- PVSM.RU - https://www.pvsm.ru -

Попытка использования BGP для захвата трафика DNS сервиса 1.1.1.1

Сервис BGPMon зафиксировал [1] попытку подстановки фиктивного BGP-маршрута для перенаправления трафика подсети 1.1.1.0/24, в которой находится созданный компанией Cloudflare общедоступный DNS-сервер [2] с поддержкой DNS-over-TLS и DNS-over-HTTPS.

image

Трафик был направлен в автономную систему AS58879 [3], анонсировавшую префикс 1.1.1.0/24 для своей сети. Сеть принадлежит китайскому провайдеру AnchNet:

AS58879

AS58879
Country: CN
Registration Date: 2013-03-22
Registrar: apnic
Owner: ANCHNET Shanghai Anchang Network Security Technology Co.,Ltd., CN

Один из AnchNet поделился [4] информацией, что компания-провайдер объяснила инцидент ошибкой при тестировании оборудования — по их версии, администраторы использовали префикс 1.1.1.0/24 в качестве тестового, не предполагая, что эта подсеть принадлежит CloudFlare и используется для публичного DNS-сервисов.

Некоторые участники обсуждения не верят [5] подобному объяснению (маловероятно, чтобы администратор крупного ISP совершил столь грубую ошибку при выборе адреса для тестирования) и считают, что инцидент является следствием оплошности при попытке организации перехвата трафика 1.1.1.1 на территории Китая в рамках деятельности "Великого китайского файрвола [6]". С другой стороны, перехвата префикса 1.0.0.0/24 (второй адрес DNS-сервиса CloudFlare — 1.0.0.1) зарегистрировано не было.

Вопросы, которые сегодня можно задать в связи с этим, очевидны: насколько хорошо современный интернет способен сопротивляться такого рода атакам, и не следует ли переходить на использование криптопротоколов во всем, даже при передаче совсем безобидных, на первый взгляд, данных? При этом надо хорошо понимать, что даже зашифрованный трафик может дать наблюдающему его некоторую информацию: например, он увидит адрес источника трафика, и интенсивность потока данных, а это данные, которые можно проанализировать и как-то использовать в дальнейшем.

Автор: achekalin

Источник [7]


Сайт-источник PVSM.RU: https://www.pvsm.ru

Путь до страницы источника: https://www.pvsm.ru/informatsionnaya-bezopasnost/281351

Ссылки в тексте:

[1] зафиксировал: https://bgpstream.com/event/138295

[2] общедоступный DNS-сервер: https://habr.com/post/352654/

[3] AS58879: https://bgpview.io/asn/55994

[4] поделился: https://news.ycombinator.com/item?id=17179484

[5] не верят: https://news.ycombinator.com/item?id=17179561

[6] Великого китайского файрвола: https://ru.wikipedia.org/wiki/%D0%97%D0%BE%D0%BB%D0%BE%D1%82%D0%BE%D0%B9_%D1%89%D0%B8%D1%82

[7] Источник: https://habr.com/post/412659/?utm_campaign=412659