Error en protocolo BGP grave problema de seguridad en Internet


Leyendo en kriptopolis.org me llamo la atención el encabezado de una nota en especial: Revelado el mayor agujero de seguridad de Internet, al leerla y visitar el enlace en ingles entendí lo preocupante del asunto. Sí se une el fallo del DNS y este nuevo fallo se podría producir problemas de seguridad significativos en cada uno de los servidores ya que TODOS son vulnerables.





Les dejo la nota textual del sitio kriptopolis.org:

Revelado el mayor agujero de seguridad de Internet

Dos investigadores de seguridad informática han demostrado una técnica para interceptar tráfico en forma casi indetectable. La técnica, del tipo man-in-the-middle, utiliza el protocolo BGP para desviar tráfico en cualquier lugar del mundo hacia la estación de monitorización y luego lo envía (posiblemente modificado) hacia su destino.

Peter Zatko, uno de los investigadores, declaró: "Es un problema enorme. Es un problema al menos tan grande como el de DNS, si no más grande". Peter Zatko es un ex miembro del grupo L0pht y en 1998 testificó ante el congreso estadounidense diciendo que podría detener totalmente Internet en 30 minutos utilizando un ataque BGP similar. También instruyó a agencias de inteligencia sobre la posible utilización de BGP para monitorizar tráfico remoto sin necesidad de colaboración por parte de ningún ISP...

La técnica descrita intercepta el tráfico por dirección de destino, y no siempre es posible desviar tráfico que ocurre dentro de un mismo ISP. El protocolo BGP mantiene tablas de rutas para encontrar la más eficiente hacia un destino dado. Pero las rutas están basadas en las máscaras de red y la más restrictiva (la más específica) gana. Para interceptar el tráfico, todo lo que tiene que hacer un atacante es publicar un rango de IPs más pequeño que el que está publicado por su legítimo dueño. La publicación se propaga en minutos a todo el mundo y el atacante comenzará a recibir datos destinados a los rangos IPs publicados.

Si sólo se hiciera esto, sería muy fácilmente detectable ya que el tráfico "desaparecería" hacia otra red en vez de llegar a su destino. Esto es más o menos lo que pasó este año cuando un ISP de Pakistán desvió por error todo el tráfico de YouTube (en realidad el tráfico hacia YouTube) hacia direcciones inexistentes. Obviamente todo el mundo se dio cuenta.

Lo innovador de la técnica presentada es la capacidad de poder redirigir el tráfico hacia su destino final después de ser interceptado, algo que normalmente no sería posible ya que las tablas BGP harían que el tráfico volviese al atacante. Sin embargo, se utiliza otra capacidad del protocolo BGP llamada "AS path prepending", que permite seleccionar algunos routers para que no acepten la publicación BGP maliciosa hecha por el atacante y lograr de ese modo que tengan las tablas BGP originales. Luego es cosa de enviar el tráfico por medio de éstos routers y llegará correctamente a destino.

Si los datos siempre llegan a destino correctamente, ¿quién va a notar algo?

En todo el proceso no se aprovecha ninguna vulnerabilidad, ningún fallo del protocolo, ningún error de software. Simplemente se saca provecho a la arquitectura BGP que está basada en la confianza mutua.

Anton Kapela, el otro investigador, dijo que los ISP pueden evitar este tipo de ataques utilizando filtros. El problema es que se requiere una gran cantidad de filtros y trabajar en coordinación con todos los otros ISPs. También tendría un alto costo de mantenimiento. Por todo esto, Kapela opina que una solución basada en filtrado no va a prosperar.

Otra solución propuesta se basa en la autenticación de los "dueños" de los bloques IPs. Una solución de éste tipo requeriría la utilización de certificados por parte de los ISPs. Sin embargo, aunque se evitaría el desvío de tráfico en el primer salto en una ruta, lo que evitaría desvíos accidentales como el de Pakistán, este esquema no evitaría el desvío del segundo o tercer salto en una ruta.

Stephen Kent y sus colegas de BBN Technologies, han desarrollado Secure BGP (SBGP), que requiere que cada router BGP firme digitalmente todas sus rutas publicadas con una clave privada. Esto evitaría totalmente el desvío malintencionado de tráfico, pero lamentablemente los routers actuales no tienen ni la memoria ni la capacidad de procesamiento para generar y validar firmas, por lo que una implementación masiva de SBGP requeriría el cambio a gran escala de todos los routers involucrados, algo que ni los ISP ni los fabricantes de routers se ven motivados a hacer por ahora.

wired
Foto: Alex Pilosov y Tony Kapela (DefCon hacker conference Las Vegas)

Fuente original: Wired

 

Uno de los comentarios en kriptopolis.org hace referencia de como trabajaría el fallo

BGP Juanker: Hola soy el router BGP Juanker <1.2.3.4>
Internet: Hola 1.2.3.4
Internet: Oigan quien esta mas cerca de 213.149.236.75
BGP Nasa: Yo estoy un poco lejos.
BGP OpenDNS: También yo.
BGP LACNIC: Yo, Yo, Yo, Yo estoy cerca...
BGP Juanker: No, Yo estoy mas cerca que LACNIC.
Internet: Bueno entonces me conectare através de BGP Juanker en 1.2.3.4

 

.. sin palabras ...



Otras noticias de interés:

El futuro firewall de GNU/Linux.
Como ya ocurrió con los antiguos ipfwadm e ipchains, ahora le toca a iptables. El actual firewall de GNU/Linux tiene los días contados....
Consejos para mejorar la privacidad en el trabajo
En los entornos laborales, la privacidad a la hora de utilizar la computadora y el acceso la red puede ser una cuestión bastante delicada, porque la forma en la cual utilizamos esos recursos podría llegar a ser hasta causal de despido. Aunque claro...
Autores de phishing... son víctimas de phishing
Existen en Internet kits completos para que un novato monte su propio sitio falso y de ese modo obtenga réditos a costa de las víctimas que dejen allí sus datos. Pero entre ladrones no hay honor....
SWScanner herramienta de detección de redes wifi
SWScanner es una potente herramienta de detección de redes wifi para entornos Linux, también es aplicable para realizar Wardriving, y posee un elevado grado de compatibilidad con NetStumbler (aplicación de características similares para Windows)....
Apagada la red de Pakistán de Internet
Esto es lo que deberían pensar los dirigentes del Pakistán cuando quisieron erradicar las comunicaciones con el portal YouTube....
Ciberdelincuentes ponen en peligro la seguridad internacional
Los países necesitan dar los pasos precisos para actualizar sus infraestructuras críticas y protegerlas así de ataques de cibercombatientes o países rivales que puedan llevarles hasta una ciberguerra....
Microsoft publicará cuatro boletines de seguridad el próximo martes
En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasión se esperan cuatro boletines de seguridad, uno dedicado a Windows Media Player, otro a Windows, otro a Windows Media Encoder y el últ...
Google HTTPS en todos sus servicios
Desde hace hace aproximadamente 1 mes Google ha ido incorporando a nivel mundial el uso de HTTPS en todos sus servicios, incluidos el de búsqueda....
El ciberespacio proporciona consejos para evitar el espionaje digital
Internet no es sólo el mejor medio actual para conseguir ilícitamente información privada. La Red también se está posicionando en contra del espionaje, y muchos sites explican las diferentes técnicas de detección y eliminación de programas es...
Revista digital sobre Software Libre Latitud #6
Está lista para su descarga la nueva edición de la revista digital Latitud, que lleva como tiulo: La Colaboración es la Esencia del Software Libre....

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • bgp
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • error
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • grave
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • problema
  • protocolo
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra