Невидимата заплаха: Как BGP похищение застрашава твоята сървърна инфраструктура

Един скорошен инцидент разтърси общността на уеб хостинга. Хакери успешно похитиха BGP маршрути, насочени към Softaculous — популярна платформа за автоматизация на хостинга — и дъщерната ѝ компания Virtualizor. Целта? Да измамят с фалшиви TLS сертификати и да инжектират зловреден софтуер в каналите за софтуерно разпространение. Това не е поредната новина за сигурност — това е сигнал за събуждане за всички, които управляват инфраструктура в интернет.

Какво точно се случи?

Атаката следваше обезпокоително сложен сценарий:

1. Похищение на маршрути: Нападателите обявиха BGP префикси, които не притежават, пренасочвайки трафик към конкретни IP адреси през тяхната инфраструктура
2. Измама със сертификати: Като прихванаха легитимен трафик, те получиха TLS сертификати от Let's Encrypt за домейни, които не контролират
3. Зловреден софтуер в ъпдейти: С валидни сертификати те сервираха компрометирани Virtualizor актуализации на клиентите

Това, което прави поредицата особено тревожна, е че всяка стъпка направи възможна следващата. BGP похищението направи всичко останало осъществимо.

Какво представлява BGP: GPS-ът на интернет

BGP (Border Gateway Protocol) е по същество рутиращата система на интернет. Когато изпращаш заявка към сървър, BGP определя пътя, по който трафикът преминава през хиляди мрежи. Описват го като GPS на интернет, но за разлика от навигацията в колата ти, BGP разчита изцяло на доверие.

Мрежите обявяват какви IP адреси контролират, а другите мрежи им вярват. Няма вграден механизъм за проверка. Този модел на доверие е работил добре, когато интернет е бил малка академична мрежа, но днес е сериозна уязвимост.

Защо трябва да ти пука на теб като разработчик?

Може би си мислиш, че сигурността на BGP е проблем за мрежови инженери, не за приложни разработчици. Помисли отново.

Всеки път, когато деплойваш на сървър, ъпдейтваш зависимост или инсталираш контролен панел, ти се доверяваш на механизма за доставка. Ако този механизъм е компрометиран чрез BGP похищение, цялата ти инфраструктура може да работи с компрометиран код.

Атаката срещу Softaculous показва, че нападателите могат:

• Да заобиколят валидацията на сертификати, на която разработчиците разчитат за сигурни връзки
• Да разпространяват зловреден софтуер през доверени канали за ъпдейт, които изглеждат легитимни
• Да компрометират сървъри на ниво инфраструктура, преди изобщо да е стартирало каквото и да е приложение

RPKI: Светлина в мрака

Добрата новина? Решения съществуват. Resource Public Key Infrastructure (RPKI) е рамка, която добавя криптографска валидация към BGP обявленията. С RPKI мрежите могат да проверят дали действително притежават IP префиксите, които обявяват.

Когато се прилага правилно, RPKI предотвратява похищение на маршрути, като прави невъзможно за нападателите да обявяват префикси, които не притежават. Големи доставчици на облачни услуги и мрежови оператори все повече приемат RPKI, но екосистемата все още не е пълна.

Ето какво трябва да знаеш:

• RPKI валидация хваща повечето случайни изтичания на маршрути и предотвратява злонамерени похищения
• Внедряването расте, но не е универсално — много по-малки мрежи все още нямат защита
• Това е решение на ниво мрежа, което означава, че зависиш от инфраструктурата на доставчика си на хостинг

Защита на твоята инфраструктура

Докато не можеш еднолично да поправиш BGP, можеш да предприемеш стъпки за намаляване на риска:

При избора на хостинг

• Избирай доставчици със силна мрежова сигурност: Търси RPKI внедряване, Route Origin Validation (ROV) и прозрачни рутиращи политики
• Проверявай сертификациите на доставчика: Провери дали хостинг компанията преминава сигурностни одити
• Питай за тяхната BGP сигурност: Реномираните доставчици трябва да могат да обяснят RPKI и мерките си за сигурност

За твоя код

• Верифицирай checksums независимо: Не разчитай само на HTTPS за софтуерна верификация
• Използвай reproducible builds когато е възможно, за да провериш целостта на софтуера
• Имплементирай code signing за твоите собствени деплойменти

За валидация на сертификати

• Използвай Certificate Transparency логове: Следи за неочаквани сертификати, издадени за твоите домейни
• Имплементирай HSTS: Принуди HTTPS връзки и намали повърхността за атака
• Помисли за certificate pinning за критични инфраструктурни връзки

По-голямата картина

Инцидентът с Softaculous не е изолирано събитие. Подобни BGP похищения са насочени към крипто борси, големи доставчици на облачни услуги и мрежи за доставка на съдържание. Техниката става все по-усъвършенствана, а потенциалното въздействие расте с преместването на повече инфраструктура в облака.

Тази атака също подчертава взаимосвързаната природа на интернет сигурността. Уязвимост в рутиращата инфраструктура може да подкопае и най-силните защити на ниво приложение. TLS сертификатите, на които се доверяваме безусловно, се превръщат в оръжия в неподходящи ръце.

Какво следва?

Уеб хостинг индустрията трябва да постави BGP сигурността като фундаментално изискване, не като незадължително подобрение. Ние от NameOcean сме ангажирани да работим с доставчици, които приемат сериозно сигурността на инфраструктурата.

За разработчици и стартъпи този инцидент е напомняне, че сигурността далеч надхвърля кода на приложението ти. Разбирането на инфраструктурния стек под твоя софтуер вече не е само за ops екипите — това е съществено знание за всеки, отговарящ за дигитални активи.

Остан бдителен, верифицирай източниците си и избирай хостинг партньори, които инвестират в цялостни мерки за сигурност. Нападателите стават все по-усъвършенствани. Твоите защити също трябва да са.

Хубавата новина е, че общността по сигурност активно работи върху решения. RPKI въвеждането се ускорява, а инструментите за мониторинг на BGP сигурността се подобряват. Но докато тези защити не станат универсални, информираността и изборът на доставчици с мисъл за сигурността остават най-добрата ти защита.

Какви стъпки предприемаш, за да верифицираш целостта на твоята инфраструктура? Бихме се радвали да чуем твоя подход към тези нови предизвикателства в сигурността.