{"id":31415,"date":"2019-10-31T21:41:08","date_gmt":"2019-10-31T18:41:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vse-ochen-ploho-ili-novyj-vid-perehvata-trafika\/"},"modified":"2019-10-31T21:41:08","modified_gmt":"2019-10-31T18:41:08","slug":"vse-ochen-ploho-ili-novyj-vid-perehvata-trafika","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/vse-ochen-ploho-ili-novyj-vid-perehvata-trafika","title":{"rendered":"Allt \u00e4r v\u00e4ldigt d\u00e5ligt eller en ny typ av trafikavlyssning","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Den 13 mars kom ett f\u00f6rslag till RIPE:s arbetsgrupp f\u00f6r att bek\u00e4mpa missbruk om att \u00f6verv\u00e4ga BGP-avlyssning (hjjack) som ett brott mot RIPE:s policy. Om f\u00f6rslaget antas skulle internetleverant\u00f6ren, som drabbades av trafikavlyssning, f\u00e5 m\u00f6jlighet att skicka in en s\u00e4rskild beg\u00e4ran f\u00f6r att avsl\u00f6ja f\u00f6r\u00f6varen. Om expertgruppen samlar tillr\u00e4ckliga bevis skulle en s\u00e5dan LIR, som \u00e4r k\u00e4llan till BGP-avlyssningen, betraktas som en \u00f6vertr\u00e4dare och kunna f\u00f6rlora sin LIR-status. Det fanns \u00e4ven vissa argument<\/a><\/noindex> mot detta I denna publikation vill vi visa ett exempel p\u00e5 en attack d\u00e4r inte bara den verkliga f\u00f6r\u00f6varen var ifr\u00e5gasatt, utan ocks\u00e5 hela listan \u00f6ver drabbade prefix. Dessutom v\u00e4cker en s\u00e5dan attack \u00e5ter fr\u00e5gor om motiv f\u00f6r framtida trafikavlyssningar av detta slag.<\/a><\/noindex> \u00e4ndringar.<\/p>\n

Under de senaste \u00e5ren har medierna belyst endast konflikter av typen MOAS (Multiple Origin Autonomous System) som BGP-avlyssningar. MOAS \u00e4r ett specialfall d\u00e4r tv\u00e5 olika autonoma system annonserar konfliktande prefix med motsvarande ASN-nummer i AS_PATH (den f\u00f6rsta ASN i AS_PATH, h\u00e4r kallad origin ASN). Men vi kan n\u00e4mna \u00e5tminstone
\n<\/a><\/noindex>
\ntre ytterligare typer av trafikavlyssning som g\u00f6r det m\u00f6jligt f\u00f6r f\u00f6r\u00f6varen att manipulera AS_PATH-attributet med olika m\u00e5l, inklusive att kringg\u00e5 moderna metoder f\u00f6r filtrering och \u00f6vervakning. En k\u00e4nd typ av attack<\/a><\/noindex> Pilosova-Kapela \u00e4r den senaste typen av avlyssning, men inte mindre betydelsefull. Det \u00e4r fullt m\u00f6jligt att det \u00e4r en s\u00e5dan attack vi har observerat de senaste veckorna. En s\u00e5dan h\u00e4ndelse har en f\u00f6rklarlig karakt\u00e4r och allvarliga konsekvenser.<\/a><\/noindex> De som letar efter en TL;DR-version kan scrolla ner till rubriken \"Den perfekta attacken\".<\/p>\n

N\u00e4tverksbakgrund<\/p>\n

(f\u00f6r att du ska f\u00f6rst\u00e5 processerna involverade i denna incident b\u00e4ttre)<\/h3>\n

Om du vill skicka ett paket och har flera prefix i routingtabellen som inneh\u00e5ller m\u00e5ladressen kommer du att anv\u00e4nda rutten f\u00f6r prefixet med l\u00e4ngsta l\u00e4ngd. Om det finns flera olika rutter f\u00f6r ett och samma prefix i routingtabellen, v\u00e4ljer du den b\u00e4sta (enligt mekanismen f\u00f6r val av b\u00e4sta v\u00e4g).<\/i><\/p>\n

Om du vill skicka ett paket och har flera prefix i routingtabellen som inneh\u00e5ller destinations-IP-adressen, kommer du att anv\u00e4nda rutten f\u00f6r prefixet med den l\u00e4ngsta l\u00e4ngden. Om det finns flera olika rutter f\u00f6r ett och samma prefix i routingtabellen v\u00e4ljer du den b\u00e4sta (enligt mekanismen f\u00f6r att v\u00e4lja den b\u00e4sta v\u00e4gen).<\/p>\n

Befintliga metoder f\u00f6r filtrering och \u00f6vervakning f\u00f6rs\u00f6ker analysera rutter och fatta beslut genom att analysera AS_PATH-attributet. En router kan \u00e4ndra detta attribut till vilket v\u00e4rde som helst under annonsering. Att helt enkelt l\u00e4gga till \u00e4garens ASN i b\u00f6rjan av AS_PATH (som origin ASN) kan vara tillr\u00e4ckligt f\u00f6r att kringg\u00e5 nuvarande k\u00e4llkontrollmekanismer. Dessutom, om det finns en rutt fr\u00e5n det angripna ASN till dig, finns det m\u00f6jlighet att extrahera och anv\u00e4nda AS_PATH f\u00f6r denna rutt i dina andra annonseringar. All validering enbart baserat p\u00e5 AS_PATH f\u00f6r dina skapade annonser kommer s\u00e5 sm\u00e5ningom att godk\u00e4nnas.<\/p>\n

Det finns fortfarande flera anm\u00e4rkningsv\u00e4rda begr\u00e4nsningar. F\u00f6r det f\u00f6rsta kan din rutt fortfarande filtreras av en \u00f6verordnad leverant\u00f6r i h\u00e4ndelse av prefixfiltrering (\u00e4ven med korrekt AS_PATH), om prefixet inte tillh\u00f6r din klientkonus som \u00e4r inst\u00e4lld hos upstream. F\u00f6r det andra kan ett giltigt AS_PATH bli ogiltigt om den skapade rutten annonseras i fel riktningar och d\u00e4rigenom bryter mot routingpolicyn. Och slutligen \u2014 vilken rutt som helst med ett prefix som bryter mot ROA-l\u00e4ngden kan betraktas som ogiltig.<\/p>\n

Incident<\/h3>\n

\nF\u00f6r n\u00e5gra veckor sedan fick vi en klagan fr\u00e5n en av anv\u00e4ndarna. Vi s\u00e5g rutter med hans origin ASN och prefix \/25, medan anv\u00e4ndaren p\u00e5stod att de inte hade annonserats.<\/p>\n

TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.0\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.128\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.0\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.128\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.0\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.128\/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.0\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.128\/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||<\/code>
\nExempel p\u00e5 annonser i b\u00f6rjan av april 2019<\/i><\/p>\n

NTT p\u00e5 v\u00e4g f\u00f6r prefixet \/25 g\u00f6r det s\u00e4rskilt misst\u00e4nkt. Under incidenten visste LG NTT ingenting om denna rutt. S\u00e5 ja, n\u00e5gon operat\u00f6r skapar en hel AS_PATH f\u00f6r dessa prefix! Att kontrollera p\u00e5 andra routrar g\u00f6r det m\u00f6jligt att lyfta fram en s\u00e4rskild ASN: AS263444. N\u00e4r vi tittade p\u00e5 andra rutter med detta autonoma system st\u00f6tte vi p\u00e5 f\u00f6ljande situation:<\/p>\n

TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.0\/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.128\/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.24.0.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.24.128.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.26.0.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.26.128.0\/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.64.96.0\/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.64.112.0\/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||<\/code>
\nF\u00f6rs\u00f6k gissa vad som \u00e4r fel h\u00e4r<\/i><\/p>\n

Det verkar som att n\u00e5gon har tagit ett prefix fr\u00e5n en rutt, delat det i tv\u00e5 delar och annonserat en rutt med samma AS_PATH f\u00f6r dessa tv\u00e5 prefix.<\/p>\n

TABLE_DUMP2|1554076800|B|xxx|263444|1.6.36.0\/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|263444|1.6.38.0\/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|61775|1.6.36.0\/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|61775|1.6.38.0\/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0\/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|28172|1.6.36.0\/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
\nTABLE_DUMP2|1554076800|B|xxx|28172|1.6.38.0\/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||<\/code>
\nExempel p\u00e5 rutter f\u00f6r ett av paren av delade prefix<\/i><\/p>\n

Flera fr\u00e5gor uppst\u00e5r genast. Har n\u00e5gon verkligen pr\u00f6vat denna typ av avlyssning i praktiken? Har n\u00e5gon accepterat dessa rutter? Vilka prefix har p\u00e5verkats?<\/p>\n

H\u00e4r b\u00f6rjar v\u00e5r rad av miss\u00f6den och ytterligare en omg\u00e5ng av besvikelse \u00f6ver det nuvarande tillst\u00e5ndet f\u00f6r Internet.<\/p>\n

Miss\u00f6ksv\u00e4gen<\/h3>\n

\nL\u00e5t oss ta det steg f\u00f6r steg. Hur kan vi avg\u00f6ra vilka routrar som accepterade s\u00e5dana avlyssnade rutter och vilken trafik som kan vara omdirigerad redan idag? Vi funderade p\u00e5 att b\u00f6rja med prefix \/25, eftersom de \"inte kan ha global spridning\". Som ni kanske gissar \u2013 vi hade fel. Denna metrisk visade sig vara alltf\u00f6r brusig och rutter med s\u00e5dana prefix kan f\u00f6rekomma \u00e4ven fr\u00e5n Tier-1-operat\u00f6rer. Till exempel har NTT omkring 50 s\u00e5dana prefix som de sprider bland sina kunder. \u00c5 andra sidan \u00e4r denna metrisk d\u00e5lig, eftersom s\u00e5dana prefix kan filtreras bort om operat\u00f6ren till\u00e4mpar filtrering av sm\u00e5 prefix<\/a><\/noindex>, i alla riktningar. D\u00e4rf\u00f6r passar inte denna metod f\u00f6r att hitta alla operat\u00f6rer vars trafik har omdirigerats som ett resultat av en s\u00e5dan incident.<\/p>\n

En annan bra id\u00e9 verkade vara att titta p\u00e5 POV<\/a><\/noindex>. S\u00e4rskilt p\u00e5 rutter som bryter mot maxLength-regeln f\u00f6r den aktuella ROA. P\u00e5 s\u00e5 s\u00e4tt skulle vi kunna hitta antalet olika origin ASN med status ogiltig, som var synliga f\u00f6r denna AS. Det finns dock ett \"litet\" problem. Medelv\u00e4rdet (median och modus) f\u00f6r detta tal (antal olika origin ASN) \u00e4r omkring 150 och, \u00e4ven om vi filtrerar bort sm\u00e5 prefix, kommer det fortfarande att vara \u00f6ver 70. Denna situation har en ganska enkel f\u00f6rklaring: det finns bara n\u00e5gra f\u00e5 operat\u00f6rer som redan till\u00e4mpar ROA-filter med en policy att \"avvisa ogiltiga rutter\" vid ing\u00e5ngspunkterna, d\u00e4rf\u00f6r, varhelst i den verkliga v\u00e4rlden en rutt som bryter mot ROA dyker upp, kan den spridas i alla riktningar.<\/p>\n

De senaste tv\u00e5 tillv\u00e4gag\u00e5ngss\u00e4tten g\u00f6r det m\u00f6jligt att hitta operat\u00f6rer som s\u00e5g v\u00e5r incident (eftersom den var tillr\u00e4ckligt stor), men i allm\u00e4nhet \u00e4r de inte till\u00e4mpliga. Bra, men kan vi hitta g\u00e4rningspersonen? Vilka \u00e4r de gemensamma egenskaperna f\u00f6r en s\u00e5dan manipulation av AS_PATH? Det finns n\u00e5gra grundl\u00e4ggande antaganden:<\/p>\n