Ohun gbogbo jẹ buburu pupọ tabi iru tuntun ti idawọle ijabọ

Oṣu Kẹta Ọjọ 13 si ẹgbẹ iṣiṣẹ anti-abuse RIPE ohun ìfilọ ti a ti gba ro BGP hijacking (hjjack) bi irufin ti RIPE imulo. Ti o ba gba imọran naa, olupese Intanẹẹti ti kolu nipasẹ idawọle ijabọ yoo ni aye lati firanṣẹ ibeere pataki kan lati ṣafihan ikọlu naa. Ti ẹgbẹ atunyẹwo ba gba ẹri atilẹyin ti o to, LIR ti o jẹ orisun idalọwọduro BGP ni a yoo gba bi onijagidijagan ati pe o le yọ ipo LIR rẹ kuro. Awọn ariyanjiyan tun wa lodi si eyi ayipada.

Ninu atẹjade yii a fẹ lati ṣafihan apẹẹrẹ ikọlu nibiti kii ṣe olukolu gidi nikan ni ibeere, ṣugbọn tun gbogbo atokọ ti awọn ami-iṣaaju ti o kan. Pẹlupẹlu, iru ikọlu bẹẹ tun gbe awọn ibeere dide nipa awọn idi fun awọn idilọwọ ọjọ iwaju ti iru ijabọ yii.

Ninu awọn ọdun meji sẹhin, awọn ija bi MOAS (Eto Adaseda Oti pupọ) ni a ti bo ninu tẹ bi awọn idilọwọ BGP. MOAS jẹ ọran pataki kan nibiti awọn ọna ṣiṣe adase meji ti n polowo awọn asọtẹlẹ ikọlura pẹlu awọn ASN ti o baamu ni AS_PATH (ASN akọkọ ni AS_PATH, lẹhinna tọka si bi ipilẹṣẹ ASN). Sibẹsibẹ, a le lorukọ o kere ju 3 afikun orisi interception ijabọ, ngbanilaaye ikọlu kan lati ṣe afọwọyi abuda AS_PATH fun awọn idi oriṣiriṣi, pẹlu yiyọkuro awọn isunmọ ode oni si sisẹ ati ibojuwo. Iru ikọlu ti a mọ Pilosova-Kapely - awọn ti o kẹhin iru iru interception, sugbon ko ni gbogbo ni pataki. O ṣee ṣe pupọ pe eyi ni pato iru ikọlu ti a ti rii ni awọn ọsẹ sẹhin. Iru iṣẹlẹ yii ni iseda ti o ni oye ati awọn abajade to ṣe pataki.

Awọn ti n wa ẹya TL; DR le yi lọ si akọle “Atako Pipe”.

Ipilẹ nẹtiwọki

(lati ṣe iranlọwọ fun ọ ni oye daradara awọn ilana ti o wa ninu iṣẹlẹ yii)

Ti o ba fẹ fi apo-iwe kan ranṣẹ ati pe o ni awọn asọtẹlẹ pupọ ninu tabili itọnisọna ti o ni adiresi IP opin irin ajo, lẹhinna o yoo lo ipa-ọna fun ìpele pẹlu ipari gigun julọ. Ti ọpọlọpọ awọn ipa-ọna oriṣiriṣi ba wa fun ìpele kanna ni tabili ipa-ọna, iwọ yoo yan eyi ti o dara julọ (ni ibamu si ẹrọ yiyan ọna ti o dara julọ).

Sisẹ ti o wa tẹlẹ ati awọn isunmọ ibojuwo gbiyanju lati ṣe itupalẹ awọn ipa-ọna ati ṣe awọn ipinnu nipa ṣiṣe itupalẹ abuda AS_PATH. Olutọpa le yi ẹda yii pada si iye eyikeyi lakoko ipolowo. Nfi ASN oniwun kun ni ibẹrẹ AS_PATH (gẹgẹbi ipilẹṣẹ ASN) le to lati fori awọn ilana ṣiṣe ayẹwo orisun lọwọlọwọ. Pẹlupẹlu, ti ọna ba wa lati ọdọ ASN ti o kọlu si ọ, o ṣee ṣe lati jade ati lo AS_PATH ti ipa ọna yii ni awọn ipolowo miiran. Eyikeyi AS_PATH-nikan ayẹwo afọwọsi fun awọn ikede rẹ ti a ṣe yoo kọja nikẹhin.

Awọn idiwọn diẹ tun wa ti o yẹ lati darukọ. Ni akọkọ, ni ọran ti sisẹ ìpele nipasẹ olupese ti oke, ipa ọna rẹ le tun jẹ filtered (paapaa pẹlu AS_PATH to pe) ti iṣaaju ko ba jẹ ti konu alabara ti tunto ni oke. Ẹlẹẹkeji, AS_PATH to wulo le di aiṣedeede ti ipa ọna ti o ṣẹda ba wa ni ipolowo ni awọn itọsọna ti ko tọ ati, nitorinaa, o lodi si ilana ipa-ọna. Nikẹhin, eyikeyi ipa ọna pẹlu ìpele kan ti o rufin gigun ROA ni a le ka pe ko wulo.

Iṣẹlẹ

Ni ọsẹ diẹ sẹyin a gba ẹdun ọkan ninu awọn olumulo wa. A rii awọn ipa-ọna pẹlu ipilẹṣẹ ASN ati /25 awọn ami-iṣaaju, lakoko ti olumulo sọ pe ko ṣe ipolowo wọn.

TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
Awọn apẹẹrẹ ti awọn ikede fun ibẹrẹ Oṣu Kẹrin ọdun 2019

NTT ni ọna fun prefix /25 jẹ ki o ni ifura paapaa. LG NTT ko mọ ọna yii ni akoko iṣẹlẹ naa. Nitorinaa bẹẹni, oniṣẹ ẹrọ kan ṣẹda odidi AS_PATH fun awọn ami-iṣaaju wọnyi! Ṣiṣayẹwo lori awọn olulana miiran ṣafihan ASN kan pato: AS263444. Lẹhin wiwo awọn ipa-ọna miiran pẹlu eto adase yii, a pade ipo atẹle:

TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.0/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.128/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.96.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.112.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
Gbiyanju lati gboju le won ohun ti ko tọ si nibi

Ó dà bí ẹni pé ẹnì kan mú ìpele ìpele láti ojú ọ̀nà, ó pín sí apá méjì, ó sì polówó ipa ọ̀nà pẹ̀lú AS_PATH kan náà fún ìpele méjì wọ̀nyẹn.

TABLE_DUMP2|1554076800|B|xxx|263444|1.6.36.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|263444|1.6.38.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.36.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.38.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.36.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.38.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
Awọn ipa ọna apẹẹrẹ fun ọkan ninu awọn orisii ìpele pipin

Orisirisi awọn ibeere dide ni ẹẹkan. Njẹ ẹnikan ti gbiyanju iru idawọle yii ni iṣe? Njẹ ẹnikan ti gba awọn ipa-ọna wọnyi? Awọn ami-iṣaaju wo ni o kan?

Eyi ni ibiti okun ti awọn ikuna wa ti bẹrẹ ati sibẹ iyipo ibanujẹ miiran pẹlu ipo lọwọlọwọ ti ilera Intanẹẹti.

Ona ti ikuna

Ohun akọkọ akọkọ. Bawo ni a ṣe le pinnu iru awọn onimọ-ọna ti o gba iru awọn ipa-ọna idalọwọduro ati ti awọn ọna gbigbe ti o le tun pada loni? A ro pe a yoo bẹrẹ pẹlu / 25 awọn asọtẹlẹ nitori wọn "nikan ko le ni pinpin agbaye." Bi o ṣe le gboju, a ṣe aṣiṣe pupọ. Metiriki yii ti jade lati jẹ alariwo pupọ ati awọn ipa-ọna pẹlu iru awọn asọtẹlẹ le han paapaa lati ọdọ awọn oniṣẹ Tier-1. Fun apẹẹrẹ, NTT ni nipa 50 iru awọn ami-iṣaaju, eyiti o pin si awọn alabara tirẹ. Ni apa keji, metiriki yii buru nitori iru awọn ami-iṣaaju le jẹ filtered jade ti oniṣẹ ba lo sisẹ kekere ìpele, ni gbogbo awọn itọnisọna. Nitorinaa, ọna yii ko dara fun wiwa gbogbo awọn oniṣẹ ti a darí ijabọ nitori abajade iru iṣẹlẹ kan.

Miiran ti o dara agutan ti a ro je lati wo POV. Paapa fun awọn ipa-ọna ti o ṣẹ ofin maxLength ti ROA ti o baamu. Ni ọna yii a le rii nọmba ti awọn orisun ASN oriṣiriṣi pẹlu ipo Invalid ti o han si AS ti a fun. Sibẹsibẹ, iṣoro "kekere" wa. Apapọ (agbedemeji ati ipo) ti nọmba yii (nọmba ti ipilẹṣẹ ASN ti o yatọ) jẹ nipa 150 ati, paapaa ti a ba ṣe àlẹmọ awọn asọtẹlẹ kekere, o wa loke 70. Ipo ọrọ yii ni alaye ti o rọrun pupọ: nikan ni o wa kan awọn oniṣẹ diẹ ti o ti lo awọn asẹ ROA tẹlẹ pẹlu eto imulo “tunto awọn ipa-ọna Invalid” ni awọn aaye titẹsi, nitorinaa nibikibi ti ipa-ọna pẹlu irufin ROA ba han ni agbaye gidi, o le tan kaakiri ni gbogbo awọn itọnisọna.

Awọn ọna meji ti o kẹhin gba wa laaye lati wa awọn oniṣẹ ti o rii iṣẹlẹ wa (niwon o tobi pupọ), ṣugbọn ni gbogbogbo wọn ko wulo. O dara, ṣugbọn ṣe a le rii olubẹwo naa? Kini awọn ẹya gbogbogbo ti ifọwọyi AS_PATH yii? Awọn imọran ipilẹ diẹ wa:

• Awọn ìpele ti ko ti ri nibikibi ṣaaju ki o to;
• ASN ipilẹṣẹ (iranti: ASN akọkọ ni AS_PATH) wulo;
• ASN ti o kẹhin ni AS_PATH ni ASN ikọlu (ti o ba jẹ pe aladugbo rẹ ṣayẹwo ASN aladugbo lori gbogbo awọn ipa-ọna ti nwọle);
• Ikọlu naa bẹrẹ lati ọdọ olupese kan.

Ti gbogbo awọn arosinu ba tọ, lẹhinna gbogbo awọn ipa-ọna ti ko tọ yoo ṣafihan ASN ti ikọlu (ayafi ipilẹṣẹ ASN) ati, nitorinaa, aaye “pataki” jẹ. Lara awọn ajinigbe otitọ ni AS263444, botilẹjẹpe awọn miiran wa. Paapaa nigba ti a danu awọn ipa-ọna iṣẹlẹ lati ero. Kí nìdí? Aaye pataki kan le jẹ pataki paapaa fun awọn ipa-ọna to tọ. O le jẹ abajade ti asopọ ti ko dara ni agbegbe kan tabi awọn idiwọn ni hihan tiwa.

Bi abajade, ọna kan wa lati ṣe awari ikọlu kan, ṣugbọn nikan ti gbogbo awọn ipo ti o wa loke ba pade ati pe nikan nigbati idawọle ba tobi to lati kọja awọn ala ibojuwo. Ti diẹ ninu awọn nkan wọnyi ko ba pade, lẹhinna a le ṣe idanimọ awọn ami-iṣaaju ti o jiya lati iru interception bi? Fun awọn oniṣẹ kan - bẹẹni.

Nigbati ikọlu ba ṣẹda ipa-ọna kan pato diẹ sii, iru asọtẹlẹ bẹẹ ko ni ipolowo nipasẹ oniwun tootọ. Ti o ba ni atokọ ti o ni agbara ti gbogbo awọn ami-iṣaaju rẹ lati ọdọ rẹ, lẹhinna o ṣee ṣe lati ṣe lafiwe ki o wa awọn ipa-ọna pato diẹ sii ti o daru. A gba atokọ ti awọn ami-iṣaaju ni lilo awọn akoko BGP wa, nitori kii ṣe atokọ ni kikun ti awọn ipa-ọna ti o han si oniṣẹ ni bayi, ṣugbọn tun atokọ ti gbogbo awọn asọtẹlẹ ti o fẹ lati polowo si agbaye. Laanu, awọn olumulo Radar pupọ wa ni bayi ti ko pari apakan ti o kẹhin ni deede. A yoo sọ fun wọn laipẹ ati gbiyanju lati yanju ọran yii. Gbogbo eniyan miiran le darapọ mọ eto ibojuwo wa ni bayi.

Ti a ba pada si iṣẹlẹ atilẹba, mejeeji ikọlu ati agbegbe pinpin ni a rii nipasẹ wa nipasẹ wiwa awọn aaye pataki. Iyalenu, AS263444 ko firanṣẹ awọn ipa-ọna iṣelọpọ si gbogbo awọn alabara rẹ. Botilẹjẹpe akoko alejò wa.

BGP4MP|1554905421|A|xxx|263444|178.248.236.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
BGP4MP|1554905421|A|xxx|263444|178.248.237.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
Apeere aipẹ ti igbiyanju lati da aaye adirẹsi wa duro

Nigbati a ṣẹda awọn pato diẹ sii fun awọn ami-iṣaaju wa, AS_PATH ti a ṣẹda ni pataki ni a lo. Sibẹsibẹ, AS_PATH yii ko le ti gba lati eyikeyi awọn ipa-ọna iṣaaju wa. A ko paapaa ni ibaraẹnisọrọ pẹlu AS6762. Ti a ba wo awon ona to ku ninu isele naa, awon kan ni AS_PATH gidi ti won ti n lo tele, ti awon kan ko si, bo tile dabi eyi to daju. Yiyipada AS_PATH ni afikun ko ni oye eyikeyi ti o wulo, nitori ijabọ naa yoo darí si olukolu naa lonakona, ṣugbọn awọn ipa-ọna pẹlu “buburu” AS_PATH le ṣe iyọ nipasẹ ASPA tabi ẹrọ ayewo miiran. Nibi ti a ro nipa iwuri ti hijacker. Lọwọlọwọ a ko ni alaye to lati jẹrisi pe iṣẹlẹ yii jẹ ikọlu ti a gbero. Sibẹsibẹ, o ṣee ṣe. Jẹ ká gbiyanju lati fojuinu, biotilejepe si tun hypothetical, ṣugbọn oyi oyimbo gidi, a ipo.

Ikọlu pipe

Ohun ti a ni? Jẹ ki a sọ pe o jẹ awọn ipa ọna igbohunsafefe olupese fun awọn alabara rẹ. Ti awọn alabara rẹ ba ni wiwa lọpọlọpọ (multihome), lẹhinna o yoo gba apakan kan ti ijabọ wọn. Ṣugbọn diẹ sii ijabọ, diẹ sii owo-wiwọle rẹ. Nitorinaa ti o ba bẹrẹ ipolowo awọn asọtẹlẹ subnet ti awọn ipa-ọna kanna pẹlu AS_PATH kanna, iwọ yoo gba iyoku ijabọ wọn. Bi abajade, iyokù owo naa.

Ṣe ROA yoo ṣe iranlọwọ nibi? Boya bẹẹni, ti o ba pinnu lati da lilo rẹ duro patapata ipari. Ni afikun, o jẹ aifẹ pupọ lati ni awọn igbasilẹ ROA pẹlu awọn asọtẹlẹ intersecting. Fun diẹ ninu awọn oniṣẹ, iru awọn ihamọ jẹ itẹwẹgba.

Ṣiyesi awọn ilana aabo ipa-ọna miiran, ASPA kii yoo ṣe iranlọwọ ninu ọran yii boya (nitori pe o nlo AS_PATH lati ọna ti o wulo). BGPSec kii ṣe aṣayan ti o dara julọ nitori awọn oṣuwọn isọdọmọ kekere ati iṣeeṣe ti o ku ti awọn ikọlu idinku.

Nitorinaa a ni ere ti o han gbangba fun ikọlu ati aini aabo. Apapo nla!

Kini a ni lati ṣe?

Igbesẹ ti o han gedegbe ati pupọ julọ ni lati ṣe atunyẹwo eto imulo ipa-ọna lọwọlọwọ rẹ. Pa aaye adirẹsi rẹ sinu awọn ṣoki ti o kere julọ (ko si awọn agbekọja) ti o fẹ lati polowo. Wole ROA fun wọn nikan, laisi lilo paramita maxLength. Ni idi eyi, POV lọwọlọwọ le gba ọ lọwọ iru ikọlu. Sibẹsibẹ, lẹẹkansi, fun diẹ ninu awọn oniṣẹ ọna yii kii ṣe deede nitori lilo iyasọtọ ti awọn ipa-ọna pato diẹ sii. Gbogbo awọn iṣoro pẹlu ipo ROA lọwọlọwọ ati awọn nkan ipa ọna yoo jẹ apejuwe ninu ọkan ninu awọn ohun elo iwaju wa.

Ni afikun, o le gbiyanju lati se atẹle iru interceptions. Lati ṣe eyi, a nilo alaye ti o gbẹkẹle nipa awọn asọtẹlẹ rẹ. Nitorinaa, ti o ba ṣeto igba BGP kan pẹlu olugba wa ti o si pese alaye fun wa nipa hihan Intanẹẹti rẹ, a le rii aaye fun awọn iṣẹlẹ miiran. Fun awọn ti ko tii sopọ mọ eto ibojuwo wa, lati bẹrẹ pẹlu, atokọ ti awọn ipa-ọna nikan pẹlu awọn ami-iṣaaju rẹ yoo to. Ti o ba ni ipade pẹlu wa, jọwọ ṣayẹwo pe gbogbo awọn ipa-ọna rẹ ti firanṣẹ. Laanu, eyi tọsi lati ranti nitori diẹ ninu awọn oniṣẹ gbagbe ìpele kan tabi meji ati nitorinaa dabaru pẹlu awọn ọna wiwa wa. Ti o ba ṣe ni deede, a yoo ni data ti o gbẹkẹle nipa awọn ami-iṣaaju rẹ, eyiti ni ọjọ iwaju yoo ṣe iranlọwọ fun wa ni idanimọ laifọwọyi ati rii eyi (ati awọn miiran) awọn iru idilọwọ ijabọ fun aaye adirẹsi rẹ.

Ti o ba mọ iru idawọle ti ijabọ rẹ ni akoko gidi, o le gbiyanju lati koju rẹ funrararẹ. Ọna akọkọ ni lati polowo awọn ipa-ọna pẹlu awọn asọtẹlẹ pato diẹ sii funrararẹ. Ni ọran ikọlu tuntun lori awọn asọtẹlẹ wọnyi, tun ṣe.

Ọna keji ni lati jiya ikọlu ati awọn ti o jẹ aaye pataki fun (fun awọn ipa-ọna to dara) nipa gige iwọle ti awọn ipa-ọna rẹ si ikọlu naa. Eyi le ṣee ṣe nipa fifi ASN ikọlu kun AS_PATH ti awọn ipa-ọna atijọ rẹ ati nitorinaa fi ipa mu wọn lati yago fun AS yẹn nipa lilo ẹrọ wiwa lupu ti a ṣe sinu BGP fun ire tire.

orisun: www.habr.com