Тревога: Шест водещи CDN мрежи с критична уязвимост при HTTP/3 атаки
Скрити рискове в настройките на вашия CDN
Ако поддържате сайт или приложение в реална експлоатация, почти сигурно използвате CDN. Тези услуги са гръбнакът на съвременната уеб производителност — кешират съдържанието ви в edge локации по целия свят и предпазват сървърите ви от претоварване при скокове в трафика.
Но ето нещо, което би трябвало да накара всеки разработчик и основател на стартъп да се замисли: нови изследвания разкриха, че шест големи CDN доставчици имат сериозна уязвимост в своите HTTP/3 имплементации.
Какъв е векторът на атаката?
Уязвимостта е свързана с HTTP/3 амплификационни атаки. Ето обяснението на прост език:
Традиционните DDoS атаки изискват от нападателите да генерират огромни количества трафик от своята инфраструктура. Това е ресурсоемко и относително лесно за проследяване.
Амплификационните атаки обръщат тази логика. Вместо да генерират трафик директно, нападателите експлоатират определени мрежови поведения, за да усилят атаката си. Една заявка от нападателя се превръща в десетки, стотици или дори хиляди заявки към целта.
В този случай изследователите установиха, че и шестте тествани CDN усилват трафика към origin сървъра. Сравнително малка заявка може да предизвика CDN-а да генерира значително по-големи количества трафик, насочен към инфраструктурата на сайта. Това означава:
- Нападателите могат да претоварят вашите origin сървъри с по-малко усилия
- Легитимният трафик става неразличим от атакувания
- Ударът пада върху вашата origin инфраструктура, не задължително върху CDN-а
Кои са засегнати и които не
Ето каква е ситуацията към момента:
Внесли защитни мерки:
- Baidu CDN — има внедрени защитни механизми
- Tencent Cloud CDN — има внедрени защитни механизми
Все още уязвими:
- Четири големи доставчика продължават „в етап на обсъждане" на защитните мерки
Макар че изследването не назовава другите четирима доставчици (вероятно поради политика на отговорно разкриване), тази информация би трябвало да притеснява всички, разчитащи на CDN за своята инфраструктура. Ако не сте сигурни кой доставчик се грижи за вашите CDN нужди, сега е моментът да разберете.
Защо е важно за вашия бизнес
Ще бъда директен: ако вашият CDN е уязвим на амплификационни атаки, вашите origin сървъри са изложени на риск. Ето практическото въздействие:
Спиране на работата = загубени приходи: Дори един час престой може да струва на малкия бизнес хиляди левове загубени продажби и увреждане на клиентското доверие.
Репутационни щети: Клиентите очакват сайтовете да са налични. Честите престои подкопават доверието във вашата марка.
Скрити разходи: Дори ако атаките не причинят пълен престой, те могат да забавят сайта ви, да увеличат разходите за bandwidth и да изискват спешна реакция при инциденти.
Какво да направите ВЕДНАГА?
Ето практическите ми съвети за разработчици и оператори на стартъпи:
Незабавни действия:
- Питайте вашия CDN доставчик за тяхната HTTP/3 сигурност
- Попитайте конкретно дали имат защити срещу амплификационни атаки
- Прегледайте DDoS защитата на вашите origin сървъри като резервен слой
Подобрения в инфраструктурата:
- Въведете rate limiting на вашите origin сървъри
- Помислете за допълнителен слой DDoS защита специално за вашия origin
- Следете за необичайни трафик модели, които могат да сигнализират за протичаща амплификационна атака
Дългосрочна стратегия:
- Оценявайте CDN доставчиците въз основа на тяхното време за реакция и прозрачност
- Планирайте мулти-CDN стратегии за критични приложения
- Документирайте процедурите си за реакция при инциденти, свързани с CDN уязвимости
По-голямата картина: Сигурността е споделена отговорност
Ето една неприятна истина: разчитането изцяло на доставчика ви за CDN сигурност е рискована стратегия. Макар че CDN-ите обработват огромни количества трафик и осигуряват съществена защита на мрежовия ръб, уязвимости се промъкват.
Откритите HTTP/3 уязвимости в тези шест CDN не са непременно резултат от небрежност. HTTP/3 все още е сравнително нова технология и нейните последици за сигурността се откриват в реално време. Но разликата между доставчиците, които реагираха бързо (Baidu и Tencent), и тези, които все още обсъждат мерки, е показателна.
При оценяване на доставчиците на хостинг и CDN, тяхното време за реакция и прозрачност трябва да бъдат фактори във вашето решение. Доставчик, който признава бързо уязвимостите и бързо внедрява поправки, струва повече от този, който предлага по-ниски цени, но бавна сигурност.
Поглед напред
Откриването на тези HTTP/3 уязвимости е най-вероятно само началото. Тъй като приемането на HTTP/3 продължава да расте — а ще расте, предвид предимствата му за производителността — повече експерти по сигурността ще изследват протокола за слабости.
За екипите по разработка това означава:
- Следете състоянието на сигурността на вашата инфраструктура
- Поддържайте връзки със сигурностните екипи на вашите доставчици
- Имайте планове за действие при промени в инфраструктурата
- Документирайте всичко, за да може екипът ви да реагира бързо при необходимост
Добрата новина е, че защитите съществуват. Изследванията показват, че ефективни защити срещу HTTP/3 амплификационни атаки са постижими. Предизвикателството сега е да се гарантира, че всички CDN доставчици внедряват тези защити, преди злонамерени играчи да ги експлоатират масово.
Сигурността на вашата инфраструктура е толкова силна, колкото е най-слабата й връзка. отделете време да проверите конфигурацията на вашия CDN днес — това може да ви спести много неприятни инциденти утре.
В NameOcean разбираме, че сигурната инфраструктура е в основата на всяко успешно онлайн начинание. Дали стартирате стартъп или управлявате корпоративни приложения, нашата платформа Vibe Hosting е проектирана с оглед на съвременните практики за сигурност. Имате ли въпроси за защитата на вашата уеб инфраструктура? Ние сме тук, за да помогнем.