搜索

[14264] 2019-06-23_记一次BGP事件：欧洲流量通过中国电信错误传输2小时

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2019-06-23_记一次BGP事件：欧洲流量通过中国电信错误传输2小时 记 一 次 B G P 事 件 ： 欧 洲 流 量 通 过 中 国 电 信 错 误 传 输 2 小 时 F r e e B u f   2 0 1 9 - 0 6 - 2 3 以 下 文 章 来 源 于 安 数 网 络   ， 作 者 专 注 互 联 网 安 全 的 上 周 四 ， 上 周 四 ， B G P 路 由 泄 漏 导 致 大 部 分 欧 洲 移 动 流 量 通 过 中 国 电 信 的 网 络 路 由 持 续 路 由 泄 漏 导 致 大 部 分 欧 洲 移 动 流 量 通 过 中 国 电 信 的 网 络 路 由 持 续 2 小 时 。 小 时 。 上 周 四 （ 6 月 6 日 ） ， 原 本 传 输 到 几 家 欧 洲 最 大 的 移 动 服 务 提 供 商 的 流 量 ， 通 过 中 国 电 信 重 定 向 到 错 误 的 地 方 长 达 2 小 时 。 这 次 事 件 引 发 了 公 众 对 互 联 网 全 球 路 由 系 统 ： B G P （ 边 界 网 关 协 议 ） 的 担 忧 。 什 么 是 什 么 是 B G P ？ ？ B G P   即 边 界 网 关 协 议 ， 是 自 治 系 统 间 的 路 由 协 议 ， B G P 交 换 的 网 络 可 达 性 信 息 提 供 了 足 够 的 信 息 来 检 测 路 由 回 路 并 根 据 性 能 优 先 和 策 略 约 束 对 路 由 进 行 决 策 。 B G P   是 互 联 网 核 心 基 础 设 施 的 组 成 部 分 ， 但 过 去 几 年 B G P 发 生 过 许 多 次 严 重 的 路 由 泄 漏 ， 导 致 一 个 网 络 的 流 量 被 重 定 向 路 由 经 过 其 它 网 络 。 B G P 的 问 题 在 于 它 过 于 信 任 收 到 的 路 由 广 播 。 B G P   路 由 条 目 在 不 同 的 角 色 都 有 其 合 理 通 告 范 围 ， 一 旦 B G P 路 由 通 告 传 播 到 其 原 本 预 期 通 告 范 围 之 外 称 之 为 路 由 泄 露 ， 而 这 会 造 成 难 以 估 量 的 严 重 后 果 。 提 供 商 通 常 会 设 置 保 护 措 施 和 安 全 程 序 ， 以 防 止 B G P 路 由 泄 漏 影 响 彼 此 的 网 络 。 B G P 泄 露 事 件 始 末 泄 露 事 件 始 末 事 件 始 于 2 0 1 9 年 6 月 6 日 上 午 9 点 4 3   分 （ U T C ） ， 瑞 士 数 据 中 心 主 机 托 管 公 司 S a f e   H o s t 的 自 治 系 统 A S 2 1 2 1 7 错 误 地 更 新 了 路 由 器 ， 结 果 这 条 路 径 最 终 通 向 包 括 估 计 3 . 6 8 亿 个 I P 地 址 的 7 0 0 0 0 多 条 互 联 网 路 由 。 安 数 网 络 安 数 网 络   . 专 注 互 联 网 安 全 ， 提 供 网 络 空 间 资 产 管 理 、 关 键 信 息 基 础 设 施 安 全 监 测 、 安 全 风 险 分 析 报 告 、 风 险 复 查 ， 无 需 安 装 部 署 即 可 实 现 网 络 安 全 的 云 监 管 。
B G P   路 由 泄 露 示 意 图 （ 来 源 ： T h o u s a n d E y e s ） 中 国 电 信 的 A S 4 1 3 4 在 2 0 1 7 年 与 S a f e   H o s t 达 成 了 网 络 对 等 互 联 （ p e e r i n g ） 协 议 ， 几 乎 立 即 回 应 了 这 些 路 由 ， 而 不 是 像 合 理 的 B G P 过 滤 做 法 所 要 求 的 那 样 丢 弃 这 些 路 由 。 短 时 间 内 ， 连 接 到 中 国 电 信 的 众 多 大 型 网 络 开 始 沿 着 这 条 路 径 传 输 。 受 影 响 严 重 的 欧 洲 网 络 包 括 瑞 士 瑞 士 的 S w i s s c o m （ A S 3 3 0 3 ） ， 荷 兰 的 K P N   （ A S 1 1 3 0 ） ， 以 及 法 国 的 B o u y g u e s T e l e c o m （ A S 5 4 1 0 ） 和 N u m e r i c a b l e - S F R （ A S 2 1 5 0 2 ） 。 漫 长 的 时 间 跨 度 加 剧 了 事 件 的 影 响 。 K P N 后 来 指 责 这 次 事 件 是 导 致 许 多 荷 兰 消 费 者 无 法 完 成 借 记 卡 交 易 的 根 本 原 因 。 据 网 络 情 报 服 务 商 T h o u s a n d E y e s 的 研 究 人 员 表 示 ， 发 送 到 F a c e b o o k 旗 下 的 W h a t s A p p 消 息 服 务 的 一 些 流 量 也 受 到 了 影 响 。 6   月 7 日 ， 瑞 士 主 机 托 管 公 司 S a f e   H o s t 在 推 特 表 示 ： “ 我 们 仍 在 与 硬 件 供 应 商 和 C T 一 起 调 查 昨 天 的 B G P 泄 露 事 件 ， 我 方 暂 未 调 查 到 引 发 此 次 事 件 的 配 置 变 更 。 ” 截 图 自 推 特 路 由 泄 露 路 径 复 盘 路 由 泄 露 路 径 复 盘 O r a c l e   互 联 网 分 析 部 门 主 管 D o u g   M a d o r y 最 先 报 告 了 此 事 件 ， 他 所 做 的 路 由 跟 踪 ， 复 现 了 流 量 传 输 路 径 究 竟 绕 了 多 大 的 圈 子 。
以 下 截 图 显 示 了 从 弗 吉 尼 亚 州 的 谷 歌 云 服 务 器 开 始 的 流 量 通 过 中 国 电 信 的 骨 干 网 络 传 输 ， 最 终 传 输 到 位 于 奥 地 利 维 也 纳 的 目 标 I P 地 址 。 以 下 截 图 显 示 了 多 伦 多 的 O r a c l e 数 据 中 心 与 法 国 受 影 响 的 I P 地 址 之 间 的 类 似 路 由 。 O r a c l e   的 D o u g M a d o r y   表 示 “ 通 常 此 类 事 件 只 持 续 几 分 钟 ， 但 此 次 事 件 中 的 许 多 泄 露 路 由 已 经 流 通 超 过 2 小 时 。 此 外 ， 路 由 泄 露 更 多 地 针 对 路 由 前 缀 ， 因 此 建 议 使 用 路 由 优 化 器 或 类 似 技 术 ” 。 此 次 事 件 中 ， 有 超 过 1 , 3 0 0 个 荷 兰 路 由 前 缀 被 暴 露 ， 并 且 有 4 7 0 条 K P N 路 线 通 过 了 中 国 电 信 的 网 络 。 同 样 的 情 况 也 发 生 在 6 4 条 S w i s s c o m 路 由 上 ， 有 2 0 0 个 瑞 士 路 由 前 缀 被 暴 露 。 O r a c l e   在 事 件 中 观 察 到 1 5 0 个 B o u y g u e s   T e l e c o m 路 由 前 缀 ， 其 中 包 括 1 2 7 个 现 有 路 由 的 细 节 ， 并 且 发 现 一 些 自 有 的 t r a c e r o u t e 测 量 也 未 能 幸 免 。 路 由 泄 露 引 发 的 思 考 路 由 泄 露 引 发 的 思 考 O r a c l e   互 联 网 分 析 部 门 主 管 D o u g   M a d o r y 在 博 文 中 写 道 ： 今 天 的 事 件 表 明 ， 互 联 网 还 没 有 彻 底 消 除 B G P 路 由 泄 漏 的 问 题 。 中 国 电 信 作 为 一 家 主 要 的 国 际 运 营 商 ， 既 没 有 实 施 必 要 的 基 本 路 由 保 护 措 施 以 防 止 路 由 泄 露 传 播 ， 也 没 有 实 施 必 要 的 流 程 和 程 序 以 及 时 地 发 现 并 修 复 此 类 不 可 避 免 的 事 件 。 如 此 大 规 模 的 路 由 泄 露 持 续 了 2 小 时 ， 导 致 全 球 通 信 质 量 下 降 。 任 何 电 信 服 务 商 想 改 善 路 由 状 况 ， 加 入 互 联 网 协 会 的 《 相 互 协 定 的 路 由 安 全 规 范 》 （ M A N R S ） 是 一 个 好 方 法 。 此 外 ， 早 在 去 年 ， D o u g   M a d o r y 就 建 议 电 信 服 务 提 供 商 支 持 B G P 安 全 标 准 ， 如 R P K I ， 以 此 作 为 防 止 流 量 “ 劫 持 ” 的 首 选 方 式 。 这 次 事 件 暴 露 了 B G P 的 根 本 弱 点 ， B G P 是 全 局 路 由 表 ， 它 让 属 于 一 个 A S 的 I P 地 址 可 以 找 到 属 于 不 同 A S 的 I P 地 址 。 几 十 年 前 ， 互 联 网 还 是 业 余 爱 好 者 和 研 究 人 员 云 集 的 地 方 ， 大 多 数 人 彼 此 认 识 ， 这 个 系 统 可 以 靠 绝 对 信 任 来 运 转 。 如
今 ， 很 显 然 B G P 还 没 有 适 应 服 务 对 象 呈 爆 炸 级 膨 胀 的 互 联 网 ， 包 括 牟 取 不 义 之 财 的 犯 罪 分 子 与 黑 客 。 这 意 味 着 每 个 网 络 都 需 要 不 断 地 监 管 分 配 给 它 们 的 地 址 空 间 。 T h o u s a n d E y e s   的 产 品 营 销 副 总 裁 A l e x   H e n t h o r n - I w a n e 对 I T 外 媒 A r s   T e c h n i c a 表 示 ： 这 起 事 件 表 明 ， 一 个 简 单 的 错 误 要 摧 毁 互 联 网 的 服 务 交 付 状 况 到 底 有 多 容 易 。 如 果 你 看 不 清 发 生 的 状 况 ， 就 无 法 让 服 务 商 承 担 责 任 并 解 决 问 题 。 安 数 网 络 的 首 席 安 全 官 李 江 辉 表 示 ： B G P 的 缺 陷 在 于 流 量 会 选 择 路 由 广 播 到 达 目 的 地 的 最 短 路 径 进 行 传 输 。 中 国 电 信 因 为 和 S a f e   H o s t 有 P e e r 协 议 ， 将 S a f e H o s t 的 路 由 作 为 自 己 的 路 由 ， 将 自 己 作 为 到 达 S a f e   H o s t 网 络 和 其 他 附 近 欧 洲 电 信 公 司 和 I S P 的 最 短 途 径 之 一 ， 导 致 欧 洲 流 量 通 过 中 国 电 信 进 行 重 定 向 。 * 本 文 作 者 ： 安 数 君 ， 转 载 请 注 明 来 自 本 文 作 者 ： 安 数 君 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理