211service.com
Pozornie nie do naprawienia pęknięcie w sieci szkieletowej
Niepokojąco łatwo jest zaatakować szkielet Internetu w celu zablokowania dostępu do ważnej usługi online, takiej jak YouTube, lub przechwycenia komunikacji online na dużą skalę.
Powiedzmy więc, że badacze bezpieczeństwa próbują zachęcić swoją branżę do zrobienia czegoś z długotrwałymi słabościami protokołu, który sprawdza, jak kierować dane przez różne sieci tworzące Internet. Prawie cała infrastruktura obsługująca ten protokół nie korzysta nawet z podstawowej technologii bezpieczeństwa, która znacznie utrudniłaby blokowanie lub przechwytywanie danych.
Technologia jest dostępna – problem polega na tym, że jej nie używamy – powiedział Wim Remes, kierownik ds. usług strategicznych w firmie ochroniarskiej Rapid7, podczas rozmowy na Konferencja bezpieczeństwa Black Hat w środę w Las Vegas. Prawdopodobieństwo takich ataków jest ograniczone, ale ich wpływ jest ogromny.
Słabość leży w protokole bramy granicznej lub BGP. Duże routery obsługiwane przez dostawców usług internetowych i duże korporacje używają protokołu BGP, aby dowiedzieć się, jak uzyskać dane między różnymi miejscami. Każdy z tych głównych routerów zwraca się do innych podobnych sobie — obsługiwanych przez inne firmy — w celu uzyskania informacji potrzebnych do najefektywniejszego przesyłania danych do miejsca przeznaczenia. Firmy obsługujące routery ręcznie wybierają, którym innym routerom będą ufać.
Niestety BGP nie ma wbudowanych mechanizmów bezpieczeństwa, które umożliwiają routerom weryfikację otrzymywanych informacji lub tożsamości routerów, które je dostarczają. Bardzo złe rzeczy mogą się zdarzyć, gdy routery celowo lub w inny sposób rozpowszechniają niepoprawne informacje o sposobie routingu danych.
Ten problem jest znany od dziesięcioleci. To było podstawą twierdzenia grupy hakerskiej L0pht w 1998 roku przed Kongresem, że mogą wyłączyć Internet w 30 minut. Jednak incydenty, które ujawniły wady BGP, skłoniły niektóre firmy zajmujące się bezpieczeństwem do potraktowania tego poważniej.
W 2013 roku firma ochroniarska Renesys zaobserwowała kilka przypadków, w których ruch sieciowy w USA był w niewytłumaczalny sposób skierowana przez Białoruś i Islandię , w czymś, co mogło być atakiem typu man in the middle, mającym na celu potajemne przechwytywanie danych. W czerwcu tego roku malezyjski dostawca usług internetowych błędnie skonfigurował swoje routery i spowodował zbieżność ruchu z całego świata w swojej sieci, co doprowadziło do wielogodzinnych przestojów lub spowolnienia działania usług, takich jak Snapchat, Skype i Google. Artem Gavrichenkov, badacz z firmy ochroniarskiej Qrator , pokazał w Black Hat, jak można manipulować BGP w celu uzyskania certyfikatu bezpieczeństwa w nazwie konkretnej witryny bez pozwolenia, co umożliwia podszywanie się pod nią i odszyfrowywanie zabezpieczonego ruchu.
Remes z Rapid7 twierdzi, że firmy zarządzające infrastrukturą BGP nie traktują wystarczająco poważnie ryzyka związanego z takimi problemami. Technologia o nazwie RPKI może być wykorzystana do umożliwienia routerom sprawdzenia, czy informacje, które otrzymują od innych, są prawidłowe. Ale tylko 16 z najczęściej odwiedzanych witryn na świecie zaimplementowało go, a Facebook jest jedyną witryną w pierwszej dziesiątce, która to zrobiła, powiedział.
Andree Toonk, kierownik ds. inżynierii sieci w OpenDNS, firmie zajmującej się bezpieczeństwem, niedawno przejętej przez Cisco Systems, mówi, że nawet szerokie zastosowanie RPKI pomogłoby tylko w rozwiązaniu zagrożeń związanych z BGP, ponieważ można go obejść. Rozwiązuje 90 procent problemu, ale nie jest niezawodny, powiedział.
W swoim własnym wystąpieniu w Black Hat w czwartek Toonk planował opisać system sond, które założył na całym świecie, aby śledzić aktywność routerów BGP. OpenDNS ma uruchomić rodzaj publicznego systemu ostrzegania, który będzie informował o niepokojących zmianach w trasach danych przez Twittera .