211service.com
La crepa apparentemente irrisolvibile nella spina dorsale di Internet
È incredibilmente facile attaccare la spina dorsale di Internet per bloccare l'accesso a un importante servizio online come YouTube o per intercettare comunicazioni online su vasta scala.
Così affermano i ricercatori di sicurezza che cercano di spingere il loro settore a fare qualcosa per le debolezze di vecchia data nel protocollo che risolve come instradare i dati attraverso le diverse reti che compongono Internet. Quasi tutta l'infrastruttura che esegue quel protocollo non utilizza nemmeno una tecnologia di sicurezza di base che renderebbe molto più difficile bloccare o intercettare i dati.
La tecnologia è disponibile: il problema è che non la stiamo utilizzando, ha affermato Wim Remes, manager dei servizi strategici presso la società di sicurezza Rapid7, in un discorso al Conferenza sulla sicurezza di Black Hat mercoledì a Las Vegas. C'è una probabilità limitata di questi attacchi, ma l'impatto una volta che si verificano è enorme.
Il punto debole risiede nel protocollo del gateway di confine, o BGP. I router di grandi dimensioni gestiti da provider di servizi Internet e grandi aziende utilizzano BGP per capire come ottenere dati tra luoghi diversi. Ciascuno di questi principali router si rivolge ad altri come lui, quelli gestiti da altre società, per le informazioni di cui ha bisogno per inviare i dati a destinazione in modo più efficiente. Le aziende che gestiscono i router scelgono manualmente di quali altri router si fideranno.
Sfortunatamente, BGP non ha meccanismi di sicurezza integrati che consentano ai router di verificare le informazioni che stanno ricevendo o l'identità dei router che le forniscono. Cose molto brutte possono accadere quando i router diffondono informazioni errate su come instradare i dati, intenzionalmente o meno.
Quel problema è noto da decenni. Era la base dell'affermazione del gruppo di hacker L0pht del 1998 davanti al Congresso che avrebbero potuto eliminare Internet in 30 minuti. Ma gli incidenti che hanno messo in luce i difetti di BGP hanno spinto alcune società di sicurezza a prenderlo più sul serio.
Nel 2013, la società di sicurezza Renesys ha osservato diversi casi in cui il traffico Web degli Stati Uniti era inspiegabilmente deviato attraverso la Bielorussia e l'Islanda , in quello che potrebbe essere stato un attacco uomo nel mezzo progettato per intercettare di nascosto i dati. Nel giugno di quest'anno, un ISP malese ha configurato in modo errato i suoi router e ha causato la convergenza del traffico da tutto il mondo sulla sua rete, causando ore di interruzioni o prestazioni lente per servizi tra cui Snapchat, Skype e Google. Artyom Gavrichenkov, ricercatore della società di sicurezza Qratore , ha mostrato a Black Hat come manipolare BGP per ottenere un certificato di sicurezza a nome di un determinato sito Web senza autorizzazione, rendendo possibile la sua rappresentazione e decrittografare il traffico protetto.
Remes di Rapid7 afferma che le aziende che gestiscono l'infrastruttura BGP non stanno prendendo i rischi di tali problemi abbastanza sul serio. Una tecnologia chiamata RPKI può essere utilizzata per fornire ai router un modo per verificare che le informazioni che ricevono dagli altri siano valide. Ma solo 16 dei siti più visitati al mondo lo hanno implementato e Facebook è l'unico sito tra i primi 10 ad averlo fatto, ha affermato.
Andree Toonk, manager dell'ingegneria di rete presso OpenDNS, una società di sicurezza recentemente acquisita da Cisco Systems, afferma che anche un'ampia adozione di RPKI andrebbe solo in qualche modo ad affrontare i rischi di BGP perché è possibile aggirarlo. Risolve il 90 percento del problema, ma non è infallibile, ha detto.
Nel suo discorso al Black Hat di giovedì, Toonk ha pianificato di descrivere un sistema di sonde che ha installato in tutto il mondo per tracciare l'attività dei router BGP. OpenDNS lancerà una sorta di sistema di allerta pubblico che trasmetterà preoccupanti cambiamenti nelle rotte dei dati tramite Twitter .