यातायात के अपहरण के अवसरों को खत्म करना

^{बीजीपी कनेक्शन के लिए सुंदर योजना Qrator फ़िल्टरिंग नेटवर्क के लिए}

थोड़ा ऐतिहासिक अवलोकन

• बीजीपी हाईजैक - जब एक आईएसपी पता स्थान का एक विज्ञापन बनाता है जो इसके लिए नहीं है;
• बीजीपी मार्ग लीक - जब एक आईएसपी एक प्रदाता या सहकर्मी से दूसरे प्रदाता या सहकर्मी को प्राप्त उपसर्ग का विज्ञापन करता है।

इस सप्ताह यह यादगार YouTube BGP घटना के 11 साल हो गए हैं, जो कि एक अधिक विशिष्ट उपसर्ग घोषणा के वैश्विक प्रसार से उकसाया गया है, जो कि पाकिस्तान टेलीकॉम द्वारा उत्पन्न किया गया है, वैध से पुनर्वितरण ट्रैफ़िक के रूप में लगभग 2 घंटे की अवधि में यातायात व्यवधान के लिए अग्रणी है। बोगस एक के लिए पथ। हम अनुमान लगा सकते हैं कि क्या यह घटना जानबूझकर की गई थी, और यहां तक ​​कि एक सही उत्तर हमें ऐसी घटनाओं को पूरी तरह से रोकने में मदद नहीं करेगा। जब आप इसे पढ़ते हैं, तो नेटवर्क पर मार्ग रिसाव या अपहर्ता फैल रहा है। क्यों? क्योंकि बीजीपी आसान नहीं है, और एक सही और सुरक्षित सेटअप को कॉन्फ़िगर करना और भी कठिन (अभी तक) है।

इन ग्यारह वर्षों में, बीजीपी अपहरण आधुनिक इंटरनेट की वास्तुकला में बीजीपी विस्थापन के कारण काफी हानिकारक हमले वेक्टर बन गया। बीजीपी के लिए धन्यवाद, राउटर न केवल सहकर्मी जानकारी प्राप्त करते हैं, और इसलिए सभी इंटरनेट मार्ग - वे कई मध्यवर्ती (पारगमन) नेटवर्क के माध्यम से अपने गंतव्य के लिए यातायात के लिए सबसे अच्छे मार्ग की गणना करने में सक्षम हैं, प्रत्येक एक व्यक्तिगत एएस का प्रतिनिधित्व करते हैं। एकल AS केवल IPv4 और / या IPv6 नेटवर्क का एक समूह है जो एक एकल बाह्य रूटिंग नीति के तहत काम करता है।

और इसके वर्तमान राज्य हमलावरों में बीजीपी के लिए धन्यवाद, यातायात के बड़े पैमाने पर वारिसों का संचालन करने में सक्षम हैं, कुशलता से लक्ष्य नेटवर्क के उपसर्गों को अपहरण कर रहे हैं, खुद को बीच में रखते हैं। और यह सिर्फ शुरुआत है - राज्य-प्रायोजित साइबर अभिनेताओं के युग में, यह स्पष्ट है कि सीमा गेटवे प्रोटोकॉल का कीस्टोन, जो विश्वास है, अब रूटिंग घटनाओं, दुर्भावनापूर्ण या नहीं होने के दुर्भावनापूर्ण प्रकोप को रोकने के लिए पर्याप्त नहीं है। । चूंकि बीजीपी इंटरनेट के अस्तित्व में इतनी महत्वपूर्ण भूमिका निभाता है जैसा कि हम जानते हैं (यह दुनिया भर में विभिन्न इंटरनेट सेवा प्रदाताओं के बीच यातायात के प्रवाह को नियंत्रित करने के लिए केवल बाहरी प्रवेश द्वार प्रोटोकॉल है), एक दशक के लिए हमने पैच करने का प्रयास देखा है बातें।

अंक परिभाषा

बीजीपी प्रोटोकॉल के साथ काम करने वाले एएस के प्रबंधन की समग्र जटिलता समय और प्रयास के साथ कम नहीं होती है। विकासशील बाजारों में, जहां आईएसपी और वाहक बाजार प्रत्येक वर्ष नाटकीय रूप से विकसित होते हैं, अनुचित रूप से ट्यून किए गए एएस के संभावित परिणामों का सही अनुमान नहीं लगाते हैं। कोई भी सुरक्षा उपाय ऐसी आंतरिक गलती से बचाव नहीं कर सकता है। बीजीपी के भीतर स्वचालितकरण की अनुपस्थिति नए खिलाड़ियों के लिए असंभव है, कम अनुभव के साथ, उच्च तनाव की स्थिति में एएस को ठीक से संभालने के लिए, जैसे कि मार्ग रिसाव निर्माण के बाद या अपहरण के तहत।

दुर्भाग्य से, मानव जीवन में जगह है कि इंटरनेट पर कब्जा कर लिया क्योंकि यह कई एएस ऑपरेटरों के लिए बढ़ती संख्या के साथ रखने के लिए कठिन है। सरल उदाहरण: 1997 में स्वायत्त प्रणाली की संख्या 3000 थी, 2005 में - 17000, 2019 की शुरुआत में - 63678. रूटिंग टेबल (जो बीजीपी राउटर्स के भीतर संग्रहीत हैं) 1997 में 50k प्रविष्टियों से बढ़ी, और 2005 में 180k से 850k तक आश्चर्यजनक 2019 की शुरुआत में।

मार्ग लीक और हाईजैक दोनों का ISP ऑपरेशन पर समान प्रभाव पड़ता है - वे यातायात को पुनर्निर्देशित करते हैं, जिसके परिणामस्वरूप विलंबता, पैकेट हानि, या संभावित MITM हमले होते हैं। हालांकि, जोखिम का स्तर इन बीजीपी विसंगतियों के प्रसार पर काफी निर्भर करता है। उदाहरण के लिए, केवल ग्राहकों के लिए प्रचारित एक अपहरण एक विशेष आईएसपी के ग्राहक शंकु के ट्रैफ़िक को केंद्रित कर सकता है। यदि विसंगति साथियों, अपस्ट्रीमों के माध्यम से फैली हुई है, या टियर -1 नेटवर्क तक पहुंचती है, तो इस प्रकार विश्व स्तर पर वितरण, यातायात पूरे देशों और / या वैश्विक प्रदाताओं के स्तर पर पुनर्निर्देशित हो सकता है। बीजीपी विसंगतियों के प्रसार की क्षमता अपस्ट्रीम और साथियों के लिए, विसंगति के स्रोत से समर्थन की आवश्यकता के बिना (जो महत्वपूर्ण है यदि किसी स्रोत में दुर्भावनापूर्ण इरादा है), तो अंतर-डोमेन रूटिंग की सुरक्षा में काफी सुधार करना चाहिए और अधिकांश समस्याओं को हल करना चाहिए। ।

केवल "बीजीपी अपहरण" के रूप में संबंधित विकिपीडिया उद्धृत घटनाओं पर एक त्वरित नज़र डालकर, हम पिछले दो वर्षों में उनकी आवृत्ति में वृद्धि देखते हैं। क्यों? क्योंकि बीजीपी पर हमले का आयोजन करने के कई तरीके हैं और डिस्कनेक्ट होने की बहुत कम संभावना है। फिर भी, जिन कंपनियों को बुरे अभिनेताओं के रूप में जाना जाता है, वे अंत में अपने अपस्ट्रीम कनेक्शन खो रहे हैं, क्योंकि यह प्रतिष्ठा को नुकसान पहुंचाता है। और फिर भी, इस तरह की घटनाएं तब से होती हैं जब तक 100% सटीकता के साथ मार्ग रिसाव या एक उपसर्ग अपहरण को रोकने का कोई तरीका नहीं है।

रोजाना सैकड़ों रूटिंग घटनाएं होती हैं, जिनमें से अधिकांश एक साधारण गलतफहमी का परिणाम है। वास्तव में खतरनाक और दुर्भावनापूर्ण अपहर्ता आमतौर पर भ्रामक और सटीक रूप से लक्षित होते हैं, जो उन्हें खोजने के लिए, और ठीक करने के लिए कठिन बनाता है। और उनमें से केवल एक छोटे प्रतिशत को मीडिया कवरेज मिला क्योंकि बीजीपी की प्रकृति के कारण हर घटना को नोटिस करने के लिए अधिक महत्वपूर्ण (राष्ट्रव्यापी) स्तर पर प्रचारित करना पड़ता है - और जो कंपनियां अपने नेटवर्क की निगरानी करती हैं, वे इस तरह के प्रचार को रोक सकती हैं।

चूंकि बीजीपी अपहरण की अवधारणा एक आईएसपी का पता लगाने के इर्द-गिर्द घूमती है, जो बीजीपी की घोषणा नहीं कर रही है (और ऐसे प्रदाताओं के बहुत सारे हैं), हमेशा एक संदिग्ध होता है। पिछले दो वर्षों से प्रत्येक और हर बीजीपी घटना के लिए, एक या कई विशिष्ट एएसई जिम्मेदार थे।

आपको यह सोचना चाहिए, कि आधुनिक जीवन व्यवसायों के इतने महत्वपूर्ण हिस्से को संपार्श्विक क्षति की इतनी बड़ी संभावना के कारण मौत से डरना चाहिए और उन सभी उपायों को लेना चाहिए, जो पहली बार में ऐसी घटनाओं को रोक सकते हैं। खैर, यह सच है IRL होने के लिए बहुत अच्छा लगता है।

2018 के अंत में, आईपीवी 4 में ट्रांजिट आईएसपी के 7% और आईपीवी 6 रूटिंग दुनिया में 1% ट्रांजिट आईएसपी ने अपने ग्राहक शंकु के बाहर लीक को स्वीकार किया। आप कह सकते हैं कि संख्या इतनी अधिक नहीं है, लेकिन आइए "आकार" द्वारा हल किए गए परिणामों पर करीब से नज़र डालें:



आश्चर्यजनक रूप से, सभी टीयर -1 एस प्रभावित हैं, जिनमें टॉप 400 आईपीवी 4 आईएसपी के 50% से अधिक हैं। IPv6 थोड़ा स्वस्थ दिखता है, बस यह मत भूलो कि इसमें कम उपसर्ग और ISPs का समर्थन है। तो समस्या मौजूद है और कुशलता से पर्याप्त रूप से तय नहीं की जा रही है - हम समझाने की कोशिश करेंगे, क्यों।

एक पैच लगाने का प्रयास

दरअसल, बीजीपी सुरक्षा में सुधार के लिए एक महत्वपूर्ण प्रयास किया गया है। वर्तमान में, इंटरनेट रूटिंग रजिस्ट्रियों डेटा पर निर्मित, इनग्रेस (इनबाउंड) फिल्टर का उपयोग करने के लिए सबसे आम तकनीक है। यह विचार सरल है: ग्राहक लिंक पर फ़िल्टर बनाने के लिए "स्वीकृत" मार्ग ऑब्जेक्ट और AS-SET का उपयोग करें। एक अंतर्निहित समस्या यह है कि AS-SET और रूट ऑब्जेक्ट दोनों एक IRR से दूसरे में भिन्न होते हैं, और कभी-कभी अलग-अलग IRR में समान पहचानकर्ता के साथ अलग-अलग ऑब्जेक्ट मौजूद हो सकते हैं। और, बेशक, आईआरआर नीतियां अनिवार्य नहीं हैं - वे लागू करने के लिए स्वैच्छिक हैं, हमें ऐसी स्थिति में ले जा रहे हैं जहां बहुत सारे आईपीवी 4 और आईपीवी 6 में कोई भी वस्तु पंजीकृत नहीं है, या उन्हें गलत है। उन गलत लोगों के अलावा। तो आईआरआर की बहुत सारी वस्तुएं खराब बनी हुई हैं, और यहां तक ​​कि कुछ विशाल टियर -2 स्तर के नेटवर्क अपने फिल्टर को ठीक से कॉन्फ़िगर करने में विफल रहते हैं।


^{RPKI संसाधन प्रमाणपत्र पदानुक्रम}

अनुचित घोषणाओं को फ़िल्टर करने के लिए एक और रोमांचक विकल्प मौजूद है - आरओए-आधारित मूल मान्यता का उपयोग आकस्मिक गलत-उत्पत्ति का पता लगाने और फ़िल्टर करने के लिए किया जा सकता है। हालांकि ये बीजीपी अपग्रेड काफी उपयोगी हैं, फिर भी वे ट्रांसएक्टिव बीजीपी विशेषताओं - एएस_पैथ पर भरोसा करते हैं, जो हमलावर कर सकते हैं और हेरफेर करेंगे।

RPKI (ROA नींव) संसाधन प्रमाणपत्रों के पदानुक्रम पर आधारित है, जो इंटरनेट नंबर संसाधन आवंटन संरचना से जुड़ा है। संसाधन प्रमाण पत्र, उदाहरण के लिए, RIPE NCC पंजीकरण से जुड़ा हुआ है। इसका कारण यह है कि जब तक कोई व्यक्ति RIPE NCC सदस्य है और RIPE NCC के साथ एक संविदात्मक संबंध है, तब तक यह आधिकारिक रूप से कहा जा सकता है कि एक व्यक्तिगत इंटरनेट नंबर संसाधन का धारक कौन है। प्रमाण पत्र की वैधता 18 महीने है, लेकिन यह प्रत्येक 12 महीनों में स्वचालित रूप से नवीनीकृत हो जाता है। RPKI को इस तरह से संरचित किया जाता है ताकि प्रत्येक वर्तमान संसाधन प्रमाणपत्र वर्तमान संसाधन आवंटन या असाइनमेंट से मेल खाए - एक महत्वपूर्ण क्षण, पीपीए के लिए भी।

कई उल्लेखनीय घटनाओं के साथ बीजीपी सुरक्षा के लिए 2018 एक महत्वपूर्ण वर्ष था। बीजीपीएससी आखिरकार एक मानक है, हालांकि कोई भी इसकी जटिल समर्थन आवश्यकताओं के कारण इसे पूरी तरह से लागू करने की उम्मीद करता है। 100% गोद लेने की दर पर, BGPSec बहुत उच्च परिशुद्धता के साथ दुर्भावनापूर्ण अपहरण का हल करता है, लेकिन सख्त क्रिप्टोग्राफ़िक AS_Path सत्यापन की गणना लागत अधिकांश खिलाड़ियों के लिए असहनीय है, सिवाय इसके कि शायद दुनिया में सबसे अमीर एएस ऑपरेटर। और, फिर से - उचित रूप से काम करने के लिए बीजीपीएससी को प्रत्येक नेटवर्क पर लागू करने की आवश्यकता है जो अपने स्वयं के मार्ग की घोषणा कर रहा है।

हाल की सभी घटनाओं से यह स्पष्ट होता है कि बीजीपी हेरफेर जिन्न बोतल से बाहर है, जिससे किसी की इच्छा पूरी होती है। हम 10 साल पहले एक निष्कर्ष पर आने के लिए एक और दशक का इंतजार नहीं कर सकते हैं - इसे अब रोक दिया जाना चाहिए, उपसर्ग सत्यापन के लिए प्रभावी तकनीकी उपाय प्रदान करके, दोनों को निगलना, और बाहर निकालना।

ASPA दृष्टिकोण

पहले, हमारी कंपनी ने त्रुटियों और त्रुटियों को कम करने पर प्रोटोकॉल सुधारों को लक्षित किया और 2018 में हमने दुर्भावनापूर्ण गतिविधि से लड़ने पर ध्यान केंद्रित किया - विशेष रूप से बीजीपी रिजेक्स। यह वेक्टर शक्तिशाली है क्योंकि हमने पहले ही कई अवसरों पर देखा है, और हमलावर इसे सेवा को बाधित करने या उपयोगकर्ता डेटा को चोरी करने के प्रयासों में नियोजित करने में संकोच नहीं कर रहे हैं। मुख्य समस्या यह है कि, निगरानी के अलावा, वर्तमान में प्रोटोकॉल में ही पथ अपहरण को रोकने के लिए कुछ भी नहीं है। जैसा कि हम पहले ही बता चुके हैं, बीजीपीएससी तब तक कुछ नहीं बदलेगा जब तक इसे सबसे महत्वपूर्ण नेटवर्क प्रदाताओं (या, नेटवर्क के बहुमत पर, रीफ़्रैशिंग) पर लागू नहीं किया जाता है, जो प्रोटोकॉल के उपयुक्त होने पर पहले ही हो सकता था।

हमारा जवाब हैकर दृष्टिकोण है - एएसपीए, जहां बीजीपी रूटिंग की दुनिया में सबसे गंभीर समस्याओं से लड़ने के लिए वर्तमान उपकरणों का उपयोग किया जाता है। कार्यान्वयन आसान है, हालांकि परिणामी समाधान लगभग सभी संबंधित खतरों का जवाब देता है। यह तथ्य कि पूर्ण ASPA अपनाने के लिए प्रतीक्षा करने की कोई आवश्यकता नहीं है, हमारे दृष्टिकोण का समर्थन करने का मुख्य कारण है। 2018 में हमने महत्वपूर्ण रूट लीक, गंभीर अपहर्ताओं और बीजीपी को शामिल करने वाली कई अन्य घटनाओं को देखा, जो मुख्य कारण है कि हमें बीजीपीएससी कार्यान्वयन के लिए 10 साल की प्रतीक्षा किए बिना निकटतम महीनों में काम करने वाली कुछ चीज़ों को खोजने की आवश्यकता है।

बीजीपी प्रोटोकॉल में स्वायत्त प्रणाली पथ प्राधिकरण सुधार जो हमारे इंजीनियर काम कर रहे हैं, दूसरों के सहयोग से, कुशलतापूर्वक और अधिक महत्वपूर्ण रूप से, जल्दी से वैश्विक हाईजैक समस्या को हल कर सकते हैं। ASPA दुर्भावनापूर्ण अपहरणकर्ताओं (ROA के साथ जोड़ी में) और मार्ग लीक का पता लगाने और रोकथाम को स्वचालित करने पर केंद्रित है।

इस विशिष्ट लक्ष्य को प्राप्त करने के लिए, एक नया AS_PATH सत्यापन प्रक्रिया परिभाषित की गई है, जो घोषणाओं में स्वतः ही विकृत AS_PATH का पता लगाने में मदद करती है जो ग्राहकों और साथियों दोनों से प्राप्त होती हैं। यह प्रक्रिया स्वयं ग्राहक-से-प्रदाता (C2P) रिश्तों के एक साझा हस्ताक्षरित डेटाबेस का उपयोग करती है, जिसे एक नई RPKI वस्तु - स्वायत्त प्रणाली प्रदाता प्राधिकरण (ASPA) के साथ बनाया जा रहा है। यह लागू होने के ठीक बाद, अमान्य AS_PATH का पता लगाने के लिए हल्का और तेज़ है।

ASPA डिजिटल रूप से हस्ताक्षरित ऑब्जेक्ट होते हैं, जो यह प्रमाणित करते हैं कि ग्राहक AS धारक (CAS) ने ग्राहक के IPv4 या IPv6 BGP मार्ग घोषणाओं को प्रचारित करने के लिए एक विशेष प्रदाता AS (PAS) को अधिकृत किया है - प्रदाता की अपर्म्स या साथियों को। विवरण में गहरा गोता लगाने के लिए, आपको एएसपीए रिकॉर्ड प्रोफ़ाइल पर एक नज़र डालनी चाहिए।

इसलिए यदि किसी ग्राहक या वैध से कोई वैध मार्ग प्राप्त होता है तो उसके AS_PATH में केवल C2P जोड़े होने चाहिए। अगर हमारे पास ग्राहक-से-प्रदाता जोड़े का एक मान्य डेटाबेस है, तो हम ग्राहकों और साथियों से प्राप्त मार्गों को सत्यापित करने में सक्षम हैं! बेशक, यह एक चांदी की गोली नहीं है - यह केवल एक उपयोगी उपकरण है जो इसके मूल के करीब फैलने वाले विसंगति को रोकने के लिए है।



यह सरल योजना दिखाती है कि इस तरह के ASPA- आधारित सत्यापन कैसे काम करते हैं। ग्रीन एसेस हस्ताक्षरित जोड़े का प्रतिनिधित्व करते हैं, और लाल हमलावर का प्रतिनिधित्व करता है। इस उदाहरण में, AS1 के स्थान पर RPKI ROA ऑब्जेक्ट है।

AS_PATH: AS4
कॉर्नर 1 से पता चलता है कि यदि AS_PATH में निकटतम AS रिसीवर का पड़ोसी ASN नहीं है, तो प्रक्रिया "अमान्य" परिणाम के साथ रुक जाती है। इसके अलावा, अगर AS_SEQ खंडों में से एक में "अमान्य" जोड़ी है, तो प्रक्रिया भी परिणाम "अमान्य" के साथ रुक जाती है;

AS_PATH: AS4 AS1
कॉर्नर 2 से पता चलता है कि अगर हमलावर ने एक नया असंबद्ध जोड़ी बनाने की कोशिश की तो परिणाम भी "अमान्य" होगा;

AS_PATH: AS4 AS2 AS1
कॉर्नर 3 दिखाता है कि एक अमान्य जोड़ी की घोषणा करने का कोई भी प्रयास "अमान्य", और इसलिए गिरा दिया जाएगा, मार्ग।

AS_PATH: AS2 AS1
अंतिम कोने 4 में , हम प्रारंभिक स्थिति में वापस आ जाते हैं जिसके तहत यदि AS_PATH में निकटतम AS रिसीवर का पड़ोसी ASN नहीं है, तो ऐसी प्रक्रिया को "अमान्य" के रूप में रखा जाता है।

AS_PATH सत्यापन प्रक्रिया पर गहराई से विवरण संबंधित IETF ड्राफ्ट के भीतर पाया जा सकता है। यह थोड़ा जटिल लग सकता है, लेकिन यह हल्का है, मौजूदा RPKI बुनियादी ढांचे पर काम करता है और आंशिक रूप से अपनाने, लागत प्रभावी होने की स्थिति में प्रभाव लाता है। दूसरे शब्दों में, यह अब काम कर सकता है, जिससे हमें बीजीपी मार्ग लीक और हाइजैक को विलुप्त होने के कगार पर लाने में मदद मिलेगी!

आप बीजीपी सुरक्षा को बेहतर बनाने में हमारा समर्थन क्यों करें

हम कैसे जानते हैं, सबसे पहले, कि RPKI ROA इस भूमिका के लिए उपयुक्त है? आइए इसके गोद लेने के मौजूदा आंकड़ों पर करीब से नज़र डालें।

938526 उपसर्गों के लिए IPv4 में, 95272 में RPKI ROA प्रविष्टियाँ या ~ 10% वैध हैं। 80480 उपसर्गों के लिए आईपीवी 6 दुनिया में 10593 में आरपीकेआई आरओए प्रविष्टियां या ~ 12% वैध हैं

वे अंक उतने अधिक नहीं होते जितने कि हम चाहते हैं, लेकिन वे हर दिन बढ़ते हैं! चूंकि वैध आरओए की संख्या बहुत बड़ी नहीं है, इसलिए यह स्पष्ट है कि केवल वही जिम्मेदार हैं जो उन्हें दैनिक रूप से बनाए रखते हैं। और यद्यपि हम पूरी तरह से आईआरआर डेटा पर भरोसा नहीं करते हैं, आरओए के साथ बीजीपी घोषणा पर हस्ताक्षर करना पहले से ही उपयोगी और स्थान पर है। इंटरनेट एक्सचेंज ऑपरेटरों के साथ-साथ पूरे विश्व में सबसे बड़े इंटरनेट सेवा प्रदाताओं के बीच प्रगति है। और "साधारण इंटरनेट उपयोगकर्ताओं" के बारे में - यदि आपका डेटा सुरक्षित रखने के लिए पर्याप्त प्रेरित किया जाए तो आपका खुद का आईएसपी अगला हो सकता है।

यदि आप ट्रैफ़िक अपहरण के अवसरों को समाप्त करने में रुचि रखते हैं, तो हम ROAT पर हस्ताक्षर करते हैं, और IETF मेलिंग सूची में ASPA गोद लेने का समर्थन करते हैं, क्योंकि हम आशा करते हैं कि यह भविष्य में RFC चरण में इसके RFC चरण में परिवर्तित हो जाएगा!