Skrytá nebezpečí v konfiguraci vašeho CDN

Provozujete produkční web nebo aplikaci? Pak téměř jistě používáte CDN. Tyto služby tvoří základ moderního webového výkonu – cachují váš obsah na edge lokacích po celém světě a chrání vaše origin servery před kolapsem při náhlých návštěvních špičkách.

Ale tady je něco, nad čím by se měl zamyslet každý vývojář a každý zakladatel startupu: nový výzkum odhalil, že šest velkých poskytovatelů CDN má významnou zranitelnost ukrytou ve svých implementacích HTTP/3.

Jak útok funguje?

Zranitelnost se točí kolem HTTP/3 amplifikačních útoků. Tady je vysvětlení v normální češtině:

Klasické DDoS útoky vyžadují, aby útočníci generovali obrovské množství provozu ze své vlastní infrastruktury. Je to náročné na zdroje a relativně snadno vysledovatelné.

Amplifikační útoky to obrátí naruby. Místo přímého generování provozu útočníci zneužívají určité síťové chování k znásobení svého útoku. Jeden požadavek od útočníka se změní v desítky, stovky nebo dokonce tisíce požadavků mířících na cíl.

V tomto případě výzkumníci zjistili, že všech šest testovaných CDN zesilovalo provoz směrem k origin serveru. Poměrně malý požadavek mohl způsobit, že CDN vygenerovalo výrazně větší množství provozu namířeného na origin infrastrukturu webu. To znamená:

• Útočníci mohou přetížit vaše origin servery s menším úsilím
• Legitimní provoz se stává nerozlišitelným od útočného
• Úder schytává vaše origin infrastruktura, ne nutně CDN

Kdo je v bezpečí a kdo ne?

Tady je aktuální situace:

Nasazená ochranná opatření:

• Baidu CDN — Implementovalo ochranná opatření
• Tencent Cloud CDN — Implementovalo ochranná opatření

Stále zranitelní:

• Čtyři velcí poskytovatelé jsou stále ve fázi "diskuse" o implementaci ochranných opatření

I když výzkum nejmenuje zbývající čtyři poskytovatele (pravděpodobně kvůli zodpovědnému zveřejnění), tato informace by měla být znepokojivá pro každého, kdo se spoléhá na CDN pro svou infrastrukturu. Pokud si nejste jistí, který poskytovatel se stará o vaše CDN, teď je čas to zjistit.

Proč by vám to mělo vadit?

Budu přímý: pokud je vaše CDN zranitelné vůči amplifikačním útokům, vaše origin servery jsou v ohrožení. Tady je praktický dopad:

1. Výpadek = ztracené peníze: I hodina výpadku může stát malé podniky tisíce dolarů ve ztracených prodejích a důvěře zákazníků.

2. Poškození reputace: Zákazníci očekávají, že web bude dostupný. Časté výpadky podrývají důvěru ve vaši značku.

3. Skryté náklady: I když útoky nezpůsobí úplný výpadek, mohou zpomalit váš web, zvýšit náklady na bandwidth a vyžadovat nouzovou reakci na incident.

Co dělat hned teď?

Tady je moje praktická rada pro vývojáře a provozovatele startupů:

Okamžité kroky:

• Ověřte u svého poskytovatele CDN jejich bezpečnostní postoj v HTTP/3
• Zeptejte se konkrétně, zda mají ochranná opatření proti amplifikačním útokům
• Překontrolujte DDoS ochranu vašich origin serverů jako záložní vrstvu

Vylepšení infrastruktury:

• Implementujte rate limiting na vašich origin serverech
• Zvažte přidání další vrstvy DDoS ochrany speciálně pro váš origin
• Sledujte neobvyklé vzorce provozu, které by mohly signalizovat probíhající amplifikační útok

Dlouhodobá strategie:

• Hodnoťte poskytovatele CDN podle rychlosti jejich bezpečnostní reakce a transparency
• Plánujte multi-CDN strategie pro kritické aplikace, kde je to možné
• Zdokumentujte postupy reakce na incidenty pro zranitelnosti související s CDN

Větší obrázek: Bezpečnost je sdílená odpovědnost

Tady je nepříjemná pravda: zcela se spoléhat na poskytovatele CDN ohledně bezpečnosti je riskantní strategie. zatímco CDN zpracovávají masivní objemy provozu a poskytují nezbytnou ochranu na network edge, zranitelnosti se tam občas objeví.

HTTP/3 zranitelnosti objevené v těchto šesti CDN nemusí nutně vyplývat z nedbalosti. HTTP/3 je stále relativně nový protokol a jeho bezpečnostní důsledky se teprve objevují. Rozdíl mezi poskytovateli, kteří reagovali rychle (Baidu a Tencent), a těmi, kteří stále diskutují, je ale výmluvný.

Při hodnocení poskytovatelů hostingu a CDN by měla být rychlost jejich bezpečnostní reakce a transparentnost faktorem ve vašem rozhodování. Poskytovatel, který rychle uznává zranitelnosti a rychle nasazuje opravy, má větší hodnotu než ten, který nabízí nižší ceny, ale pomalejší bezpečnostní reakce.

Co dál?

Objevení těchto HTTP/3 zranitelností je pravděpodobně jen začátek. S tím, jak HTTP/3 adopce nadále poroste – a poroste, vzhledem k jeho výkonnostním benefitům – více bezpečnostních výzkumníků bude protokol zkoumat na slabiny.

Pro vývojové týmy to znamená:

• Zůstaňte informovaní o bezpečnostním stavu vaší infrastruktury
• Budujte vztahy s bezpečnostními týmy vašich poskytovatelů
• Mějte záložní plány pro změny infrastruktury
• Vše zdokumentujte, aby váš tým mohl rychle reagovat v případě potřeby

Dobrá zpráva je, že ochranná opatření existují. Výzkum ukazuje, že efektivní ochrana proti HTTP/3 amplifikačním útokům je dosažitelná. Výzva teď je zajistit, aby všichni poskytovatelé CDN tato opatření implementovali, než zranitelnost začnou masivně zneužívat škodliví aktéři.

Bezpečnost vaší infrastruktury je tak silná, jak její nejslabší článek. Udělejte si čas a prozkoumejte svou konfiguraci CDN dnes – může vám to ušetřit velmi nepříjemný incident zítra.

V NameOcean chápeme, že bezpečná infrastruktura je základem každého úspěšného online podnikání. Ať už startujete startup nebo spravujete podnikové aplikace, naše Vibe Hosting platforma je navržena s ohledem na moderní bezpečnostní postupy. Máte otázky ohledně ochrany vaší webové infrastruktury? Jsme tu, abychom pomohli.