{"id":35550,"date":"2019-10-31T22:04:58","date_gmt":"2019-10-31T19:04:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/pochemu-internet-do-sih-por-onlajn\/"},"modified":"2019-10-31T22:04:58","modified_gmt":"2019-10-31T19:04:58","slug":"pochemu-internet-do-sih-por-onlajn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/pochemu-internet-do-sih-por-onlajn","title":{"rendered":"De ce Internetul este \u00eenc\u0103 online?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Internetul pare a fi o structur\u0103 puternic\u0103, independent\u0103 \u0219i de neclintit. \u00cen teorie, rezisten\u021ba re\u021belei este suficient\u0103 pentru a supravie\u021bui unui atac nuclear. \u00cen realitate, internetul poate c\u0103dea din cauza unui singur router mic. Toate aceste probleme se datoreaz\u0103 faptului c\u0103 internetul este un amalgam de contradic\u021bii, vulnerabilit\u0103\u021bi, erori \u0219i videoclipuri cu pisici. Baza internetului - protocolul BGP - con\u021bine o mul\u021bime de probleme. Este uimitor c\u0103 mai func\u021bioneaz\u0103. Pe l\u00e2ng\u0103 erorile \u00een sine ale internetului, este sabotat de to\u021bi cei care nu au alte ocupa\u021bii: mari furnizori de servicii internet, corpora\u021bii, state \u0219i atacuri DDoS. Ce s\u0103 facem cu aceasta \u0219i cum s\u0103 tr\u0103im cu asta?<\/p>\n

\"De
\n
\nR\u0103spunsul \u00eel \u0219tie Alexey Uchaikin<\/b> (Night_Snake<\/a><\/noindex>) - liderul echipei de inginerie de re\u021bea de la IQ Option. Principala sa responsabilitate este asigurarea disponibilit\u0103\u021bii platformei pentru utilizatori. \u00cen transcrierea raportului lui Alexey de la\u00a0Saint HighLoad++ 2019<\/a><\/noindex> , vom discuta despre BGP, atacurile DDoS, \u00eentrerup\u0103toarele de internet, erorile furnizorilor, descentralizarea \u0219i situa\u021biile \u00een care un mic router a trimis internetul la somn. La final - c\u00e2teva sfaturi despre cum s\u0103 supravie\u021buim tuturor acestor lucruri.
\n<\/a><\/noindex>
\n

\r\n \"Reda\u021bi\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Ziua \u00een care Internetul s-a stricat<\/h2>\n

\nVoi prezenta doar c\u00e2teva incidente \u00een care conectivitatea Internetului a fost afectat\u0103. Acestea vor fi suficiente pentru a oferi o imagine de ansamblu complet\u0103.<\/p>\n

\u00abIncidentul AS7007\u00bb<\/b>. Prima dat\u0103 c\u00e2nd internetul s-a stricat a fost \u00een aprilie 1997. \u00cen software-ul unui router din sistemul autonom 7007 a fost o eroare. La un moment dat, routerul a anun\u021bat vecinilor tabelul s\u0103u intern de rutare \u0219i a trimis jum\u0103tate din re\u021bea \u00eentr-un black hole.<\/p>\n

\u00abPakistan \u00eempotriva YouTube\u00bb<\/b>. \u00cen 2008, ni\u0219te b\u0103ie\u021bi curajo\u0219i din Pakistan au decis s\u0103 blocheze YouTube la ei. Au reu\u0219it at\u00e2t de bine \u00eenc\u00e2t jum\u0103tate din lume a r\u0103mas f\u0103r\u0103 pisici.<\/p>\n

\u00abCaptura prefixelor VISA, MasterCard \u0219i Symantec de c\u0103tre Rostelecom\u00bb<\/b>. \u00cen 2017, Rostelecom a \u00eenceput din gre\u0219eal\u0103 s\u0103 anun\u021be prefixele VISA, MasterCard \u0219i Symantec. Ca rezultat, traficul financiar a fost redirec\u021bionat prin canale controlate de furnizor. Scurgerea a durat pu\u021bin, dar companiilor financiare le-a fost nepl\u0103cut.<\/p>\n

\u00abGoogle \u00eempotriva Japoniei\u00bb<\/b>. \u00cen august 2017, Google a \u00eenceput s\u0103 anun\u021be \u00een parte prefixele marilor furnizori japonezi NTT \u0219i KDDI. Traficul a fost trimis c\u0103tre Google ca tranzit, cel mai probabil din gre\u0219eal\u0103. Deoarece Google nu este un furnizor \u0219i nu permite trafic de tranzit, o parte considerabil\u0103 a Japoniei a r\u0103mas f\u0103r\u0103 internet.<\/p>\n

\u00abDV LINK a capturat prefixele Google, Apple, Facebook, Microsoft\u00bb<\/b>. \u00cen 2017, furnizorul rus DV LINK a \u00eenceput s\u0103 anun\u021be f\u0103r\u0103 motiv re\u021belele Google, Apple, Facebook, Microsoft \u0219i al\u021bi juc\u0103tori mari.<\/p>\n

\u201eeNet din SUA a preluat prefixele AWS Route53 \u0219i MyEtherwallet\u201d<\/b>. \u00cen 2018, un furnizor din Ohio sau cineva dintre clien\u021bii s\u0103i a anun\u021bat re\u021belele Amazon Route53 \u0219i portofelul criptografic MyEtherwallet. Atacul a fost un succes: chiar \u0219i \u00een ciuda certificatului auto-semnat, care afi\u0219a un avertisment utilizatorului la accesarea site-ului MyEtherwallet, multe portofele au fost compromise \u0219i o parte din criptomoned\u0103 a fost furat\u0103.<\/p>\n

Num\u0103rul incidentelor de acest tip doar \u00een 2017 a fost de peste 14.000! Re\u021beaua este \u00eenc\u0103 descentralizat\u0103, a\u0219a c\u0103 nu totul cedeaz\u0103 \u0219i nu la to\u021bi. Dar incidentele se \u00eent\u00e2mpl\u0103 cu miile, \u0219i toate sunt legate de protocolul BGP, pe care func\u021bioneaz\u0103 internetul.<\/p>\n

BGP \u0219i problemele sale<\/h2>\n

\nProtocolul BGP - Border Gateway Protocol<\/b>, a fost descris pentru prima dat\u0103 \u00een 1989 de doi ingineri de la IBM \u0219i Cisco Systems pe trei \u201eservetele\u201d - foi de format A4. Aceste \u201eservetele\u201d<\/a><\/noindex> \u00eenc\u0103 mai sunt p\u0103strate \u00een sediul principal al Cisco Systems din San Francisco ca o relicv\u0103 a lumii re\u021belurilor.<\/p>\n

La baza protocolului st\u0103 interac\u021biunea sistemelor autonome<\/b>\u00a0\u2014 Autonomous Systems sau pe scurt - AS. Un sistem autonom este pur \u0219i simplu un anumit ID, sub care \u00een registrul public sunt \u00eenregistrate re\u021bele IP. Un router cu acest ID poate anun\u021ba aceste re\u021bele \u00een lume. Prin urmare, orice rut\u0103 \u00een internet poate fi reprezentat\u0103 sub form\u0103 de vector, denumit AS Path<\/b>. Vectorul este compus din numerele sistemelor autonome prin care trebuie s\u0103 trecem pentru a ajunge la re\u021beaua de destina\u021bie.<\/p>\n

De exemplu, exist\u0103 o re\u021bea format\u0103 dintr-un anumit num\u0103r de sisteme autonome. Trebuie s\u0103 ajungem din sistemul AS65001 \u00een sistemul AS65003. Drumul de la un sistem este reprezentat prin AS Path pe diagram\u0103. Acesta este format din dou\u0103 autonome: 65002 \u0219i 65003. Pentru fiecare adres\u0103 de destina\u021bie exist\u0103 un vector AS Path, care const\u0103 din numerele sistemelor autonome prin care trebuie s\u0103 trecem.<\/p>\n

\"De
\n
\nAtunci, care sunt problemele BGP?<\/p>\n

BGP este un protocol de \u00eencredere<\/h3>\n

\nProtocolul BGP este bazat pe \u00eencredere. Asta \u00eenseamn\u0103 c\u0103, implicit, ne \u00eencredem \u00een vecinul nostru. Aceasta este o caracteristic\u0103 a multor protocoale care au fost dezvoltate la \u00eenceputurile internetului. S\u0103 analiz\u0103m ce \u00eenseamn\u0103 \u201ea avea \u00eencredere\u201d.<\/p>\n

Nu exist\u0103 autentificare a vecinului<\/b>. Formal exist\u0103 MD5, dar MD5 \u00een 2019 este... cam discutabil...<\/p>\n

Nu exist\u0103 filtrare<\/b>. BGP are filtre \u0219i acestea sunt descrise, dar nu sunt utilizate, sau sunt utilizate gre\u0219it. Voi explica mai t\u00e2rziu de ce.<\/p>\n

Foarte simplu de a configura vecin\u0103t\u0103\u021bile<\/b>. Configurarea vecin\u0103t\u0103\u021bilor \u00een protocolul BGP pe aproape orice router - c\u00e2teva linii de configurare.<\/p>\n

Nu sunt necesare drepturi de administrare BGP<\/b>. Nu este nevoie s\u0103 sus\u021bii examene pentru a-\u021bi dovedi calificarea. Nimeni nu \u00ee\u021bi va lua drepturile pentru configurarea BGP \u00een stare de ebrietate.<\/p>\n

Dou\u0103 probleme principale<\/h3>\n

\nFurarea prefixelor - prefix hijacks<\/b>. Furarea unui prefix \u00eenseamn\u0103 anun\u021barea unei re\u021bele care nu \u00ee\u021bi apar\u021bine, cum ar fi cazul MyEtherwallet. Am preluat c\u00e2teva prefixe, ne-am \u00een\u021beles cu furnizorul sau l-am hack-uit, \u0219i prin el anun\u021b\u0103m aceste re\u021bele.<\/p>\n

Scurgerile de rute - route leaks<\/b>. Cu scurgerile este pu\u021bin mai complicat. O scurgere este o modificare a AS Path<\/b>. \u00cen cel mai bun caz, modificarea va duce la o \u00eent\u00e2rziere mai mare, pentru c\u0103 trebuie s\u0103 parcurgi o rut\u0103 mai lung\u0103 sau printr-un link mai pu\u021bin capabil. \u00cen cel mai r\u0103u caz, se va repeta cazul Google \u0219i Japonia.<\/p>\n

Chiar \u0219i Google nu este operator \u0219i nu este un sistem autonom de tranzit. Dar c\u00e2nd acesta a anun\u021bat furnizorului s\u0103u re\u021belele operatorilor japonezi, traficul prin Google pe AS Path a fost perceput ca av\u00e2nd prioritate mai mare. Traficul a fost \u00eendreptat acolo \u0219i a fost pierdut pur \u0219i simplu pentru c\u0103 set\u0103rile de rutare din Google sunt mai complicate dec\u00e2t simplele filtre de pe margine.<\/p>\n

De ce nu func\u021bioneaz\u0103 filtrele?<\/h3>\n

\nNim\u0103nui nu-i pas\u0103<\/b>. Aceasta este principala problem\u0103 - tuturor le este indiferent. Administratorul unui mic furnizor sau al unei companii care s-a conectat la furnizor prin BGP a luat un MikroTik, l-a configurat pentru BGP \u0219i nici m\u0103car nu \u0219tie c\u0103 exist\u0103 filtre ce pot fi configurate.<\/p>\n

Erori de configurare<\/b>. Am debug-uit ceva, am gre\u0219it masca, am setat o re\u021bea gre\u0219it\u0103 - \u0219i iat\u0103, din nou o eroare.<\/p>\n

Nu exist\u0103 capacitate tehnic\u0103<\/b>. De exemplu, furnizorii de telecomunica\u021bii au mul\u021bi clien\u021bi. Ar fi ideal s\u0103 actualizezi automat filtrele pentru fiecare client - s\u0103 urm\u0103re\u0219ti c\u00e2nd apar o re\u021bea nou\u0103, c\u00e2nd au \u00eenchiriat re\u021beaua cuiva. S\u0103 urm\u0103re\u0219ti acest lucru este greu, manual - \u0219i mai greu. De aceea, se folosesc pur \u0219i simplu filtre relaxate sau nu se folosesc deloc.<\/p>\n

Excep\u021bii<\/b>. Exist\u0103 excep\u021bii pentru clien\u021bi favori\u021bi \u0219i mari. \u00cen special \u00een cazul interconexiunilor \u00eentre operatori. De exemplu, TransTelecom \u0219i Rostelecom au o gr\u0103mad\u0103 de re\u021bele \u0219i \u00eentre ele exist\u0103 o interconexiune. Dac\u0103 interconexiunea cade - nu va fi bine pentru nimeni, de aceea filtrele sunt relaxate sau complet eliminate.<\/p>\n

Informa\u021bii \u00eenvechite sau neactualizate \u00een IRR<\/b>. Filtrele sunt construite pe baza informa\u021biilor care sunt \u00eenregistrate \u00een\u00a0IRR - Registrul Routing Internet<\/b>. Acestea sunt registrele registratorilor internet regionali. Adesea, registrele con\u021bin informa\u021bii \u00eenvechite sau neactualizate, sau uneori ambele.<\/p>\n

Cine sunt ace\u0219ti registratori?<\/h3>\n

\"De
\n
\nToate adresele de pe internet apar\u021bin unor organiza\u021bii IANA - Autoritatea pentru Numere Atribuite Internetului<\/b>. C\u00e2nd cump\u0103ra\u021bi o re\u021bea IP de la cineva, nu cump\u0103ra\u021bi adresele, ci dreptul de utilizare a acestora. Adresele sunt un resurs nematerial \u0219i, printr-o conven\u021bie general\u0103, toate acestea apar\u021bin agen\u021biei IANA.<\/p>\n

Sistemul func\u021bioneaz\u0103 astfel. IANA deleg\u0103 gestionarea adreselor IP \u0219i a numerelor sistemelor autonome cinci registratorilor regionali. Ace\u0219tia emit sisteme autonome LIR - registratori locali de internet<\/b>. Apoi, LIR-urile aloc\u0103 adrese IP utilizatorilor finali.<\/p>\n

Deficitul sistemului este c\u0103 fiecare dintre registratorii regionali \u00ee\u0219i \u021bine registrele \u00een modul s\u0103u. Fiecare are propriile opinii despre ce informa\u021bii ar trebui s\u0103 con\u021bin\u0103 registrele, cine ar trebui sau nu ar trebui s\u0103 le verifice. Drept urmare, se creaz\u0103 o confuzie, care exist\u0103 \u0219i acum.<\/p>\n

Cum mai putem lupta \u00eempotriva acestor probleme?<\/h3>\n

\nIRR - calitate mediocr\u0103<\/b>. E clar cu IRR - acolo e totul prost.<\/p>\n

BGP-communities<\/b>. Acesta este un anumit atribut care este descris \u00een protocol. Putem ata\u0219a, de exemplu, o comunitate special\u0103 la anun\u021bul nostru, astfel \u00eenc\u00e2t vecinul s\u0103 nu trimit\u0103 re\u021belele noastre altor vecini. C\u00e2nd avem un link P2P, schimb\u0103m doar re\u021belele noastre. Pentru a ne asigura c\u0103 un traseu nu ajunge accidental \u00een alte re\u021bele, ata\u0219\u0103m o comunitate.<\/p>\n

Comunit\u0103\u021bile nu sunt tranzitive<\/b>. Aceasta este \u00eentotdeauna o conven\u021bie \u00eentre dou\u0103 p\u0103r\u021bi, \u0219i acesta este dezavantajul lor. Nu putem ata\u0219a o comunitate oarecare, cu excep\u021bia uneia care este acceptat\u0103 implicit de to\u021bi. Nu putem fi siguri c\u0103 aceast\u0103 comunitate va fi acceptat\u0103 de to\u021bi \u0219i interpretat\u0103 corect. De aceea, \u00een cel mai bun caz, dac\u0103 te \u00een\u021belegi cu uplink-ul t\u0103u, acesta va \u00een\u021belege ce vrei de la el prin comunitate. Dar s-ar putea ca vecinul s\u0103 nu \u00een\u021beleag\u0103, sau operatorul s\u0103-\u021bi elimine eticheta, iar tu nu vei ob\u021bine ceea ce ai dorit.<\/p>\n

RPKI + ROA rezolv\u0103 doar o mic\u0103 parte din probleme<\/b>. RPKI este Infrastructura de Cheie Public\u0103 pentru Resurse\u00a0<\/b> \u2014 un cadru special pentru semnarea informa\u021biilor de rutare. O idee bun\u0103 pentru a obliga LIR-urile \u0219i clien\u021bii lor s\u0103 p\u0103streze o baz\u0103 de date actualizat\u0103 a spa\u021biului de adresare. Dar exist\u0103 o problem\u0103 legat\u0103 de aceasta.<\/p>\n

RPKI este de asemenea un sistem ierarhic de chei publice. IANA are o cheie de la care se genereaz\u0103 cheile RIR, iar de la acestea cheile LIR? prin care \u00ee\u0219i semneaz\u0103 spa\u021biul de adrese folosind ROA \u2014 Autoriza\u021bii de origine a rutei:<\/p>\n

\u2014 V\u0103 asigur c\u0103 acest prefix va fi anun\u021bat \u00een numele acestei autonome.<\/i><\/p>\n

\u00cen afar\u0103 de ROA, exist\u0103 \u0219i alte obiecte, dar despre ele vom vorbi alt\u0103dat\u0103. Pare a fi o idee bun\u0103 \u0219i util\u0103. Dar nu ne protejeaz\u0103 de scurgeri \u00een totalitate \u0219i nu rezolv\u0103 toate problemele legate de furtul prefixelor. De aceea, participan\u021bii nu se gr\u0103besc s\u0103 o implementeze. Totu\u0219i, deja de la mari juc\u0103tori precum AT&T \u0219i mari IX-uri, exist\u0103 asigur\u0103ri c\u0103 prefixele cu \u00eenregistrare ROA invalid vor fi eliminate. <\/p>\n

Poate c\u0103 vor face acest lucru, dar p\u00e2n\u0103 acum avem un num\u0103r enorm de prefixe care nu sunt semnate \u00een niciun fel. Pe de o parte, nu este clar dac\u0103 sunt valide. Pe de alt\u0103 parte, nu putem s\u0103 le elimin\u0103m implicit, deoarece nu suntem siguri dac\u0103 este corect sau nu.<\/p>\n

Ce mai exist\u0103?<\/h3>\n

\nBGPSec<\/b>. Este o idee interesant\u0103, creat\u0103 de academicieni pentru re\u021beaua poneilor roz. Ei au spus:<\/p>\n

\u2014 Avem RPKI + ROA \u2014 un mecanism de asigurare a semn\u0103turii spa\u021biului de adrese. Haide\u021bi s\u0103 introducem un atribut BGP separat \u0219i s\u0103-l numim BGPSec Path. Fiecare router va semna anun\u021burile pe care le face c\u0103tre vecini cu propria sa semn\u0103tur\u0103. Astfel, vom ob\u021bine un drum de \u00eencredere dintr-un lan\u021b de anun\u021buri semnate \u0219i vom putea verifica acest lucru.<\/i><\/p>\n

Teoretic este bine, dar \u00een practic\u0103 sunt multe probleme. BGPSec \u00eencalc\u0103 multe mecanisme existente BGP legate de alegerea next-hop-ului \u0219i gestionarea traficului intern\/extern direct pe router. BGPSec nu func\u021bioneaz\u0103 p\u00e2n\u0103 c\u00e2nd 95% din participan\u021bii de pe pia\u021b\u0103 nu-l implementeaz\u0103, ceea ce \u00een sine este o utopie.<\/p>\n

BGPSec se confrunt\u0103 cu probleme mari de performan\u021b\u0103. Pe hardware-ul actual, viteza de verificare a anun\u021burilor este de aproximativ 50 de prefixe pe secund\u0103. Spre compara\u021bie: tabelul actual al internetului cu 700.000 de prefixe ar fi \u00eenc\u0103rcat \u00een 5 ore, timp \u00een care s-ar schimba de \u00eenc\u0103 10 ori.<\/p>\n

BGP Open Policy (BGP bazat pe roluri)<\/b>. O propunere recent\u0103 bazat\u0103 pe modelul Gao-Rekford<\/b>. Ace\u0219tia sunt doi cercet\u0103tori care studiaz\u0103 BGP.<\/p>\n

Modelul Gao-Rekford se bazeaz\u0103 pe urm\u0103toarele principii. Dac\u0103 simplific\u0103m, \u00een cazul BGP exist\u0103 un num\u0103r mic de tipuri de interac\u021biuni:<\/p>\n