Internet Exchange Points ( IXs ) เป็นโครงสร้างพื้นฐานที่สำคัญที่ช่วยให้ผู้ให้บริการอินเทอร์เน็ตต่างๆ เชื่อมต่อและแบ่งปันการรับส่งข้อมูลได้ คิดให้เป็นเหมือนทางแยกดิจิทัลที่ทางหลวงอินเทอร์เน็ตสายหลักมาบรรจบกัน อย่างไรก็ตาม การค้นพบล่าสุดเผยให้เห็นว่าศูนย์กลางเครือข่ายสำคัญเหล่านี้กำลังประสบปัญหาด้านความปลอดภัยร้ายแรงเนื่องจากอุปกรณ์ที่ตั้งค่าผิดพลาดและอุปกรณ์ที่ไม่คาดคิดปรากฏบนเครือข่ายที่ควรจะมีเพียงเราเตอร์เท่านั้น
 |
|---|
| มุมมองระยะใกล้ของพืชในธรรมชาติ เป็นสัญลักษณ์ของความซับซ้อนและการเชื่อมโยงกันของโครงสร้างพื้นฐานเครือข่าย |
อุปกรณ์ที่ไม่คาดคิดปรากฏบนเครือข่าย IX
การค้นพบที่น่าเป็นห่วงที่สุดเกี่ยวข้องกับอุปกรณ์ที่ไม่ใช่เราเตอร์เชื่อมต่อเข้ากับเครือข่าย IX โดยไม่ได้ตั้งใจ การแลกเปลี่ยนเหล่านี้ได้รับการออกแบบมาโดยเฉพาะสำหรับเราเตอร์เพื่อแบ่งปันข้อมูลการกำหนดเส้นทางโดยใช้ Border Gateway Protocol ( BGP ) อย่างไรก็ตาม ผู้ดูแลเครือข่ายพบทุกอย่างตั้งแต่คอมพิวเตอร์เดสก์ท็อปไปจนถึงเซิร์ฟเวอร์ปรากฏบนเครือข่ายสำคัญเหล่านี้เนื่องจากข้อผิดพลาดในการกำหนดค่า
เมื่อองค์กรเชื่อมต่อกับ IX บางครั้งพวกเขาจะเชื่อมต่อเครือข่ายสำนักงานภายในกับโครงสร้างพื้นฐานของการแลกเปลี่ยนโดยไม่ได้ตั้งใจ สิ่งนี้อาจเกิดขึ้นได้เมื่อ VLAN identifier ถูกนำมาใช้ซ้ำหรือเมื่ออุปกรณ์แก้ไขปัญหาถูกทิ้งไว้เชื่อมต่อกับส่วนเครือข่ายที่ผิด ผลลัพธ์คืออุปกรณ์ภายในที่มีความละเอียดอ่อนกลายเป็นที่มองเห็นได้สำหรับผู้เข้าร่วมคนอื่นๆ ทั้งหมดในการแลกเปลี่ยน
VLAN (Virtual Local Area Network): วิธีการสร้างส่วนเครือข่ายแยกต่างหากบนโครงสร้างพื้นฐานทางกายภาพเดียวกัน
ช่องโหว่ในโปรโตคอลการกำหนดเส้นทาง
ข้อกังวลด้านความปลอดภัยหลักอีกประการหนึ่งเกี่ยวข้องกับโปรโตคอลการกำหนดเส้นทางที่ไม่ควรปรากฏบนเครือข่าย IX เลย ในขณะที่ BGP เป็นโปรโตคอลมาตรฐานและที่คาดหวัง นักวิจัยได้ค้นพบโปรโตคอลการกำหนดเส้นทางอื่นๆ เช่น OSPF , ISIS และ RIP ทำงานบนเครือข่ายแลกเปลี่ยน โปรโตคอลเหล่านี้สามารถอนุญาตให้ผู้ประสงค์ร้ายจัดการตารางการกำหนดเส้นทางและอาจเปลี่ยนเส้นทางการรับส่งข้อมูลอินเทอร์เน็ต
ผมจำได้ว่าในช่วงปี 2000s บริษัทโทรคมนาคมขนาดใหญ่แห่งหนึ่งใน US กำลังใช้ ospf บน IX พวกเราบางคนบน IRC ได้ทำการ what if? และหนึ่งในพวกเราได้นำ adjacency ขึ้นมาและมันใช้งานได้
การมีอยู่ของโปรโตคอลการกำหนดเส้นทางภายในเหล่านี้หมายความว่าผู้ดำเนินการเครือข่ายอาจแบ่งปันการตัดสินใจการกำหนดเส้นทางภายในของพวกเขากับคู่แข่งหรือผู้ประสงค์ร้ายบนการแลกเปลี่ยนเดียวกันโดยไม่ได้ตั้งใจ
BGP (Border Gateway Protocol): โปรโตคอลมาตรฐานที่ใช้โดยผู้ให้บริการอินเทอร์เน็ตในการแลกเปลี่ยนข้อมูลการกำหนดเส้นทาง OSPF/ISIS: โปรโตคอลการกำหนดเส้นทางภายในที่ควรใช้เฉพาะภายในเครือข่ายขององค์กรเดียวเท่านั้น
โปรโตคอลที่มีปัญหาทั่วไปที่พบในเครือข่าย IX:
- OSPF/ISIS: โปรโตคอลเราต์ติ้งภายในที่อาจรั่วไหลข้อมูลตารางเราต์ติ้ง
- RIP/RIPng: โปรโตคอลเราต์ติ้งรุ่นเก่าที่มีการควบคุมความปลอดภัยน้อยมาก
- LLDP: โปรโตคอลค้นหาเครือข่ายที่เปิดเผยข้อมูลอุปกรณ์
- STP: แพ็กเก็ต Spanning Tree Protocol ที่ไม่ควรส่งผ่านโครงสร้างพื้นฐาน IX
- SOME/IP: โปรโตคอลเครือข่ายยานยนต์ที่ปรากฏในที่ไม่เหมาะสม
- ARP broadcasts: คำขอแปลงที่อยู่ที่สร้างการรับส่งข้อมูลที่ไม่จำเป็น
การเปิดเผยโปรโตคอลการจัดการเครือข่าย
เครือข่าย IX ยังเห็นการรับส่งข้อมูลการจัดการเครือข่ายที่ไม่คาดคิดซึ่งเผยข้อมูลที่มีความละเอียดอ่อนเกี่ยวกับองค์กรที่เชื่อมต่อ โปรโตคอลเช่น LLDP (Link Layer Discovery Protocol) และ Spanning Tree Protocol ปรากฏบนการแลกเปลี่ยน ซึ่งอาจเปิดเผยข้อมูลโทโพโลยีเครือข่ายให้กับบุคคลที่ไม่ได้รับอนุญาต
แม้ว่าบางคนจะโต้แย้งว่าโปรโตคอลเหล่านี้สามารถเป็นประโยชน์สำหรับการแก้ไขปัญหาเครือข่าย แต่การมีอยู่ของพวกมันบนโครงสร้างพื้นฐาน IX สาธารณะสร้างความเสี่ยงด้านความปลอดภัยที่ไม่จำเป็น โปรโตคอลเพิ่มเติมแต่ละตัวแสดงถึงพื้นผิวการโจมตีที่มีศักยภาพมากขึ้นสำหรับผู้ประสงค์ร้ายที่จะใช้ประโยชน์
หมวดหมู่ความเสี่ยงด้านความปลอดภัย:
- การเปิดเผยข้อมูล: โครงสร้างเครือข่ายและรูปแบบการกำหนดที่อยู่ภายในถูกเปิดเผย
- การจัดการเส้นทางข้อมูล: ความสามารถที่ไม่ได้รับอนุญาตในการมีอิทธิพลต่อการตัดสินใจเส้นทางการส่งข้อมูล
- การดักจับข้อมูล: ศักยภาพที่ผู้ไม่หวังดีจะเปลี่ยนเส้นทางการส่งข้อมูลในเครือข่าย
- การใช้ทรัพยากร: โปรโตคอลที่ไม่จำเป็นใช้ทรัพยากรโครงสร้างพื้นฐาน IX
- การเปิดเผยการกำหนดค่า: การตั้งค่าเครือข่ายภายในมองเห็นได้โดยคู่แข่ง
ปัญหาความซับซ้อน
สาเหตุหลักของปัญหาเหล่านี้หลายอย่างดูเหมือนจะเป็นความซับซ้อนที่เพิ่มขึ้นของโครงสร้างพื้นฐานเครือข่ายสมัยใหม่ องค์กรมักมีสวิตช์ เราเตอร์ และอุปกรณ์เครือข่ายอื่นๆ หลายชั้นระหว่างโครงสร้างพื้นฐานหลักและการเชื่อมต่อ IX ความซับซ้อนนี้ทำให้เกิดข้อผิดพลาดในการกำหนดค่าได้ง่าย โดยเฉพาะเมื่อการเปลี่ยนแปลงเครือข่ายทำด้วยตนเองโดยไม่มีเอกสารที่เหมาะสม
ชุมชนเครือข่ายได้สังเกตว่าหลายองค์กรมีแนวโน้มที่จะออกแบบสถาปัตยกรรมเครือข่ายของพวกเขาให้ซับซ้อนเกินไป สร้าง NAT หลายชั้น โครงการ VLAN ที่ซับซ้อน และแผนการกำหนดที่อยู่แบบกำหนดเองที่เพิ่มความเป็นไปได้ของการกำหนดค่าผิดพลาด
บทสรุป
การค้นพบเหล่านี้เน้นย้ำถึงความจำเป็นในการมีสุขอนามัยเครือข่ายและการจัดการการกำหนดค่าที่ดีขึ้นที่ Internet Exchange Points แม้ว่า IXs ได้รับการออกแบบให้เป็นเครือข่าย layer-2 ที่เรียบง่ายซึ่งเราเตอร์แลกเปลี่ยนข้อมูล BGP แต่ความเป็นจริงมักซับซ้อนกว่ามาก องค์กรที่เชื่อมต่อกับ IXs จำเป็นต้องใช้การควบคุมที่ดีขึ้นเพื่อให้แน่ใจว่ามีเพียงการรับส่งข้อมูลที่เหมาะสมเท่านั้นที่ไปถึงโครงสร้างพื้นฐานการแลกเปลี่ยน และผู้ดำเนินการ IX ควรพิจารณาการกรองที่เข้มข้นมากขึ้นเพื่อป้องกันโปรโตคอลและอุปกรณ์ที่มีปัญหาจากการส่งผลกระทบต่อผู้เข้าร่วมคนอื่นๆ
ความปลอดภัยของโครงสร้างพื้นฐานอินเทอร์เน็ตขึ้นอยู่กับผู้เข้าร่วมทุกคนที่ปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดและรักษาขอบเขตเครือข่ายที่เหมาะสม เนื่องจากการแลกเปลี่ยนเหล่านี้จัดการกับการรับส่งข้อมูลอินเทอร์เน็ตทั่วโลกที่เพิ่มขึ้น การแก้ไขปัญหาการกำหนดค่าเหล่านี้กลายเป็นสิ่งสำคัญสำหรับการรักษาเสถียรภาพและความปลอดภัยของอินเทอร์เน็ต
Reference: Even Interesting Stuff I Found on IX LANs