Комментарии 4
Получается, только сплошной mtls с прибитым гвоздями списком доверенных CA нас спасёт?
не только:) и не обязательно так радикально.
Проблема в этом конкретном случае в том, что единственным 🔓 оказался канал доставки. Если обновления подписаны отдельным ключом, который не зависит от сертификата домена, перехват трафика и выпуск сертификата уже не дают атакующему возможности подсунуть вредоносный пакет.
На уровне BGP – спасет механизм ASPA.
Описанный случай интересен тем, что стандартный метод защиты от BGP-перехватов (ака BGP Hijacks) – RPKI ROA не помог. Не сработал он так как злоумышленником был аккуратно подделан AS_PATH и анонсирующая система выглядела корректно для Prefix Origin проверок (POV). Механизм ASPA как раз должен защитить от таких подделок пути.
Тоесть для полной защиты нужно внедрять и RPKI POV-проверки и ASPA.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Число BGP‑инцидентов в мире резко выросло в 3 квартале 2 026 года