Um galego no Império Pequeno

Além da linha inimiga

August 28th, 2008 at 8:58 am

Revelado o maior burato de segurança de internet

Dous investigadores de segurança informática venhem de demonstrar umha técnica para interceptar tráfego de maneira quase indetectável. A técnica, do tipo man-in-the-middle, utiliza o protocolo BGP para desviar tráfego de qualquer parte do mundo face a estaçom de monitorizaçom e depois envia-o, modificado ou nom, ao seu destino.

Peter Zatko, um dos investigadores, declarou: “É um grande problema. Quanto menos como o de DNS, ou pior”. Peter Zatko é um ex-membro do grupo L0pht e no 1998 testificou ante o congresso dos Estados Unidos dizendo que poderia deter totalmente Internet em 30 minutos mediante um ataque BGP. Tamém deu aulas a agências de inteligência sobre a possível utilizaçom de BGP para monitorizar tráfego remoto sem necessidade de colaboraçom por parte de nengum ISP…

A técnica descrita intercepta o tráfego por endereço de destino, e nom sempre é possível desviar tráfego interno dum ISP. O protocolo BGP mantém tabelas de rotas para encontrar a mais curta até o seu destino. Mas as rotas estam baseadas nas máscaras de rede e a mais restritiva (a mais específica) ganha. Para interceptar o tráfego, o único que tem que fazer um atacante é publicar um rango de IPs mais pequeno que o que está a publicar o seu dono legítimo. A publicaçom propaga-se em minutos a todo o mundo e o atacante começa a receber dados destinados aos rangos IPs publicados.

Se só fizera isto seria facilmente detectável, porque o tráfego “desapareceria” face outra rede no canto de chegar ao seu destino. Isto é mais ou menos o que passou este ano quando um ISP do Paquistão desviou por erro todo o tráfego dirigido a YouTube face endereços inexistentes. Logicamente foi rapidamente detectado.

O novo desta técnica é a capacidade de poder redirigir o tráfego ao seu destino final depois de ser interceptado, algo que normalmente nom seria possível porque as tabelas BGP fariam que o tráfego voltasse ao atacante. Mas empregando outra capacidade do protocolo BGP chamada “AS path prepending”, permite escolher alguns routers para que nom aceitem a publicaçom BGP maliciosa feita pelo atacante e conseguir desse jeito que tenham as tabelas BGP originais. Depois envia-se o tráfico através destes routers e chegará correctamente ao destino. Desta maneira ninguém nota nada.

En todo este processo nom se aproveita vulnerabilidade nenhuma, nem erro de protocolo, nem erro de software. Simplesmente se tira proveito da arquitectura BGP que está basaeda na confiança mútua.

Stephen Kent e os seus companheiros de BBN Technologies, desenvolverom Secure BGP (SBGP), que precisa que cada router BGP assine digitalmente todas as suas rotas publicadas com umha clave privada. Isto evitaria o desvio mal intencionado de tráfego, mas por desgraça os routers actuais nom tenhem nem a memória nem a capacidade de processamento para gerar e validar assinaturas, pelo que umha implementaçom massiva de SBGP implicaria o troco de todos os routers implicados, algo que nem os ISP nem os fabricantes de routers tenhem intençom de fazer pelo momento.

Fonte

-

Comments are closed.