近期，科技圈可是一點(diǎn)都不太平啊，10多天以前就曾曝出了 Android 存在一個(gè)名為 Stagefright 的安全漏洞，這兩天又有蘋(píng)果 OS X 系統(tǒng)遭遇固件病毒 Thunderstrike 2 的威脅。而安全人員今天曝出的漏洞則是關(guān)系到每一個(gè)網(wǎng)民，因?yàn)槲覀円呀?jīng)離不開(kāi)互聯(lián)網(wǎng)了。

這個(gè)漏洞可以讓黑客輕而易舉地攻擊互聯(lián)網(wǎng)的核心架構(gòu)，以阻止用戶(hù)訪(fǎng)問(wèn)如 YouTube 這樣的主要互聯(lián)網(wǎng)服務(wù)（注：我們?cè)L問(wèn)不了并不是因?yàn)楸还袅耍?，或者大?guī)模地?cái)r截在線(xiàn)通信。

安全研究人員希望以此能夠喚醒整個(gè)行業(yè)，為這個(gè)協(xié)議中存在已久的問(wèn)題做出一些改善。幾乎所有運(yùn)行了這個(gè)協(xié)議的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施甚至連基本的安全技術(shù)都沒(méi)有使用，將使它更容易被黑客所利用。

周三，安全公司 Rapid7 的戰(zhàn)略服務(wù)經(jīng)理 Wim Remes 在拉斯維加斯舉辦的 Black Hat 安全大會(huì)上表示，“利用這個(gè)協(xié)議進(jìn)行攻擊的概率雖然有限，但一旦發(fā)生就會(huì)產(chǎn)生巨大的影響?！?/p>

這個(gè)弱點(diǎn)在于邊界網(wǎng)關(guān)協(xié)議，或者稱(chēng)之為 BGP?；ヂ?lián)網(wǎng)服務(wù)提供商和大型企業(yè)的大型路由器要用BGP，以便弄清楚如何在異地之間獲得數(shù)據(jù)。不幸的是，BGP并沒(méi)有內(nèi)置安全機(jī)制，讓路由器驗(yàn)證所收到的信息，以及提供信息的路由器的身份。因此當(dāng)路由器散播不正確的路由數(shù)據(jù)時(shí)，無(wú)論是有意還是無(wú)意，都有可能產(chǎn)生非常糟糕事情。

這個(gè)問(wèn)題已經(jīng)存在了十幾年。在1998年，黑客組織 L0pht 就聲稱(chēng)他們可以在30分鐘內(nèi)拿下互聯(lián)網(wǎng)。BGP 的漏洞事件引起了一些安全公司的認(rèn)真對(duì)待，當(dāng)然也有一些公司并沒(méi)有在意這個(gè)漏洞。

在2013年，安全公司 Renesys 觀察到的幾個(gè)實(shí)例中，美國(guó)經(jīng)由白俄羅斯和冰島的互聯(lián)網(wǎng)流量在遭受攻擊后發(fā)生了莫名其妙地改變，攻擊者旨在暗中攔截?cái)?shù)據(jù)。今年六月，馬來(lái)西亞的 ISP 錯(cuò)誤地配置了路由器，造成世界各地的流量匯聚到了它的網(wǎng)絡(luò)上，從而導(dǎo)致了服務(wù)發(fā)生數(shù)小時(shí)的中斷，這些服務(wù)包括了 Snapchat、Skype 和 Google 搜索。

安全公司 Qrator 的研究人員 Artyom Gavrichenkov 在 Black Hat 上展示了如何在未經(jīng)許可的情況下，操縱 BGP 以獲得特定網(wǎng)站的安全證書(shū)，從而可以冒充它并解密安全流量。

Remes 表示，運(yùn)行了 BGP 基礎(chǔ)設(shè)施的公司都沒(méi)有對(duì)這個(gè)問(wèn)題會(huì)引起的風(fēng)險(xiǎn)產(chǎn)生足夠重視。一項(xiàng)名為 RPKI 的技術(shù)可以讓路由器驗(yàn)證所收到的信息。但是，只有16個(gè)全球訪(fǎng)問(wèn)最頻繁的站點(diǎn)有配置這個(gè)技術(shù)，而Facebook是排名前10位中唯一一個(gè)采用了這個(gè)技術(shù)的網(wǎng)站。

OpenDNS 的網(wǎng)絡(luò)工程部經(jīng)理 Andree Toonk 表示，即使廣泛采用了 RPKI 也只是在一定程度上解決了 BGP 所產(chǎn)生的危險(xiǎn)，它能解決大部分問(wèn)題，但它并非萬(wàn)無(wú)一失。現(xiàn)在看來(lái)，這個(gè)問(wèn)題還沒(méi)解決。

via technologyreview

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。