«Реформа маршрутизаторов» никому не нужна

    Слабое место систем динамической маршрутизации интернет-трафика остаётся угрозой для стабильности интернета вот уже более 20 лет. За это время инфраструктуру Всемирной сети взламывали несколько раз, в каждом случае ущерб был незначительным (например, YouTube выпал из сети на пару часов в феврале 2008-го). Однако, вовсе не факт, что в следующий раз обойдётся без последствий. Агентство AP собрало мнения экспертов на эту тему. Например, генеральный менеджер компании Renesys Corporation, занимающейся мониторингов интернет-маршрутизаторов, честно говорит: «Каждый день я испытываю восхищение, когда прихожу на работу и вижу, что всё до сих пор работает».

    Суть проблемы состоит в основном принципе динамической маршрутизации, когда роутер выбирает маршрут для каждого пакета, ориентируясь на динамически адаптируемую таблицу. То есть ни один маршрутизатор не знает полного маршрута пакета, а просто отправляет пакет к ближайшему «соседу» на основании данных из динамической таблицы, которая постоянно обновляется. Малейшая ошибка в одной таблице сразу копируется в соседние маршрутизаторы и может стать фатальной.

    Такое произошло 25 апреля 1997 года, когда миллионы пользователей Северной Америки лишились доступа в интернет из-за того, что работник одного небольшого интернет-провайдера неправильно перепрошил маршрутизатор.

    Аналогичные инциденты происходили в 1998, 1999, 2001, 2004, 2005, 2006, 2008 и 2009 годах. В 2003 году администрация Буша признала проблему «жизненно важной» и приняла стратегический документ «National Strategy to Secure Cyberspace». Тем не менее, к 2010 году ничего принципиально не изменилось.

    В феврале 2008 года сайт YouTube выпал из интернета на два часа из-за того, что некий пакистанский интернет-провайдер изменил таблицу маршрутизации для этого сайта и перенаправил весь его трафик на себя. Они хотели блокировать доступ к YouTube из своей страны, но таблица маршрутизации скопировалась на остальные маршрутизаторы интернета, и никто в мире не мог попасть на сайт YouTube.

    По оценкам специалистов, сегодня около 1 млн человек в мире имеют доступ к компьютерам, использующих Border Gateway Protocol (BGP). Каждый из этого миллиона человек может внести небольшое изменение, которое отразится на работе всего интернета.

    Известный в узких кругах хакер Питер Затко (Peiter Zatko), участник хакерской группировки L0pht, ещё в 1998 году говорил, что через уязвимость в BGP он может «повалить весь интернет» за 30 минут. Сегодня Затко работает в подразделении DARPA Пентагона, но не отказывается от своих слов. Только он уточняет, что сейчас на это потребуется два часа, в связи с увеличившимся количеством маршрутизаторов.

    Интересно, что среди коммерческих фирм в глобальной реформе маршрутизаторов, по большому счёту, не заинтересован никто. Крупные провайдеры считают, что это не их проблема, и вообще сомневаются в необходимости фундаментальной реформы: это для них слишком накладно. Интернет является всеобщим достоянием и не принадлежит никому, поэтому провести такую реформу очень тяжело с организационной точки зрения, вот почему BGP останется уязвимым ещё долгие годы.

    По мнению наиболее параноидально настроенных экспертов, каждый пользователь должен проверить свой домашний телефон и убедиться в том, что он не работает через IP-сеть. Возможно, в будущем нам всё-таки придётся пережить несколько дней без интернета.
    Поддержать автора
    Поделиться публикацией

    Комментарии 30

      +20
      Как говорят — «это не баг, это фича».
      Кроме того, решение проблемы давно есть, но не все им пользуются. Нужно просто следовать routing policy и не принимать анносы от левых, не прописаных в route object'ах AS'ки.
        +17
        >взламывали
        стыд, стыд, стыд.
        не взламывали, а просто проанонсили что-то левое, а у аплинка не были корректно настроены фильтры.
        у большинства вменяемых магистралов уже давно работает фильтрация по route-object-ам, так что им какие-либо реформы точно не нужны.

          0
          Ну это в России в области влияния RIPE, а в Америке ARIN, говорят, многие плевали на эти фильтры. Исследователи вполе реальные вещи описывают исходя из своей специфики.
          Нам, типа, повезло чуть больше.
            +1
            Ну они плюют до первого неудачного анонса, который завалит чтонить нужное. Это как руки не мыть после улицы, если проносит по лёгкому то и не «парятся», а когда с дифтерией на фаянсе несколько дней сидят сразу начинают думать.
              0
              Только конечно не с дифтерией =), напутал немного.
        • НЛО прилетело и опубликовало эту надпись здесь
            –4
            пока гром не грянет, мужик не перекрестится
              –3
              «Пока жареный петух в жопу не клюнет — ничего делать не будут» Венедикт Ерофеев, «Вальпургиева ночь, или Шаги командора», 1985 г.
                0
                Наверное много таких кнопок отключения интернета. О которых мы — обычные пользователи, даже и не догадываемся.
                • НЛО прилетело и опубликовало эту надпись здесь
                    0
                    Президенты много чего говорят. Только вот политика с бизнесом может делать всё что угодно.
                    Примеры надеюсь сами додумаете.
                    0
                    Как вы это себе представляете?
                      0
                      Я себе это представляю так: если кто-то один (или какая-нибудь группа лиц) захочет, чтобы по тем или иным причинам (конечно политическим) отключился интернет, например региональный, то это произойдет.
                        0
                        Да это не проблема. Китайцы, пример, в Урумчах.
                        Технически ничего сложного, на уровне магистралов это сделать. Но ещё придётся заглушить как-то дуплексный спутник и носимые терминалы.
                          0
                          Кстати, вроде как китайцы теперь могут глушить спутники :)
                            0
                            Так же, как любую другую радио-связь. Там же УКВ. На ограниченной территории можно поставить глушилку, и никому другому не помешает.
                    0
                    Беда в том, что в самом протоколе и политиках эти баги предусмотрены. Но, к сожалению, не все им следуют и соблюдают. Если бы следовали, то и прошлогоднего инциндента можно было избежать, хотя бага была редкая, и многих других.
                      +1
                      Не принимайте посторонние анонсы от даунлинков, и станет всё хорошо.
                        0
                        ничего не станет. если в один прекрасный день ваши сети начнут анонситься из какой-нибуть банановой республики, вы хоть принимайте, хоть не принимайте эти анонсы, интернет у вас не появится.

                        в ютубе разрешили проблему за пару часов (отключением пакистан телекома, если не ошибаюсь), а сможете ли вы так же оперативно отключить источник из банановой республики)
                          0
                          Имеется в виду, что так должны делать все аплинки. Коллективная этика, однако.
                            0
                            ну, технически, пока вы им деньги не платите, ничего они вам не должны :) и если вдруг что-то случится, претензии им предъявить вряд ли получится

                            в целом ситуация получается такая, что отдельно взятый админ никоим образом не может защитить свою сеть от угрозы
                              0
                              На этом строится интернет. Если аплинк деньги с вас получает — то дальше нет. Только добрая воля и осознание полезности интерконнекта даёт связность сетей.

                              Алсо, когда жадность перевешивает добрую волю, начинается пирринговая война.
                                0
                                >Только добрая воля и осознание полезности интерконнекта даёт связность сетей.

                                вот только одна злая воля может, не особо напрягаясь, перекрыть тысячи добрых воль.
                                блин, ну когда уже террористы дорастут до этого уровня?! а то всё взрывы да письма… :)
                        –1
                        Миллион человек, которые могут повлиять на работу интернета?
                        Никаких хакеров не дано тогда, рано или поздно (я так понимаю это уже доказано)
                        просто человеческий фактор сыграет свою решающе-фатальную роль.

                        Какая безопасность, когда столько людей имеют непосредственные рычаги управления сетью?
                          +1
                          Рычаги эти чисто теоретические. Большинство деструктивных действий затронет только небольшой региональный участок сети.
                          –1
                          я думаю спасут различные IX-ы, когда заблудший пакет пойдёт по альтернативному маршруту.
                            +3
                            а при чем тут IX'ы? Вы хоть поняли суть багофичи?
                            0
                            Вообще есть и гораздо более изящные способы чем анонс чужой сети.
                            И да, BGP v4 как протокол которому уже 15+ лет и который все эти 15 лет развивался исключительно эволюцией по принципу «О! А давайте добавим 64bit ASN, но чтобы дешево было» — да он имеет целый набор проблем.

                            Если нет желания про них узнать — фильтруйте не только апдейты но и вообще трафик к вашим бордерам.

                            И да, из этих 15+ лет, как минимум 10, много-много людей знает о проблемах в BGPv4. Время-от времени появляются волны интереса общественности (после очередного громкого факапа как правило)…

                            И все продолжают ждать петуха.
                              0
                              имхо, пока аль-каида (ну или ещё кто-нибуть) не подсуетится, всё так останется
                                0
                                The Register: Glitch diverts net traffic through Chinese ISP

                                The bad networking information originated from IDC China Telecommunication and was soon retransmitted by China's state-owned China Telecommunications. ISPs including AT&T, Level3, Deutsche Telekom, Qwest Communications and Telefonica soon incorporated the data into their tables as well, IDG said.
                                As a result, routing information for 32,000 to 37,000 networks was affected, potentially causing them to be redirected through IDC China instead of their path. Some 8,000 of the networks were located in the US, including those operated by Dell, Apple, CNN, and Starbucks. Networks in Australia, China and elsewhere were also affected.

                                At the 2008 Defcon hacker conference in Las Vegas, researchers demonstrated a BGP attack that allowed them to redirect traffic bound for the conference network to a system they controlled in New York. Also in 2008, large chunks of the internet lost access to YouTube when BGP tables inside Pakistan spread to other countries.

                                Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

                                Самое читаемое