{"id":35550,"date":"2019-10-31T22:04:58","date_gmt":"2019-10-31T19:04:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/pochemu-internet-do-sih-por-onlajn\/"},"modified":"2019-10-31T22:04:58","modified_gmt":"2019-10-31T19:04:58","slug":"pochemu-internet-do-sih-por-onlajn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/pochemu-internet-do-sih-por-onlajn","title":{"rendered":"Varf\u00f6r \u00e4r internet fortfarande online?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Internet verkar vara en stark, oberoende och of\u00f6rst\u00f6rbar struktur. I teorin \u00e4r n\u00e4tverks h\u00e5llfasthet tillr\u00e4cklig f\u00f6r att \u00f6verleva en k\u00e4rnvapenspr\u00e4ngning. I verkligheten kan internet falla p\u00e5 en enda liten router. Allt p\u00e5 grund av att internet \u00e4r ett hopkok av mots\u00e4gelser, s\u00e5rbarheter, fel och kattvideos. Grunden f\u00f6r internet \u2014 BGP-protokollet \u2014 har en massa problem. Det \u00e4r m\u00e4rkligt att det alls fungerar. Ut\u00f6ver felen i sj\u00e4lva internet bryter alla som har lust det: stora internetleverant\u00f6rer, f\u00f6retag, stater och DDoS-attacker. Vad kan man g\u00f6ra \u00e5t detta och hur lever man med det?<\/p>\n

\"Varf\u00f6r
\n
\nSvaret vet Alexey Uchakin<\/b> (Night_Snake<\/a><\/noindex>) \u2014 ledare f\u00f6r teamet av n\u00e4tverksingenj\u00f6rer p\u00e5 IQ Option. Hans huvuduppgift \u00e4r att s\u00e4kerst\u00e4lla tillg\u00e5ngen till plattformen f\u00f6r anv\u00e4ndarna. I transkriberingen av Alexeys f\u00f6redrag p\u00e5\u00a0Saint HighLoad++ 2019<\/a><\/noindex> diskuterar vi BGP, DDoS-attacker, avst\u00e4ngningsknappen f\u00f6r internet, leverant\u00f6rers fel, decentralisering och fall d\u00e4r en liten router har f\u00e5tt internet att sova. I slutet \u2014 ett par tips om hur man \u00f6verlever allt detta.
\n<\/a><\/noindex>
\n

\r\n \"Spela\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Dagen d\u00e5 internet gick s\u00f6nder<\/h2>\n

\nJag kommer att n\u00e4mna n\u00e5gra incidenter d\u00e4r internet har f\u00f6rlorat sin anslutning. Detta kommer att vara tillr\u00e4ckligt f\u00f6r att ge en fullst\u00e4ndig bild.<\/p>\n

\u00abIncidenten med AS7007\u00bb<\/b>. F\u00f6rsta g\u00e5ngen internet gick s\u00f6nder var i april 1997. I programvaran p\u00e5 en router fr\u00e5n det autonoma systemet 7007 fanns det ett fel. Vid n\u00e5got tillf\u00e4lle annonserade routern sin interna routingtabell till grannarna och skickade h\u00e4lften av n\u00e4tet till ett black hole.<\/p>\n

\u00abPakistan mot YouTube\u00bb<\/b>. \u00c5r 2008 best\u00e4mde sig hj\u00e4ltarna i Pakistan f\u00f6r att blockera YouTube i sitt land. De gjorde det s\u00e5 bra att hela v\u00e4rlden utan kattvideos blev kvar.<\/p>\n

\u00abPrefixcapture av VISA, MasterCard och Symantec av Rostelekom\u00bb<\/b>. \u00c5r 2017 b\u00f6rjade Rostelekom av misstag annonsera prefixen f\u00f6r VISA, MasterCard och Symantec. Som ett resultat dirigerades finansiell trafik genom kanaler som kontrollerades av leverant\u00f6ren. L\u00e4ckan varade inte l\u00e4nge, men det var obehagligt f\u00f6r de finansiella f\u00f6retagen.<\/p>\n

\u00abGoogle mot Japan\u00bb<\/b>. I augusti 2017 b\u00f6rjade Google annonsera prefixen f\u00f6r stora japanska leverant\u00f6rer NTT och KDDI f\u00f6r vissa av sina uplinks. Trafiken skickades till Google som transit, f\u00f6rmodligen av misstag. Eftersom Google inte \u00e4r en leverant\u00f6r och inte sl\u00e4pper igenom transit trafik, blev en stor del av Japan utan internet.<\/p>\n

\u00abDV LINK har tagit \u00f6ver prefix fr\u00e5n Google, Apple, Facebook, Microsoft\u00bb<\/b>. Under 2017 b\u00f6rjade den ryska leverant\u00f6ren DV LINK av n\u00e5gon anledning att annonsera n\u00e4tverk fr\u00e5n Google, Apple, Facebook, Microsoft och n\u00e5gra andra stora akt\u00f6rer.<\/p>\n

\u00abeNet fr\u00e5n USA har tagit \u00f6ver prefix fr\u00e5n AWS Route53 och MyEtherwallet\u00bb<\/b>. \u00c5r 2018 annonserade en leverant\u00f6r fr\u00e5n Ohio eller n\u00e5gon av deras kunder n\u00e4tverk fr\u00e5n Amazon Route53 och kryptovaluta-pl\u00e5nboken MyEtherwallet. Attacken lyckades: \u00e4ven om det fanns ett sj\u00e4lvsignerat certifikat, vilket ledde till en varning f\u00f6r anv\u00e4ndaren n\u00e4r de kom in p\u00e5 MyEtherwallet, blev m\u00e5nga pl\u00e5nb\u00f6cker kapade och en del kryptovaluta stulen.<\/p>\n

Under 2017 intr\u00e4ffade det mer \u00e4n 14000 s\u00e5dana incidenter! N\u00e4tverket \u00e4r fortfarande decentraliserat, s\u00e5 allt g\u00e5r inte s\u00f6nder och inte hos alla. Men incidenter sker i tusentals och alla \u00e4r kopplade till BGP-protokollet som internet \u00e4r baserat p\u00e5.<\/p>\n

BGP och dess problem<\/h2>\n

\nProtokoll BGP \u2013 Border Gateway Protocol<\/b>, beskrevs f\u00f6rst 1989 av tv\u00e5 ingenj\u00f6rer fr\u00e5n IBM och Cisco Systems p\u00e5 tre \u00abservetter\u00bb \u2013 A4-ark. Dessa \u00abservetter\u00bb<\/a><\/noindex> ligger fortfarande i huvudkontoret f\u00f6r Cisco Systems i San Francisco som en relik fr\u00e5n n\u00e4tverksv\u00e4rlden.<\/p>\n

I grunden f\u00f6r protokollet \u00e4r interaktionen mellan autonoma system<\/b>\u00a0\u2014 Autonomous Systems eller f\u00f6rkortat \u2013 AS. Ett autonomt system \u00e4r helt enkelt en viss ID, som i det offentliga registret kopplas till IP-n\u00e4tverk. En router med ett s\u00e5dant ID kan annonsera dessa n\u00e4tverk till omv\u00e4rlden. D\u00e4rmed kan varje v\u00e4g p\u00e5 internet representeras som en vektor som kallas AS Path<\/b>. Vektorn best\u00e5r av nummer p\u00e5 autonoma system som m\u00e5ste passeras f\u00f6r att n\u00e5 destinationsn\u00e4tverket.<\/p>\n

Till exempel finns det ett n\u00e4tverk av ett visst antal autonoma system. Du beh\u00f6ver ta dig fr\u00e5n system AS65001 till system AS65003. V\u00e4gen fr\u00e5n ett system representeras av AS Path i diagrammet. Den best\u00e5r av tv\u00e5 autonoma system: 65002 och 65003. F\u00f6r varje destinationsadress finns det en AS Path-vektor, som best\u00e5r av numren p\u00e5 de autonoma system vi beh\u00f6ver passera.<\/p>\n

\"Varf\u00f6r
\n
\nVad har BGP f\u00f6r problem?<\/p>\n

BGP \u00e4r ett f\u00f6rtroendeprotokoll<\/h3>\n

\nBGP-protokollet \u00e4r baserat p\u00e5 f\u00f6rtroende. Det betyder att vi per default litar p\u00e5 v\u00e5r granne. Detta \u00e4r en egenskap hos m\u00e5nga protokoll som utvecklades i internetets tidiga dagar. L\u00e5t oss unders\u00f6ka vad \u00bblita p\u00e5\u00bb betyder.<\/p>\n

Ingen autentisering av grannen<\/b>. Formellt finns det MD5, men MD5 2019 \u2013 tja, s\u00e5d\u00e4r\u2026<\/p>\n

Ingen filtrering<\/b>. Det finns filter i BGP, och de \u00e4r beskrivna, men de anv\u00e4nds inte, eller s\u00e5 anv\u00e4nds de felaktigt. Jag ska f\u00f6rklara senare varf\u00f6r.<\/p>\n

Mycket enkelt att st\u00e4lla in grannskapet<\/b>. Att konfigurera grannskapet i BGP-protokollet p\u00e5 n\u00e4stan vilken router som helst kr\u00e4ver bara ett par rader konfiguration.<\/p>\n

Det kr\u00e4vs inga r\u00e4ttigheter f\u00f6r att hantera BGP<\/b>. Du beh\u00f6ver inte skriva prov f\u00f6r att bekr\u00e4fta din kompetens. Ingen kommer att ta ifr\u00e5n dig r\u00e4tten att konfigurera BGP \u00e4ven om du g\u00f6r det berusad.<\/p>\n

Tv\u00e5 huvudproblem<\/h3>\n

\nPrefixkapningar - prefix hijacks<\/b>. Prefixkapning inneb\u00e4r att annonsera ett n\u00e4tverk som du inte \u00e4ger, som i fallet med MyEtherwallet. Vi tog vissa prefix, kom \u00f6verens med leverant\u00f6ren eller hackade den, och genom den annonserar vi dessa n\u00e4tverk.<\/p>\n

Ruttl\u00e4ckor - route leaks<\/b>. Ruttl\u00e4ckor \u00e4r lite mer komplicerade. En l\u00e4cka \u00e4r en f\u00f6r\u00e4ndring av AS Path<\/b>. I b\u00e4sta fall leder f\u00f6r\u00e4ndringen till h\u00f6gre latens, eftersom man tvingas ta en l\u00e4ngre v\u00e4g eller en mindre kapacitetsrik l\u00e4nk. I v\u00e4rsta fall kan det bli som med Google och Japan.<\/p>\n

Sj\u00e4lva Google \u00e4r inte en operat\u00f6r och inte en transit autonom system. Men n\u00e4r de annonserade till sin leverant\u00f6r n\u00e4t fr\u00e5n japanska operat\u00f6rer, s\u00e5g trafiken genom Google p\u00e5 AS Path ut att vara mer prioriterad. Trafiken gick dit och droppades helt enkelt eftersom routinginst\u00e4llningarna inom Google \u00e4r mer komplicerade \u00e4n bara filter p\u00e5 gr\u00e4nsen.<\/p>\n

Varf\u00f6r fungerar inte filtren?<\/h3>\n

\nIngen bryr sig<\/b>. Det h\u00e4r \u00e4r huvudsk\u00e4let - ingen bryr sig. En administrat\u00f6r fr\u00e5n en liten leverant\u00f6r eller ett f\u00f6retag som anslutit sig till leverant\u00f6ren via BGP tog en MikroTik, konfigurerade BGP p\u00e5 den och vet knappt att det g\u00e5r att konfigurera filter.<\/p>\n

Konfigurationsfel<\/b>. N\u00e5got debuggedes, man gjorde fel i masken, satte inte in r\u00e4tt n\u00e4t - och h\u00e4r \u00e4r, \u00e4nnu ett fel.<\/p>\n

Ingen teknisk m\u00f6jlighet<\/b>. Till exempel har kommunikationsleverant\u00f6rer m\u00e5nga kunder. Klokast skulle vara att automatiskt uppdatera filter f\u00f6r varje kund - h\u00e5lla koll p\u00e5 att de f\u00e5ngar upp nya n\u00e4t, att de hyr ut sina n\u00e4t till n\u00e5gon. Att h\u00e5lla koll p\u00e5 detta \u00e4r sv\u00e5rt, och \u00e4nnu sv\u00e5rare att g\u00f6ra f\u00f6r hand. D\u00e4rf\u00f6r s\u00e4tter man helt enkelt avslappnade filter eller s\u00e4tter inga filter alls.<\/p>\n

Undantag<\/b>. Det finns undantag f\u00f6r favoriter och stora kunder. S\u00e4rskilt vid interoperat\u00f6rskopplingar. Till exempel har TransTeleCom och Rostelecom massor av n\u00e4t och en koppling mellan dem. Om kopplingen faller \u00e4r det ingen som f\u00e5r det bra, s\u00e5 filtren slappas eller tas helt bort.<\/p>\n

F\u00f6r\u00e5ldrad eller irrelevant information i IRR<\/b>. Filter byggs p\u00e5 grundval av den information som \u00e4r registrerad i\u00a0IRR - Internet Routing Registry<\/b>. Det handlar om register \u00f6ver regionala internetregistratorer. Ofta inneh\u00e5ller registren f\u00f6r\u00e5ldrad eller irrelevant information, eller b\u00e5de och.<\/p>\n

Vem \u00e4r dessa registratorer?<\/h3>\n

\"Varf\u00f6r
\n
\nAlla adresser p\u00e5 internet tillh\u00f6r organisationen IANA - Internet Assigned Numbers Authority<\/b>. N\u00e4r du k\u00f6per ett IP-n\u00e4tverk fr\u00e5n n\u00e5gon, k\u00f6per du inte adresser utan r\u00e4tten att anv\u00e4nda dem. Adresser \u00e4r en immateriell resurs, och det \u00e4r allm\u00e4nt \u00f6verenskommet att alla tillh\u00f6r IANA.<\/p>\n

Systemet fungerar s\u00e5 h\u00e4r. IANA delegerar hanteringen av IP-adresser och autonoma systemnummer till fem regionala registratorer. Dessa utf\u00e4rdar autonoma system LIR - lokala internetregistratorer<\/b>. Sedan f\u00f6rdelar LIR IP-adresser till slutkunder.<\/p>\n

Nackdelen med systemet \u00e4r att varje regional registrator f\u00f6r sin egen register p\u00e5 sitt s\u00e4tt. Var och en har sina \u00e5sikter om vilken information som b\u00f6r ing\u00e5 i registren, vem som b\u00f6r eller inte b\u00f6r kontrollera dem. Resultatet blir det r\u00f6riga tillst\u00e5nd vi har nu.<\/p>\n

Hur kan vi annars bek\u00e4mpa dessa problem?<\/h3>\n

\nIRR - medelm\u00e5ttig kvalitet<\/b>. Med IRR \u00e4r det tydligt - d\u00e4r \u00e4r allt d\u00e5ligt.<\/p>\n

BGP-community<\/b>. Detta \u00e4r en viss attribut som beskrivs i protokollet. Vi kan exempelvis koppla en speciell community till v\u00e5r annonsering, s\u00e5 att grannen inte skickar v\u00e5ra n\u00e4tverk till sina grannar. N\u00e4r vi har en P2P-l\u00e4nk, delar vi bara v\u00e5ra n\u00e4tverk. F\u00f6r att f\u00f6rhindra att en rutt av misstag g\u00e5r till andra n\u00e4tverk, kopplar vi community.<\/p>\n

Community \u00e4r icke-transitiva<\/b>. Det \u00e4r alltid ett avtal mellan tv\u00e5 parter, och det \u00e4r deras nackdel. Vi kan inte koppla vilken som helst community, f\u00f6rutom en som accepteras som standard av alla. Vi kan inte vara s\u00e4kra p\u00e5 att denna community kommer att accepteras och tolkas korrekt. D\u00e4rf\u00f6r, i b\u00e4sta fall, om du kommer \u00f6verens med din uplink, kommer den att f\u00f6rst\u00e5 vad du vill ha g\u00e4llande community. Men grannen kanske inte f\u00f6rst\u00e5r det, eller s\u00e5 kan operat\u00f6ren bara sl\u00e4ppa din etikett, och du n\u00e5r inte det du ville.<\/p>\n

RPKI + ROA l\u00f6ser endast en liten del av problemen<\/b>. RPKI \u00e4r Resource Public Key Infrastructure\u00a0<\/b> \u2014 ett s\u00e4rskilt ramverk f\u00f6r att signera routningsinformation. En bra id\u00e9 f\u00f6r att tvinga LIR:er och deras kunder att uppr\u00e4tth\u00e5lla en aktuell databas f\u00f6r adresseringsutrymme. Men det finns ett problem med det.<\/p>\n

RPKI \u00e4r ocks\u00e5 ett hierarkiskt system f\u00f6r offentliga nycklar. IANA har en nyckel fr\u00e5n vilken RIR-nycklar skapas, och fr\u00e5n dem LIR-nycklar? som de signerarar sitt adresseringsutrymme med hj\u00e4lp av ROAs \u2014 Route Origin Authorisations:<\/p>\n

\u2014 Jag f\u00f6rs\u00e4krar att detta prefix kommer att annonseras av denna autonomi.<\/i><\/p>\n

F\u00f6rutom ROA finns det andra objekt, men dem tar vi en annan g\u00e5ng. Det verkar som en bra och anv\u00e4ndbar sak. Men den skyddar oss inte fr\u00e5n l\u00e4ckor \u00f6verhuvudtaget och l\u00f6ser inte alla problem med prefixst\u00f6ld. D\u00e4rf\u00f6r \u00e4r spelarna inte s\u00e4rskilt snabba att implementera den. \u00c4ven om vi redan har l\u00f6ften fr\u00e5n stora akt\u00f6rer som AT&T och stora IX:er att prefix med invalid ROA-post kommer att tas bort. <\/p>\n

De kanske kommer att g\u00f6ra det, men f\u00f6r tillf\u00e4llet har vi ett stort antal prefix som inte \u00e4r signerade p\u00e5 n\u00e5got s\u00e4tt. \u00c5 ena sidan \u00e4r det oklart om de annonseras p\u00e5 ett giltigt s\u00e4tt. \u00c5 den andra sidan kan vi inte ta bort dem som standard eftersom vi inte \u00e4r s\u00e4kra p\u00e5 om det \u00e4r r\u00e4tt eller fel.<\/p>\n

Vad finns det mer?<\/h3>\n

\nBGPSec<\/b>. Det \u00e4r en cool sak som akademikerna har kommit p\u00e5 f\u00f6r n\u00e4tverket av rosa ponnyer. De sa:<\/p>\n

\u2014 Vi har RPKI + ROA \u2014 en mekanism f\u00f6r att f\u00f6rs\u00e4kra signaturen av adresseringsutrymmet. L\u00e5t oss skapa en separat BGP-attribut och kalla det BGPSec Path. Varje router kommer att signera sina annonser med sin egen signatur, som de annonserar till grannarna. P\u00e5 s\u00e5 s\u00e4tt f\u00e5r vi en betrodd v\u00e4g i kedjan av signerade annonser och kan verifiera den.<\/i><\/p>\n

I teorin bra, men i praktiken m\u00e5nga problem. BGPSec bryter m\u00e5nga av de befintliga BGP-mekanismerna f\u00f6r val av next-hop och hantering av inkommande\/utg\u00e5ende trafik direkt p\u00e5 routern. BGPSec fungerar inte f\u00f6rr\u00e4n 95 % av marknadsakt\u00f6rerna har implementerat det, vilket i sig \u00e4r en utopi.<\/p>\n

BGPSec har stora prestandaproblem. P\u00e5 nuvarande h\u00e5rdvara \u00e4r hastigheten f\u00f6r verifiering av annonser ungef\u00e4r 50 prefix per sekund. F\u00f6r j\u00e4mf\u00f6relse: den nuvarande internettabellen med 700 000 prefix skulle ta 5 timmar att ladda upp, under vilken tid 10 andra g\u00e5nger skulle \u00e4ndras.<\/p>\n

BGP Open Policy (Rollbaserad BGP)<\/b>. Ett nytt f\u00f6rslag baserat p\u00e5 modellen Gao-Rexford<\/b>. Det \u00e4r tv\u00e5 forskare som arbetar med att unders\u00f6ka BGP.<\/p>\n

Gao-Rexford-modellen handlar om f\u00f6ljande. F\u00f6r att f\u00f6renkla, i fallet med BGP finns det ett begr\u00e4nsat antal typer av interaktioner:<\/p>\n