Základná infraštruktúra Internetu trpí vážnou bezpečnostnou zraniteľnosťou

DSL.sk, 29.8.2008

Dvojica bezpečnostných expertov Anton Kapela a Alex Pilosov prezentovala na konferencii Defcon konanej na začiatku augusta techniku, ktorá využíva zraniteľnosť v základnej infraštruktúre Internetu a umožňuje nepozorovane monitorovať ľubovoľnú internetovú dátovú prevádzku.

Zraniteľnosť sa nachádza v spôsobe fungovania protokolu Border Gateway Protocol, BGP, ktorým si routre poskytovateľov pripojenia, tranzitných operátorov a ďalšie routre na chrbticovej sieti Internetu dynamicky vymieňajú informácie o smerovaní paketov zasielaných na jednotlivé rozsahy IP adries.

Možnosť využitia BGP na neoprávnené presmerovania dátovej prevádzky je verejne známa, dvojica prezentovala ale techniku, ktorá umožňuje presmerovanie uskutočniť prakticky nepozorovane.

Protokol BGP je založený na dôvere, keď v súčasnom stave sa nastavované pravidlá pre smerovanie často neoverujú alebo dokonca nemajú na základe čoho overiť. Pomocou oznamovania neoprávneného routovania do vlastnej siete si je tak možné väčšinou presmerovať k sebe traffic smerujúci na ľubovoľné IP aj v prípade, že IP adresy oznamovateľovi daného presmerovania nepatria.

Najväčším incidentom z poslednej doby, kedy prišlo k takémuto neoprávnenému presmerovaniu trafficu pomocou BGP, bolo presmerovanie IP adries patriacich YouTube spoločnosťou Pakistan Telecom. Detailne sme o tomto prípade informovali v tomto článku.

Presmerovanie bolo v tomto prípade náhodným incidentom, keď Pakistan Telecom omylom začal cez BGP šíriť do chrbticovej siete pravidlá, pomocou ktorých blokoval IP adresy YouTube vo vlastnej sieti. Náhodné alebo úmyselné neoprávnené presmerovanie konkrétneho rozsahu IP adries pomocou BGP sa ale ľahko identifikuje, keďže dáta smerujúce na dané IP adresy nie sú doručované do správneho cieľa. V prípade úmyselného presmerovania následne môžu jednotliví vlastníci infraštruktúry nastaviť pravidlá a vyvodiť dôsledky zabraňujúce opakovanému úmyselnému neoprávnenému presmerovaniu.

Kapela a Pilosov ale predstavili jednoduchú techniku, ktorá umožňuje presmerovať si vybrané IP rozsahy do vlastnej siete a následne ich preposlať do správneho cieľa. To by štandardne vzhľadom na spôsob fungovania BGP vďaka spôsobu voľby najkratšej cesty nemalo byť možné, keď by sa pakety vždy vrátili do siete útočníka.

Technika popísaná dvojicou v prezentácii (PDF) pridáva pre neoprávnene presmerovávaný IP rozsah do oznamovanej cesty cestu zloženú z routerov, ktorými sa na základe platného smerovania dostávajú pakety zo siete útočníka do originálneho cieľa pre dané IP adresy.

Tieto pridané routery ale podľa naznačených informácií útočníkom podvrhnuté smerovanie zrejme pre svoj výskyt v ceste nepovažujú za platné a naďalej používajú originálne platné smerovanie. Všetky ostatné routery používajú útočníkom podvrhnuté smerovanie a pakety smerujúce na daný IP rozsah zašlú do siete útočníka. Tento ich môže monitorovať alebo meniť a následne zaslať na prvý router z reťaze pridaných routerov, ktorý ich dopraví do originálneho cieľa.

Vzhľadom na dynamickú povahu BGP by v súčasnosti podobný útok zostal nepovšimnutý a bolo by ho možné uskutočniť spolu s potrebnými modifikáciami prenášaných paketov prakticky nepozorovane.

Podľa vyjadrení niekoľkých expertov tento druh útoku nie je úplne nový, keď podobné techniky v minulosti odhalili bezpečnostný expert Peiter Zatko a spoločnosť BBN Technologies a o riziku informovali americkú vládu.


Najnovšie články:



Diskusia:

A vlada Od: Zelmar | Pridané: 29.8.2008 15:09 A vlada s uspechom pouziva dane presmerovanie na svoje uchylne sledovacie chutky bez povsimnutia dodnes... Nech sa paci..dobru chut ludia. BIG brother sa nezaprie. Odpovedať Známka: 8.5 Hodnotiť:

Re: A vlada Od: Pecena klobasa | Pridané: 29.8.2008 19:44 Kazdy jeden blbec co si hovori webadmin si robi sledovanie. Odpovedať Známka: 3.3 Hodnotiť:

ze chrbticova siet Od: kominar hugomir | Pridané: 29.8.2008 15:25 zneje to smiestne radsej sa drzte povodnych pomenovani cize backbone network a nie back site Odpovedať Hodnotiť:

Re: ze chrbticova siet Od: omen | Pridané: 29.8.2008 15:33 "zneje to smiestne" prelož hotentot Odpovedať Známka: 3.3 Hodnotiť:

kolutit Od: rlolz | Pridané: 29.8.2008 15:42 Don't worry, I'm not really going to ask myself any questions Odpovedať Známka: 4.3 Hodnotiť:

Re: kolutit Od: moss | Pridané: 30.8.2008 15:14 any "personal" question ;) Odpovedať Hodnotiť:

Re: kolutit Od: rlolz | Pridané: 30.8.2008 21:35 hh, snad prvy co pochopil Ale inak je to spravne ako to je :) Odpovedať Hodnotiť:

fasda Od reg.: Kveri | Pridané: 29.8.2008 15:52 bgs navrhovali velmi davno a internet este nebol takze necudo, ze to tak navrhli Odpovedať Hodnotiť:

Re: fasda Od: ivan+ | Pridané: 29.8.2008 16:23 chcel si povedat BGP ... Odpovedať Hodnotiť:

Re: fasda Od: aleluja | Pridané: 29.8.2008 16:33 Ja rad GBP Odpovedať Hodnotiť:

Re: fasda Od reg.: Kveri | Pridané: 29.8.2008 16:49 presne tak kazdy to snad pochopil :D Odpovedať Hodnotiť:

no boze a co Od: dando1111111 | Pridané: 29.8.2008 16:41 no coze a co teraz. sak to sa vie uz davno net nikdy nebude bezpecne miesto Odpovedať Hodnotiť:

Re: no boze a co Od reg.: peeteer | Pridané: 29.8.2008 16:46 ale môj net proti komárom je dokonalý Odpovedať Známka: 7.1 Hodnotiť:

Re: no boze a co Od reg.: kane777 | Pridané: 29.8.2008 20:12 moj nie, ako som zistil.. uz aby tu bola zima :) Odpovedať Hodnotiť:

zrusit webstranky Od: q-tip | Pridané: 29.8.2008 16:51 podla mna by mali zrusit webstranky a aj vsetko ostatne, ved cely internet (filmy, hudba, hry) je na torrentoch... Odpovedať Hodnotiť:

Re: zrusit webstranky Od: nox | Pridané: 29.8.2008 17:19 ked myslis ze internet je len o tom :D:D Odpovedať Hodnotiť:

Re: zrusit webstranky Od: Lolollll | Pridané: 29.8.2008 17:21 Ty musis byt urcite z Handlovej :D lol Odpovedať Hodnotiť:

Re: zrusit webstranky Od: 193.34.69.72:27960 | Pridané: 29.8.2008 18:06 v Handlovej hendluju hendle Odpovedať Hodnotiť:

Re: zrusit webstranky Od: Rival-e | Pridané: 29.8.2008 19:46 tak toto bolo totalne, som sa narehotal :))) Odpovedať Hodnotiť:

hmmmmmm Od: exo | Pridané: 29.8.2008 17:10 Ak ti tak preza net tak sa nechaj odpojit a mas pokoj :P Odpovedať Hodnotiť:

Re: hmmmmmm Od: Bozzzz | Pridané: 29.8.2008 17:44 nie, neodpajaj sa od pristrojov, on to tak nemyslel!!vazne!! :P Odpovedať Hodnotiť:

Re: hmmmmmm Od: Bozzzz | Pridané: 29.8.2008 17:45 trapny ftip co ? Odpovedať Známka: -10.0 Hodnotiť:

Re: hmmmmmm Od: Bozzzz | Pridané: 29.8.2008 17:50 jj si trapny ftipalek, chytry ako radio… Odpovedať Známka: 2.0 Hodnotiť:

Re: hmmmmmm Od: Bozzzz | Pridané: 29.8.2008 18:12 ako radio mozem byt tak jedine mudry... klakni si do kuta a porozmyslaj nad lepsiou frazou Odpovedať Známka: 5.0 Hodnotiť:

nafukovacia Anca a John Od: Pecena klobasa | Pridané: 29.8.2008 19:45 No ale hovoria Operisti, kto nema co skryvat nech ide s webkou na pornostranku. Odpovedať Hodnotiť:

Re: nafukovacia Anca a John Od: aleluja | Pridané: 29.8.2008 21:52 predo webku nezapajam, ja len LIVE :D Odpovedať Hodnotiť:

Riziko Od: Accuphose+ | Pridané: 29.8.2008 23:28 Způsob je možná jednoduchý, ale i tak je na něj potřeba velmi mnoho výkonu.. Zpracovávání gigabajtů dat v reálném času nevidím jako reálnou věc. Jinak už aby tady byl další model internetu, který nebude bezpečný, ale o kterém to budeme vědět až za dvacet let, pak se vymyslí něco jinýho. Odpovedať Hodnotiť:

SSL tiez Od: Bwx | Pridané: 30.8.2008 13:28 ja som este presne nepochopil z toho citania, ci je toto presmerovanie a citanie nekodovanych dat mozne aj pri SSL zabezpeceni alebo je to nejaky The Man In The Midle - utok, t.j. snad odhalitelny certifikatmi, alebo je to totolne neodhalitelne, ak to v tom clanku je, len ja som to njepostrehol, sorry. Odpovedať Hodnotiť:

Re: SSL tiez Od: Accuphose+ | Pridané: 30.8.2008 15:30 Taky jsem to nestudoval detailně, ale šifrovaná data by vůbec neměly být v ohrožení myslím.. A pokud by se to mělo opravdu užívat u ISP například a skládat z toho nšjaká použitelná data, tak na to bude mít možná tak NASA prostředky.. Možná v Americe skutečně vláda sleduje provoz na celém internetu (američtí ISP) v rámci boje proti nikomu :-D U lokálního nasazení je těch možnostií celkem dost i bez BGP. Odpovedať Hodnotiť:

Pridať komentár