{"id":31415,"date":"2019-10-31T21:41:08","date_gmt":"2019-10-31T18:41:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vse-ochen-ploho-ili-novyj-vid-perehvata-trafika\/"},"modified":"2019-10-31T21:41:08","modified_gmt":"2019-10-31T18:41:08","slug":"vse-ochen-ploho-ili-novyj-vid-perehvata-trafika","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/vse-ochen-ploho-ili-novyj-vid-perehvata-trafika","title":{"rendered":"Totul este foarte r\u0103u sau un nou tip de interceptare a traficului","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Pe 13 martie, \u00een grupul de lucru RIPE pentru combaterea abuzurilor a fost f\u0103cut\u0103 o propunere<\/a><\/noindex> de a trata interceptarea BGP (hijack) ca o \u00eenc\u0103lcare a politicii RIPE. Dac\u0103 propunerea este acceptat\u0103, furnizorul de internet, atacat prin interceptarea traficului, ar avea posibilitatea de a trimite o cerere special\u0103 pentru a expune atacatorul. Dac\u0103 grupul de exper\u021bi adun\u0103 suficiente dovezi concludente, astfel de LIR-uri, care sunt sursa intercept\u0103rii BGP, ar fi considerate infractori \u0219i ar putea fi privite de statutul de LIR. Au fost \u0219i unele argumente \u00eempotriva acestui lucru<\/a><\/noindex> schimb\u0103ri.<\/p>\n

\u00cen aceast\u0103 publica\u021bie dorim s\u0103 ar\u0103t\u0103m un exemplu de atac, c\u00e2nd nu doar adev\u0103ratul infractor a fost pus la \u00eendoial\u0103, ci \u0219i \u00eentreaga list\u0103 de prefixe afectate. Mai mult, un astfel de atac ridic\u0103 din nou \u00eentreb\u0103ri privind motivele viitoarelor intercept\u0103ri de trafic de acest tip.
\n<\/a><\/noindex>
\n\u00cen ultimii c\u00e2\u021biva ani, \u00een pres\u0103, ca intercept\u0103ri BGP au fost raportate doar conflictele de tip MOAS (Multiple Origin Autonomous System). MOAS este un caz particular \u00een care dou\u0103 sisteme autonome diferite anun\u021b\u0103 prefixe \u00een conflict cu numere ASN corespunz\u0103toare \u00een AS_PATH (primul ASN \u00een AS_PATH, denumit \u00een continuare \u2013 ASN origin). Totu\u0219i, putem numi cel pu\u021bin 3 tipuri suplimentare<\/a><\/noindex> de interceptare a traficului care permit atacatorului s\u0103 manipuleze atributul AS_PATH cu diferite scopuri, inclusiv pentru a ocoli abord\u0103rile moderne de filtrare \u0219i monitorizare. Un tip cunoscut de atac Pilosova-Capela<\/a><\/noindex> este ultimul tip de astfel de interceptare, dar nu mai pu\u021bin semnificativ. Este posibil ca exact un astfel de atac s\u0103 fi fost observat \u00een ultimele s\u0103pt\u0103m\u00e2ni. Un astfel de eveniment are un caracter explicabil \u0219i consecin\u021be destul de grave.<\/p>\n

Cei care caut\u0103 o versiune TL;DR pot derula p\u00e2n\u0103 la subtitlul \u201eAtacul perfect\u201d.<\/p>\n

Contextul re\u021belei<\/h3>\n

(pentru a \u00een\u021belege mai bine procesele implicate \u00een acest incident)<\/i><\/p>\n

Dac\u0103 dori\u021bi s\u0103 trimite\u021bi un pachet \u0219i ave\u021bi mai multe prefixe \u00een tabela de rutare care con\u021bin adresa IP destinat\u0103, ve\u021bi utiliza ruta pentru prefixul cu cea mai mare lungime. Dac\u0103 \u00eens\u0103 \u00een tabela de rutare exist\u0103 mai multe rute diferite pentru un singur prefix, ve\u021bi alege cea mai bun\u0103 (\u00een conformitate cu mecanismul de selec\u021bie a celei mai bune c\u0103i).<\/p>\n

Abord\u0103rile existente pentru filtrare \u0219i monitorizare \u00eencearc\u0103 s\u0103 analizeze rutele \u0219i s\u0103 ia decizii analiz\u00e2nd atributul AS_PATH. Routerul poate schimba acest atribut la orice valoare \u00een timpul anun\u021bului. Ad\u0103ugarea simpl\u0103 a ASN-ului proprietar la \u00eenceputul AS_PATH (ca ASN de origine) poate fi suficient\u0103 pentru a ocoli mecanismele actuale de verificare a sursei. Mai mult, dac\u0103 exist\u0103 o rut\u0103 de la ASN-ul atacat c\u0103tre dumneavoastr\u0103, apare posibilitatea de a extrage \u0219i folosi AS_PATH-ul acestei rute \u00een alte anun\u021buri ale dumneavoastr\u0103. Orice verificare a validit\u0103\u021bii doar pe baza AS_PATH-ului pentru anun\u021burile dumneavoastr\u0103 modificate va fi, \u00een cele din urm\u0103, trecut\u0103.<\/p>\n

Exist\u0103, de asemenea, c\u00e2teva limit\u0103ri demne de men\u021bionat. \u00cen primul r\u00e2nd, \u00een cazul filtr\u0103rii prefixelor de c\u0103tre furnizorul superior, ruta dumneavoastr\u0103 poate fi \u00een continuare filtrat\u0103 (chiar cu un AS_PATH corect), dac\u0103 prefixul nu apar\u021bine conurilor clien\u021bilor dumneavoastr\u0103, configurate la upstream. Al doilea - un AS_PATH valid poate deveni invalid, dac\u0103 ruta creat\u0103 este anun\u021bat\u0103 \u00een direc\u021bii incorecte \u0219i, astfel, \u00eencalc\u0103 politica de rutare. \u0218i \u00een final - orice rut\u0103 cu un prefix care \u00eencalc\u0103 lungimea ROA poate fi considerat\u0103 invalid\u0103.<\/p>\n

Incident<\/h3>\n

\nAcum c\u00e2teva s\u0103pt\u0103m\u00e2ni, am primit o pl\u00e2ngere de la unul dintre utilizatori. Am v\u0103zut rute cu ASN-ul s\u0103u de origine \u0219i prefixe \/25, \u00een timp ce utilizatorul sus\u021binea c\u0103 nu le-a anun\u021bat.<\/p>\n

TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.0\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.128\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.0\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.128\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.0\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.128\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.0\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.128\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||<\/code>
\nExemple de anun\u021buri de la \u00eenceputul lunii aprilie 2019<\/i><\/p>\n

NTT \u00een rut\u0103 pentru prefixul \/25 face ca acesta s\u0103 fie deosebit de suspect. \u00cen timpul incidentului, LG NTT nu \u0219tia nimic despre aceast\u0103 rut\u0103. A\u0219adar, da, un operator a creat un \u00eentreg AS_PATH pentru aceste prefixe! Verificarea pe alte routere permite eviden\u021bierea unui ASN deosebit: AS263444. Privind alte rute cu acest sistem autonom, ne-am confruntat cu urm\u0103toarea situa\u021bie:<\/p>\n

TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.0\/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.128\/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.24.0.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.24.128.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.26.0.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.26.128.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.64.96.0\/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.64.112.0\/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||<\/code>
\n\u00cencerca\u021bi s\u0103 ghici\u021bi ce nu este \u00een regul\u0103 aici<\/i><\/p>\n

Se pare c\u0103 cineva a preluat un prefix din rut\u0103, l-a \u00eemp\u0103r\u021bit \u00een dou\u0103 p\u0103r\u021bi \u0219i a anun\u021bat ruta cu acela\u0219i AS_PATH pentru aceste dou\u0103 prefixe.<\/p>\n

TABLE_DUMP2|1554076800|B|xxx|263444|1.6.36.0\/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|263444|1.6.38.0\/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|61775|1.6.36.0\/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|61775|1.6.38.0\/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|28172|1.6.36.0\/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|28172|1.6.38.0\/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||<\/code>
\nExemple de rute pentru una dintre perechile de prefixe \u00eemp\u0103r\u021bite<\/i><\/p>\n

\u00centreab\u0103-te mai multe \u00eentreb\u0103ri. A \u00eencercat cineva \u00een practic\u0103 acest tip de interceptare? A acceptat cineva aceste rute? Ce prefixe au fost afectate?<\/p>\n

Aici \u00eencepe seria noastr\u0103 de e\u0219ecuri \u0219i \u00eenc\u0103 un r\u00e2nd de dezam\u0103gire \u00een starea actual\u0103 de s\u0103n\u0103tate a Internetului.<\/p>\n

Calea e\u0219ecurilor<\/h3>\n

\nS\u0103 o lu\u0103m pe r\u00e2nd. Cum putem determina ce routere au acceptat astfel de rute interceptate \u0219i ce trafic poate fi redirec\u021bionat deja ast\u0103zi? Ne-am g\u00e2ndit s\u0103 \u00eencepem cu prefixele \/25, pentru c\u0103 acestea \"pur \u0219i simplu nu pot avea o r\u0103sp\u00e2ndire global\u0103\". Dup\u0103 cum v\u0103 pute\u021bi imagina, ne-am \u00een\u0219elat grav. Aceast\u0103 metric\u0103 s-a dovedit a fi prea zgomotoas\u0103, iar rutele cu astfel de prefixe pot ap\u0103rea chiar \u0219i de la operatori Tier-1. De exemplu, NTT are aproximativ 50 de astfel de prefixe pe care le distribuie printre clien\u021bii s\u0103i. Pe de alt\u0103 parte, aceast\u0103 metric\u0103 este slab\u0103, deoarece astfel de prefixe pot fi filtrate \u00een cazul \u00een care operatorul aplic\u0103 filtrarea prefixelor mici<\/a><\/noindex>, \u00een toate direc\u021biile. Prin urmare, aceast\u0103 metod\u0103 nu este potrivit\u0103 pentru a g\u0103si to\u021bi operatorii ale c\u0103ror trafic a fost redirec\u021bionat ca urmare a unui astfel de incident.<\/p>\n

O alt\u0103 idee bun\u0103 ni s-a p\u0103rut s\u0103 ne uit\u0103m la POV<\/a><\/noindex>. \u00cen special la rutele care \u00eencalc\u0103 regula maxLength a ROA corespunz\u0103toare. Astfel, am putea determina num\u0103rul diferitelor ASN origin cu statut Invalid, care au fost v\u0103zute de acest AS. Cu toate acestea, exist\u0103 o \"mic\u0103\" problem\u0103. Media (mediana \u0219i moda) acestui num\u0103r (num\u0103rul diferitelor ASN origin) este de aproximativ 150 \u0219i, chiar dac\u0103 filtr\u0103m prefixele mici, va r\u0103m\u00e2ne peste 70. Aceast\u0103 situa\u021bie are o explica\u021bie destul de simpl\u0103: exist\u0103 doar c\u00e2\u021biva operatori care aplic\u0103 deja filtre ROA cu politica \u201eresetare a rutelor Invalid\u201d la punctele de intrare, a\u0219a c\u0103, oriunde \u00een lumea real\u0103 ar ap\u0103rea o rut\u0103 care \u00eencalc\u0103 ROA, aceasta poate fi r\u0103sp\u00e2ndit\u0103 \u00een toate direc\u021biile.<\/p>\n

Ultimele dou\u0103 abord\u0103ri permit g\u0103sirea operatorilor care au observat incidentul nostru (deoarece acesta a fost destul de mare), dar \u00een general ele nu sunt aplicabile. Bine, dar putem g\u0103si atacatorul? Care sunt tr\u0103s\u0103turile comune ale unei astfel de manipul\u0103ri AS_PATH? Exist\u0103 c\u00e2teva presupuneri de baz\u0103:<\/p>\n