搜索

[15297] 2020-04-25_俄罗斯Rostelecom劫持事件，BGP安全不止于此

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2020-04-25_俄罗斯Rostelecom劫持事件，BGP安全不止于此 俄 罗 斯 R o s t e l e c o m 劫 持 事 件 ， B G P 安 全 不 止 于 此 k i r a z h o u   F r e e B u f   2 0 2 0 - 0 4 - 2 5 4 月 月 1 日 ， 这 个 并 不 寻 常 的 愚 人 节 ， 俄 罗 斯 日 ， 这 个 并 不 寻 常 的 愚 人 节 ， 俄 罗 斯 R o s t e l e c o m 被 发 现 疑 似 劫 持 来 自 全 球 被 发 现 疑 似 劫 持 来 自 全 球 2 0 0 多 家 多 家   C D N   和 云 托 管 提 供 商 和 云 托 管 提 供 商 的 流 量 。 的 流 量 。 这 次 B G P 劫 持 的 影 响 有 多 大 呢 ， 2 0 0 多 个 网 络 的 8 8 0 0 多 条 互 联 网 流 量 路 由 受 到 影 响 ， 波 及 攻 击 谷 歌 、 亚 马 逊 、 F a c e b o o k 、 A k a m a i 、 C l o u d f l a r e 、 G o D a d d y 、 D i g i t a l   O c e a n 、 J o y e n t 、 L e a s e W e b 、 H e t z n e r 和 L i n o d e 等 知 名 公 司 。 B G P 的 安 全 问 题 ， 真 实 伤 不 起 。 互 联 网 是 一 个 去 中 心 化 的 分 布 式 结 构 ， 整 个 网 络 由 成 百 上 千 个 不 同 的 I S P （ 互 联 网 服 务 提 供 商 ） 的 子 网 络 组 成 。 而 为 了 达 到 互 联 ， 子 网 络 A 就 是 通 过 B G P 协 议 告 诉 子 网 络 B ： 我 这 里 都 包 括 哪 些 I P 地 址 段 ， A S 编 号 （ A S   N u m b e r ） 是 什 么 以 及 一 些 其 他 的 信 息 。 与 此 同 时 ， 为 了 避 免 人 们 使 用 相 同 的 地 址 空 间 ， 由 主 管 部 门 （ 地 区 互 联 网 注 册 中 心 / R I R S ） 负 责 分 配 I P 地 址 。 整 个 网 络 流 量 互 联 的 过 程 中 ， B G P 像 是 一 条 “ 通 道 ” 。 作 为 互 联 网 核 心 基 础 设 施 的 组 成 部 分 ， 作 为 互 联 网 核 心 基 础 设 施 的 组 成 部 分 ， 1 9 8 9 年 诞 生 的 年 诞 生 的 B G P   已 经 驰 骋 网 络 几 十 年 ， 但 惊 人 的 是 ， 哪 怕 到 现 已 经 驰 骋 网 络 几 十 年 ， 但 惊 人 的 是 ， 哪 怕 到 现 在 ， 在 ， B G P 仍 然 缺 乏 足 够 的 安 全 措 施 。 仍 然 缺 乏 足 够 的 安 全 措 施 。 譬 如 ， 由 于 每 个 I S P （ 互 联 网 服 务 提 供 商 ） 通 常 必 须 默 认 信 任 其 对 等 网 络 运 营 商 在 传 输 流 量 时 与 其 共 享 的 路 由 信 息 。 一 旦 路 由 信 息 没 有 经 过 适 当 的 审 查 和 过 滤 ， 那 意 味 着 流 量 可 能 被 发 送 至 恶 意 站 点 。
总 结 一 下 针 对 互 联 网 路 由 功 能 的 攻 击 可 能 带 来 的 后 果 是 ： D D o S 攻 击 ， 互 联 网 服 务 拒 绝 访 问 旁 路 互 联 网 流 量 监 听 ， 及 对 终 端 （ 网 站 ） 进 行 路 径 攻 击 错 误 交 付 互 联 网 网 络 流 量 到 恶 意 终 端 损 害 基 于 I P 地 址 的 信 誉 和 过 滤 系 统 互 联 网 路 由 不 稳 定 一 般 来 说 ， B G P 劫 持 虽 然 普 遍 ， 但 大 多 数 劫 持 都 是 短 暂 的 。 并 且 ， 不 是 所 有 的 B G P 劫 持 都 是 恶 意 的 ， 很 有 可 能 只 是 操 作 者 的 一 个 手 抖 ， 配 置 错 误 导 致 意 外 劫 持 。 当 然 ， 并 不 否 认 恶 意 分 子 利 用 ， 目 的 性 地 劫 持 。 [ 尴 尬 的 是 ， 有 意 为 之 还 是 不 小 心 操 作 ， 很 难 分 辨 。 尴 尬 的 是 ， 有 意 为 之 还 是 不 小 心 操 作 ， 很 难 分 辨 。 ] 以 此 次 R o s t e l e c o m 路 由 劫 持 事 件 为 例 ， 事 件 发 生 的 原 因 是 俄 罗 斯 电 信 内 部 的 流 量 整 形 系 统 可 能 在 公 共 互 联 网 上 不 小 心 暴 露 了 错 误 的 B G P 路 由 而 不 是 俄 罗 斯 电 信 内 部 网 络 的 整 体 问 题 。 不 幸 的 是 ， 这 个 小 小 的 失 误 被 R o s t e l e c o m 的 上 游 供 应 商 拿 着 新 公 布 的 B G P 路 由 在 互 联 网 上 重 新 传 播 ， 从 而 将 B G P 劫 持 事 件 在 几 秒 钟 内 放 大 了 。 一 个 “ 小 小 的 错 误 ” 瞬 间 滚 成 巨 大 的 雪 球 ， 影 响 全 球 2 0 0 多 个 网 络 。 尽 管 过 去 十 几 年 的 经 验 告 诉 我 们 ， B G P   路 由 泄 露 ， 劫 持 问 题 有 多 严 重 ， 但 是 这 个 问 题 依 然 一 直 没 有 被 解 决 。 回 顾 一 下 那 些 年 ， B G P 安 全 问 题 闯 下 的 “ 祸 ” ： 2 0 0 3 年 5 月 ， 彼 时 的 世 界 第 三 大 军 工 生 产 厂 商 N o r t h r o p   G r u m m a n 部 分 B G P 网 络 被 恶 意 利 用 ， 用 来 发 送 海 量 的 垃 圾 邮 件 。 最 终 ， 这 家 军 火 承 包 商 花 费 了 整 整 2 个 月 来 重 新 声 明 对 这 些 I P 地 址 的 所 有 权 ， 同 时 ， 由 于 被 频 繁 地 列 入 垃 圾 邮 件 地 址 黑 名 单 ， 其 I P 地 址 全 部 被 禁 止 使 用 。 2 0 0 8 年 2 月 ， 巴 基 斯 坦 政 府 以 Y o u T u b e 有 亵 渎 神 明 内 容 为 理 由 命 令 网 络 服 务 商 封 锁 Y o u T u b e 。 巴 基 斯 坦 电 信 试 图 限 制 本 地 用 户 接 入 Y o u T u b e ， 通 过 B G P 向 香 港 电 信 盈 科 （ P C C W ） 发 送 新 的 路 由 信 息 ， 然 后 P C C W 向 国 际 互 联 网 广 播 了 这 个 错 误 的 路 由 信 息 。 但 是 ， 由 于 工 程 师 手 抖 ， 路 由 信 息 有 误 导 致 “ Y o u T u b e 断 网 ” 。 2 0 1 5 年 ， H a c k i n g   T e a m 利 用 B G P   H i j a c k 劫 持 目 标 网 络 链 路 数 据 ， 协 助 意 大 利 黑 客 团 体 的 攻 击 行 动 ， 完 成 长 期 监 控 。 2 0 1 7 年 ， G o o g l e 工 程 师 配 置 错 误 ， 意 外 劫 持 了 N T T 通 信 株 式 会 社 的 流 量 ( N T T 是 日 本 一 家 主 要 的 I S P ， 并 且 支 持 O C N 和 K D D I 两 个 小 型 的 I S P ) ， 导 致 日 本 8 0 0 万 用 户 持 续 断 网 4 0 分 钟 左 右 。 2 0 1 8 年 4 月 ， 亚 马 逊 权 威 域 名 服 务 器 遭 到 B G P 路 由 劫 持 攻 击 ， 价 值 1 7 3 0 万 美 元 E T H 被 盗 。
… … 既 然 知 道 伤 不 起 ， 为 什 么 B G P 的 安 全 性 脆 弱 依 旧 ？ 事 实 上 ， 通 信 从 业 者 多 年 来 一 直 在 试 图 加 强 B G P 协 议 的 安 全 性 。 早 在 2 0 1 8 年 ， 美 国 国 家 标 准 技 术 研 究 所 （   N I S T ） 与 国 土 安 全 部 （   D H S ） 联 合 发 布 了 第 一 份 防 范 B G P 劫 持 的 安 全 标 准 草 案 ； R O V 、 R P K I ， 包 括 最 近 的 M A N R S 等 项 目 一 直 致 力 B G P 安 全 问 题 。 然 而 ， 在 采 用 这 些 新 协 议 方 面 却 一 直 进 展 缓 慢 。 以 M A N R S 为 例 ， 成 立 已 有 6 年 之 久 ， 但 直 到 最 近 ， 主 要 的 C D N   服 务 商 和 云 计 算 公 司 亚 马 逊 、 G o o g l e 、 微 软 、 F a c e b o o k 、 A k a m a i 、 C l o u d f l a r e 、   N e t f l i x   和   V e r i S i g n 等 才 加 入 到 了 这 一 安 全 路 由 倡 议 。 而 根 据 资 料 显 示 ， 加 入 M A N R S 的 网 络 提 供 商 需 要 承 诺 执 行 过 滤 、 反 欺 诈 和 验 证 ， 利 用 多 种 方 法 阻 止 流 量 劫 持 和 路 由 攻 击 ， 并 且 与 其 他 网 络 提 供 商 进 行 协 调 合 作 。 说 到 这 里 ， 其 实 需 要 强 调 的 是 ， 网 络 运 营 商 必 须 确 保 全 局 路 由 安 全 ， 这 是 底 线 。 他 们 有 责 任 确 保 全 球 范 围 内 强 大 且 安 全 的 路 由 基 础 架 构 ， 阻 止 恶 意 行 为 和 意 外 配 置 错 误 带 来 更 大 的 影 响 。 而 这 些 问 题 是 可 以 通 过 一 些 举 措 的 落 地 而 解 决 的 ， 比 如 实 施 适 当 的 前 缀 过 滤 器 ， 保 证 其 客 户 仅 发 布 真 实 属 于 他 们 自 己 的 前 缀 ； 实 施 T T L 安 全 机 制 （ G T S M ） ， 防 止 攻 击 者 使 用 伪 造 的 数 据 包 等 。 最 后 ， B G P 的 安 全 问 题 不 止 于 此 ， 缺 乏 有 效 的 解 决 方 法 、 切 实 落 地 的 安 全 标 准 以 及 足 够 的 力 量 来 推 进 ， 让 B G P 只 能 成 为 攻 击 者 眼 中 移 动 的 靶 子 。 这 是 一 个 需 要 被 所 有 网 络 运 营 商 和 安 全 人 员 重 视 的 问 题 。 * 本 文 作 者 ： 本 文 作 者 ： k i r a z h o u ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理