HighLoad++ 2017
Зал «Мумбай», 8 ноября, 15:00
Тезисы:
http://www.highload.ru/2017/abstracts/3008.html
Никогда не было и вот снова случилось! Компания Google в результате перенаправления трафика сделала недостпуными в Японии несколько тысяч различных сервисов, большинство из которых никак не связано с самой компанией Google. Однако, подобные инциденты происходят с завидной регулярностью, вот только не всегда попадают в большие СМИ. У таких инцидентов могут быть разные причины, начиная от ошибок сетевых инженеров и заканчивая государственным регулированием.
...
12. HTTPS
Идеальные условия:
• Сервер использует только HTTPS
• Все обновления безопасности установлены
• Уязвимости отсутствуют (и у клиента, и у сервера)
Полная безопасность?
13. HTTPS
Идеальные условия:
• Сервер использует только HTTPS
• Все обновления безопасности установлены
• Уязвимости отсутствуют (и у клиента, и у сервера)
Не совсем
32. BGP
Автономная система (AS) — система IP-сетей и
маршрутизаторов, управляемых одним или несколькими
операторами, имеющими единую политику маршрутизации с
Интернетом
• Автономные системы обмениваются информацией о
доступности сетей
• На основе полученной информации принимается решение
о маршрутизации
33. BGP
Проблемы:
• Маршрутизатор может отправить произвольный
анонс своим соседям
• Во многих случаях анонсы не верифицируются
BGP hijacks, BGP route leaks
39. BGP route leak: Google
Инцидент 25 апреля 2017:
• Утечка около 135к префиксов в сторону Verizon
• Трафик, предназначенный для Японии, был
направлен на серверы Google
• Недоступность многих сервисов в Японии в
течение 40 минут
40. BGP hijacking: Ростелеком
Инциденты 25-27 апреля 2017:
• Ростелеком анонсирует от себя около 50
префиксов из других автономных систем
• Трафик ряда сервисов был перенаправлен в
Ростелеком
• Среди них Visa, MasterCard, Приватбанк, Norvik Bank,
Альфа-банк, HSBC
43. «Добрый» перехват трафика
+73ms в среднем
+244ms максимально
Увеличивает вероятность потери
пакетов.
Одинаковый эффект, как от
перехвата входящего, так и
исходящего трафика
44. Мониторинг или жизнь?
•Системы сертификации уязвимы к MiTM!
•Но даже сертификат не нужен для успешной атаки…
•Перенаправление трафика пугающе просто осуществить;
•Развитие протоколов безнадежно отстает;
•Альтернативы мониторингу не существует.