Čína k sobě přesměrovala internet z celého světa, může to kdykoli zopakovat

aktualizováno 
Skandální a úmyslný útok na on-line data USA, podle jiných možná jen technická chyba. Internet je zranitelnější, než si mnozí myslí, není problém podvrhnout údaje o připojení a odposlouchávat tok dat.

Ilustrační fotografie | foto: Profimedia.cz

V dubnu 2010 bylo 15 procent všech internetových tras přesměrováno na China Telecom, čínskou státem provozovanou telekomunikační společnost. Incident je označován za "masivní čínský útok na data Američanů a jejich spojenců."

Princip útoku

Velice zjednodušeně: Data jsou po internetové síti posílána po balíčcích (paketech) ze serveru na server, dokud nedojdou do cíle. Routery si mezi sebou dávají vědět, kudy skrze ně vede nejkratší cesta.

Pokud některý z routerů falešně ohlásí, že přes něj vede nejkratší cesta do místa X, ostatní na něj začnou posílat pakety určené do tohoto místa. Tyto pakety pak útočník může nejen přesměrovávat, ale také číst nebo upravovat.

Tento BGP útok zkoušel využít např. Pákistán pro blokaci YouTube v roce 2008.

"Dne 8. dubna 2010, v 15:54 GMT, jsme zachytili signál čínských routerů, který v důsledku vedl k přesměrování 15 procent světových internetových tras skrze servery čínského China Telecom," píše blog McAfee. "Po následujících přinejmenším 18 minut toto přesměrování trvalo a přes Čínu proudila armádní i civilní data z USA a jejich spojenců."

Co se s těmi daty dělo, není jisté. "Možností je mnoho a jsou dost děsivé," mluví blog třeba o uchovávání e-mailů, zpráv a hovorů nebo dokonce o jejich pozměnění.

"Je to jeden z největších útoků, jaké jsme kdy viděli, jestli ne dokonce ten vůbec největší," uvedl Smitri Alperovitch z McAfee. Jeho nebezpečí tkví podle něj i v tom, že jej postižení uživatelé prakticky nemohli zaznamenat.

Únos na síti

Tyto "internetové únosy", za které může špatná instrukce, se občas stanou vinou chyby na routerech nebo serverech. Ale pak se obvykle na chybu přijde, neboť přesměrované pakety nedorazí na místo doručení. V případě čínského cyberúnosu byl ovšem přenos dat pouze mírně pozdržen.

Alperovitch píše, že Čína má možnost ke zneužití svého postavení coby důvěryhodné certifikační autority (dalšími autoritami jsou např. Verisign, Microsoft, Deutsche Telecom, Visa aj.). Incident podle něj ukazuje na zranitelnosti současného systému zabezpečení. "Nevíme, zda šlo o úmyslné zneužití nebo chybu, ale je téměř jisté, že k podobným incidentům dojde znovu," uzavírá Alperovitch.

Nezabezpečený internet?

Jak je to s bezpečností internetových protokolů? Je Čína v tomto ohledu specifickou výjimkou? Na naše otázky odpovídá Ondřej Filip, výkonný ředitel CZ.NIC .

Jde o problém specifický pro Čínu, nebo může podobný útok zorganizovat i někdo jiný?
Rozhodně není specifický, tento útok je způsoben absencí zabezpečení již zmiňovaného BGP protokolu a může jej v podstatě provést každý větší operátor na Internetu. Dalším příkladem tohoto útoku může být zablokování YouTube provedené pakistánským Telecomem z února 2008.

V internetové komunitě se již pracuje na mechanismu, který by měl podobným (úmyslným či neúmyslným) útokům bránit, této technologii se říka Resource Public Key Infrastructure - RPKI.

Do jaké míry jde o reálnou hrozbu pro fungování Internetu?
K samotnému útoku lze uvést, že jeho podstata je velmi dobře známa a prozkoumána. I tento konkrétní útok byl poměrně dobře zdokumentován. Vzhledem k tomu, jak jednoduše byl proveden, se osobně kloním k názoru, že šlo spíše o chybu operátora dané sítě. Celá věc nebyla nijak maskována, nedošlo k přesměrování pouze amerických síti, ale i mnoha čínských, korejských, australských, mexických a podobně. Ke stejnému přesvědčení mě vede i fakt, že s vložením nesprávných informací do protokolu BGP byl použit i tzv. BGP prepending, což je mechanismus, který snižuje váhu vložených informací a údajný útok by pak měl mnohem menší účinnost.

Na úrovni protokolu BGP existuje mnohem zákeřnější útok, který se výrazně hůře detekuje. (Pozn.: Útok spočívá ve využití protismyčkových opatření na routerech a je téměř nezjistitelný, neboť o jeho průběhu nejsou v cestě paketů žádné či téměř žádné památky. Jeho podrobný popis najdete v anglickém PDF)

Je podobný útok možný i po zavedení bezpečného DNS? (více zde)
Bohužel bezpečné DNS v tomto případě nijak nepomůže. Tento útok byl namířen proti směrovacímu protokolu BGP, do kterého byly vloženy nesprávné informace o směrování daných sítí. To způsobí, že útočník přesměruje tok informací mezi dvěma komunikujícími stranami tak, že informace (aspoň v jednom směru) proudí přes něj. Tedy trochu analogie toho, pokud by byl útočník "na drátě" mezi oběma komunikujícími stranami.

Kdo může odposlechnout HTTPS komunikaci a jak?
Odposlechnout již probíhající HTTPS komunikaci je velice obtížné. Nicméně v případě, že dokážete přesměrovat komunikaci určenou pro nějaký HTTPS server (například pomocí útoku na protokol BGP) a zároveň vlastníte ve světě uznávanou certifikační autoritu, můžete cílovou www stránku podvrhnout tak, že klient nepozná, že se připojuje na vaše falešné stránky. Tím je pak možné zjistit například klientská hesla a podobně.

Autor:

50. výročí přistání na Měsící

Americký kosmický let Apollo 11 splnil svoji misi 20. července 1969. Na povrch Měsíce jako první člověk vstoupil velitel posádky Neil Armstrong. Doprovázel jej Edwin "Buzz" Aldrin, zatímco Michael Collins zůstal na palubě vesmírné lodi.

Téma Apollo 11 v článcích Technet.cz:
O čem si povídali kosmonauti Apolla 11. Poslechněte si tisíce hodin „ticha“
Co kdyby Apollo 11 zůstalo na Měsíci? Pohřbili by je přes rádio zaživa
Vlajky na Měsíci stále stojí. Podívejte se na důkaz ze sondy LRO

Nejčtenější

U Prochorovky to bylo jinak. Němci nám kradou tankovou bitvu, zuří Rusko

U Prochorovky se v červenci 1943 odehrála jedna z největších tankových bitev.

Nejslavnější tanková bitva u Prochorovky je ruská propaganda, napsal Die Welt s odkazem na zjištění německých a...

Amatérský astronom vyfotografoval supertajný americký raketoplán X-37B

Americký raketoplán X-37B na orbitě

Nizozemský pozorovatel satelitů a vědecký novinář Ralf Vandebergh nejspíš udělal nejlepší fotku svého života. Podařilo...

Jeho formule chtěl každý. Autor slavných vystřihovánek slaví devadesátiny

Richard Vyškovský se svým modelem cisternové stříkačky CAS 32 na podvozku Tatra...

Richard Vyškovský je pro laickou veřejnost nepříliš známé jméno, v modelářské komunitě je však doslova celebritou. S...

Největší dobrodružství 20. století začalo o tři čtvrtě sekundy později

Tři Američané právě odstartovali na misi, kterou bedlivě sleduje celý svět.

Ani ostřílený hlasatel vesmírného střediska na Mysu Canaveral nedokáže zakrýt pohnutí. Je 16. července 1969, 9:32 ráno...

„Stanuli jsme na Měsíci jménem celého lidstva.“ Nové fotky z Apolla 11

Přistání člověka na Měsíci bylo nejsledovanější událostí v historii lidstva....

Přistání člověka na Měsíci bylo nejsledovanější událostí v historii lidstva. Přesto se najdou fotografie, které jste...

Další z rubriky

Šéf Facebooku varuje, že je síť slabá v boji proti ruským dezinformacím

Mark Zuckerberg na konferenci Aspen Ideas Festival

Americká vláda by měla mnohem více tlačit na Rusko, aby přestalo s dezinformačními kampaněmi. Facebook podle jeho...

Neudělejte chybu jako Ovčáček. Ověřovací kód nikdy nikomu neposílejte

Pro bezpečí na internetu je důležité nesdělovat soukromé ověřovací kódy, někdo...

Pokud vám přijde zpráva s potvrzujícím kódem, zacházejte s ní jako s tajemstvím. Nepište ji nikam, kam nepatří. Nikomu...

Tipy na weby: počasí z tisíce domácích meteostanic nebo výběr školky

Weathermap.netatmo.com

Projekt Weathermap.netatmo.com ukazuje data z domácích meteostanic na mapě. Najít školku a vybrat ji podle hodnocení...

Advantage Consulting, s.r.o.
VÝROBNÍ INŽENÝR

Advantage Consulting, s.r.o.
Ústecký kraj
nabízený plat: 35 000 - 50 000 Kč

Najdete na iDNES.cz