Chiński operator na krótko "uprowadził" części Internetu

Według doniesień medialnych mały chiński dostawca usług internetowych IDC China przyznał się do tego, że w wyniku błędu w konfiguracji routera BGP na krótko przejął trasy wiodące do około 37 tysięcy sieci IP. Za pomocą protokołu bramy brzegowej (Border Gateway Protocol, BGP) routery sygnalizują sobie nawzajem, za które podsieci (systemy autonomiczne, AS) są odpowiedzialne i które inne AS-y mogą się z nimi kontaktować.

Według doniesień medialnych mały chiński dostawca usług internetowych IDC China przyznał się do tego, że w wyniku błędu w konfiguracji routera BGP na krótko przejął trasy wiodące do około 37 tysięcy sieci IP. Za pomocą protokołu bramy brzegowej (Border Gateway Protocol, BGP) routery sygnalizują sobie nawzajem, za które podsieci (systemy autonomiczne, AS) są odpowiedzialne i które inne AS-y mogą się z nimi kontaktować.

Błąd chińskiego operatora polegał przede wszystkim na tym, że ogłosił on trasy do podsieci (BGP Prefixes), które należały do innych dostawców w Chinach i USA. Wśród propagowanych bloków adresowych były również te należące do Della, CNN, Apple'a, niemieckiego Amazona, farmy Rapidshare i serwisu Geocities.

W momencie wywołania stron w pewnych okolicznościach użytkownicy trafiali do sieci chińskiego ISP, do której kierowały ich omyłkowo rozgłoszone reguły przyjęte przez routery. Jak twierdzi serwis BGPmon.net, opisana sytuacja miała wpływ na większość amerykańskich providerów, a problemy wynikłe z błędu prawdopodobnie dotknęły w głównej mierze użytkowników azjatyckich. Usterka nie wpłynęła na trasy polskich ISP.

Tego rodzaju zdarzenia nie są niczym nowym, ale za każdym razem pokazują, jak wrażliwe i jak łatwe w manipulacji jest powiązanie autonomicznych systemów za pośrednictwem BGP. W gruncie rzeczy operatorzy Sieci przez dystrybuowanie spreparowanych informacji BGP mogą celowo przekierowywać i monitorować ruch do wybranych podsieci. Na konferencji specjalistów od bezpieczeństwa Defcon 200. hakerzy zademonstrowali, że również oni są w stanie dzięki manipulacjom BGP przekierowywać dane w Internecie, a tym samym monitorować ich zawartość. Do legendy przeszły już próby Pakistanu, który w ten sposób usiłował zablokować dostęp do YouTube'a. W informacji Border Gateway Pakistańczycy ogłosili specjalną trasę do serwerów YouTube, która wskazywała na Null Device i bardzo szybko rozprzestrzeniła się w Internecie. Rezultat był taki, że pakiety kierowane do YouTube'a z całego świata trafiały do cyfrowego kosza na śmieci w Pakistanie.

Możliwe manipulacje i środki przeciwdziałania zawiera prezentacja "Prefix Hijacking Mitigation" (PDF). Poza tym operatorzy sieci zastanawiają się także nad kryptograficznym zabezpieczeniem informacji o routingu.

wydanie internetowe www.heise-online.pl