u00f3ra do\u00a0Ciebie nie\u00a0nale\u017cy, tak jak w\u00a0przypadku z\u00a0MyEtherwallet. Wzi\u0119li\u015bmy kilka prefiks\u00f3w, dogadali\u015bmy si\u0119 z\u00a0dostawc\u0105 lub\u00a0go zhakowali\u015bmy i\u00a0og\u0142aszamy te sieci przez niego.<\/p>\n

Przecieki tras \u2014 route leaks<\/b>. W przypadku przeciek\u00f3w sprawa jest nieco bardziej skomplikowana. Przeciek to\u00a0zmiana AS Path<\/b>. W\u00a0najlepszym przypadku zmiana prowadzi do\u00a0wi\u0119kszych op\u00f3\u017anie\u0144, poniewa\u017c musisz przej\u015b\u0107 tras\u0105 d\u0142u\u017csz\u0105 lub\u00a0przez mniej wydajny link. W\u00a0najgorszym przypadku powt\u00f3rzy si\u0119 sytuacja z\u00a0Google i\u00a0Japonii.<\/p>\n

Sam Google nie\u00a0jest operatorem ani tranzystorowym systemem autonomicznym. Jednak kiedy og\u0142osi\u0142 swojemu dostawcy sieci japo\u0144skich operator\u00f3w, ruch przez Google w\u00a0AS Path by\u0142 widziany jako bardziej priorytetowy. Ruch poszed\u0142 tam i\u00a0zosta\u0142 dropowany tylko dlatego, \u017ce ustawienia trasowania wewn\u0105trz Google s\u0105 bardziej skomplikowane ni\u017c tylko filtry na granicy.<\/p>\n

Dlaczego filtry nie\u00a0dzia\u0142aj\u0105?<\/h3>\n

\nNikt si\u0119 tym nie\u00a0interesuje<\/b>. To g\u0142\u00f3wny pow\u00f3d \u2014 wszystkim jest to\u00a0oboj\u0119tne. Administrator ma\u0142ego dostawcy lub firmy, kt\u00f3ra pod\u0142\u0105czy\u0142a si\u0119 do\u00a0dostawcy przez\u00a0BGP, wzi\u0105\u0142 MikroTik, skonfigurowa\u0142 BGP i\u00a0nawet nie\u00a0wie, \u017ce mo\u017cna ustawia\u0107 tam filtry.<\/p>\n

B\u0142\u0119dy konfiguracji<\/b>. Co\u015b debugowano, b\u0142\u0105d w\u00a0masce, ustawiono nie\u00a0t\u0105 sie\u0107 \u2014 i\u00a0oto, zn\u00f3w b\u0142\u0105d.<\/p>\n

Brak mo\u017cliwo\u015bci technicznych<\/b>. Na przyk\u0142ad, dostawcy internetu maj\u0105 wielu klient\u00f3w. Rozs\u0105dnie by\u0142oby automatycznie aktualizowa\u0107 filtry dla ka\u017cdego klienta \u2014 monitorowa\u0107, \u017ce pojawi\u0142a si\u0119 nowa sie\u0107, \u017ce wynaj\u0105\u0142 swoj\u0105 sie\u0107 komu\u015b innemu. Trudno jest to\u00a0\u015bledzi\u0107, a r\u0119cznie jeszcze trudniej. Dlatego po prostu stosuj\u0105 lu\u017ano ustawione filtry lub\u00a0wcale ich nie\u00a0ustawiaj\u0105.<\/p>\n

Wyj\u0105tki<\/b>. S\u0105 wyj\u0105tki dla ulubionych i\u00a0wi\u0119kszych klient\u00f3w. Szczeg\u00f3lnie w\u00a0przypadku styk\u00f3w mi\u0119dzyoperatorowych. Na przyk\u0142ad, u\u00a0TransTelekom i\u00a0Rostelecom jest wiele sieci i\u00a0mi\u0119dzy nimi styk. Je\u015bli styk upadnie \u2014 nikomu nie\u00a0b\u0119dzie dobrze, dlatego filtry s\u0105 lu\u017aniej ustawiane lub ca\u0142kowicie usuwane.<\/p>\n

Zdezaktualizowane lub nieaktualne informacje w\u00a0IRR<\/b>. Filtry s\u0105 budowane na\u00a0podstawie informacji zapisanych w\u00a0IRR \u2014 Internet Routing Registry<\/b>. To s\u0105 rejestry regionalnych rejestrator\u00f3w internetowych. Cz\u0119sto w rejestrach znajduj\u0105 si\u0119 przestarza\u0142e lub nieaktualne informacje, albo jedno i drugie.<\/p>\n

Kim s\u0105 ci rejestratorzy?<\/h3>\n

\"Dlaczego
\n
\nWszystkie adresy w internecie nale\u017c\u0105 do organizacji IANA \u2014 Internet Assigned Numbers Authority<\/b>. Kiedy kupujesz od kogo\u015b sie\u0107 IP, kupujesz nie adresy, a prawo do ich u\u017cywania. Adresy to zas\u00f3b niematerialny, a wed\u0142ug og\u00f3lnych ustale\u0144 wszystkie nale\u017c\u0105 do agencji IANA.<\/p>\n

System dzia\u0142a w ten spos\u00f3b. IANA deleguje zarz\u0105dzanie adresami IP i numerami system\u00f3w autonomicznych pi\u0119ciu regionalnym rejestratorom. Ci wydaj\u0105 systemy autonomiczne LIR \u2014 lokalnym rejestratorom internetowym<\/b>. Nast\u0119pnie LIR przydzielaj\u0105 adresy IP ostatecznym u\u017cytkownikom.<\/p>\n

Wad\u0105 systemu jest to, \u017ce ka\u017cdy z regionalnych rejestrator\u00f3w prowadzi swoje rejestry na sw\u00f3j spos\u00f3b. Ka\u017cdy ma swoje pogl\u0105dy na to, jakie informacje powinny by\u0107 zawarte w rejestrach, kto je powinien lub nie powinien weryfikowa\u0107. W rezultacie powstaje ba\u0142agan, kt\u00f3ry mamy teraz.<\/p>\n

Jak jeszcze mo\u017cna walczy\u0107 z tymi problemami?<\/h3>\n

\nIRR \u2014 przeci\u0119tna jako\u015b\u0107<\/b>. Z IRR wiadomo \u2014 tam wszystko jest \u017ale.<\/p>\n

BGP-communities<\/b>. To pewien atrybut, kt\u00f3ry jest opisany w protokole. Mo\u017cemy na\u0142o\u017cy\u0107, na przyk\u0142ad, specjalne community na nasze og\u0142oszenie, aby s\u0105siad nie przesy\u0142a\u0142 naszych sieci swoim s\u0105siadom. Kiedy mamy link P2P, wymieniamy si\u0119 tylko swoimi sieciami. Aby przypadkowo trasa nie trafi\u0142a do innych sieci, nak\u0142adamy community.<\/p>\n

Community nie s\u0105 tranzytowe<\/b>. To zawsze umowa na dw\u00f3ch, i to jest ich wada. Nie mo\u017cemy na\u0142o\u017cy\u0107 jakiego\u015b community, z wyj\u0105tkiem jednego, kt\u00f3re jest akceptowane domy\u015blnie przez wszystkich. Nie mo\u017cemy by\u0107 pewni, \u017ce to community wszyscy przyjm\u0105 i w\u0142a\u015bciwie zinterpretuj\u0105. Dlatego, w najlepszym przypadku, je\u015bli dogadasz si\u0119 ze swoim uplinkiem, on zrozumie, czego od niego chcesz przez community. Ale s\u0105siad mo\u017ce tego nie zrozumie\u0107, albo operator po prostu odrzuci twoj\u0105 etykiet\u0119 i nie osi\u0105gniesz tego, czego chcia\u0142e\u015b.<\/p>\n

RPKI + ROA rozwi\u0105zuj\u0105 tylko ma\u0142\u0105 cz\u0119\u015b\u0107 problem\u00f3w<\/b>. RPKI \u2014 to Resource Public Key Infrastructure\u00a0<\/b> \u2014 specjalny framework do podpisywania informacji o trasach. Dobry pomys\u0142, aby zmusi\u0107 LIR-\u00f3w i ich klient\u00f3w do prowadzenia aktualnej bazy przestrzeni adresowej. Ale z nim jest jeden problem.<\/p>\n

RPKI to tak\u017ce hierarchiczny system kluczy publicznych. IANA ma klucz, od kt\u00f3rego tworzony jest klucz RIR, a od niego klucze LIR, kt\u00f3rymi podpisuj\u0105 swoj\u0105 przestrze\u0144 adresow\u0105 za pomoc\u0105 ROAs - Route Origin Authorisations.<\/p>\n

\u2014 Zapewniam, \u017ce ten prefiks b\u0119dzie og\u0142aszany w imieniu tej autonomii.<\/i><\/p>\n

Opr\u00f3cz ROA istniej\u0105 inne obiekty, ale o nich p\u00f3\u017aniej. Wydaje si\u0119, \u017ce to dobry i przydatny mechanizm. Jednak nie zabezpiecza nas wcale przed wyciekami i nie rozwi\u0105zuje wszystkich problem\u00f3w z kradzie\u017c\u0105 prefiks\u00f3w. Dlatego gracze nie maj\u0105 zbyt wiele ch\u0119ci do wdra\u017cania tego. Chocia\u017c ju\u017c du\u017cym graczom, jak AT&T i du\u017cym IX-om, zapewniono, \u017ce prefiksy z nieprawid\u0142owym zapisem ROA b\u0119d\u0105 odrzucane. <\/p>\n

Mo\u017cliwe, \u017ce b\u0119d\u0105 to robi\u0107, ale obecnie mamy ogromn\u0105 liczb\u0119 prefiks\u00f3w, kt\u00f3re w \u017caden spos\u00f3b nie s\u0105 podpisane. Z jednej strony nie wiadomo, czy s\u0105 one og\u0142aszane jako wa\u017cne. Z drugiej strony nie mo\u017cemy ich domy\u015blnie odrzuca\u0107, poniewa\u017c nie jeste\u015bmy pewni, czy to s\u0142uszne czy nie.<\/p>\n

Co jest jeszcze?<\/h3>\n

\nBGPSec<\/b>. To \u015bwietny mechanizm wymy\u015blony przez akademik\u00f3w dla sieci r\u00f3\u017cowych kucyk\u00f3w. Powiedzieli:<\/p>\n

\u2014 Mamy RPKI + ROA - mechanizm potwierdzaj\u0105cy podpis przestrzeni adresowej. Stw\u00f3rzmy osobny atrybut BGP i nazwijmy go BGPSec Path. Ka\u017cdy router b\u0119dzie podpisywa\u0142 swoje og\u0142oszenia, kt\u00f3re og\u0142asza s\u0105siadom. W ten spos\u00f3b uzyskamy zaufan\u0105 \u015bcie\u017ck\u0119 z \u0142a\u0144cucha podpisanych og\u0142osze\u0144 i b\u0119dziemy mogli j\u0105 zweryfikowa\u0107.<\/i><\/p>\n

Teoretycznie to brzmi dobrze, ale w praktyce napotyka wiele problem\u00f3w. BGPSec zaburza wiele istniej\u0105cych mechanik BGP zwi\u0105zanych z wyborem next-hop i zarz\u0105dzaniem ruchem przychodz\u0105cym\/wychodz\u0105cym bezpo\u015brednio na routerze. BGPSec nie dzia\u0142a, dop\u00f3ki nie wdro\u017cy go 95% uczestnik\u00f3w ca\u0142ego rynku, co samo w sobie jest utopi\u0105.<\/p>\n

BGPSec ma ogromne problemy z wydajno\u015bci\u0105. Na obecnym sprz\u0119cie szybko\u015b\u0107 weryfikacji og\u0142osze\u0144 wynosi oko\u0142o 50 prefiks\u00f3w na sekund\u0119. Dla por\u00f3wnania: obecna tabela internetu z 700 000 prefiks\u00f3w b\u0119dzie \u0142adowana przez 5 godzin, w ci\u0105gu kt\u00f3rych zmieni si\u0119 jeszcze 10 razy.<\/p>\n

BGP Open Policy (BGP oparty na roli)<\/b>. Nowa propozycja oparta na modelu Gao-Reksforda<\/b>. To dw\u00f3ch naukowc\u00f3w zajmuj\u0105cych si\u0119 badaniami nad BGP.<\/p>\n

Model Gao-Reksforda opiera si\u0119 na nast\u0119puj\u0105cych za\u0142o\u017ceniach. Upraszczaj\u0105c, w przypadku BGP istnieje niewielka liczba typ\u00f3w interakcji:<\/p>\n