Klávesové zkratky na tomto webu - základní­
Přeskočit hlavičku portálu


Čína k sobě přesměrovala internet z celého světa, může to kdykoli zopakovat

aktualizováno 
Skandální a úmyslný útok na on-line data USA, podle jiných možná jen technická chyba. Internet je zranitelnější, než si mnozí myslí, není problém podvrhnout údaje o připojení a odposlouchávat tok dat.

Ilustrační fotografie | foto: Profimedia.cz

V dubnu 2010 bylo 15 procent všech internetových tras přesměrováno na China Telecom, čínskou státem provozovanou telekomunikační společnost. Incident je označován za "masivní čínský útok na data Američanů a jejich spojenců."

Princip útoku

Velice zjednodušeně: Data jsou po internetové síti posílána po balíčcích (paketech) ze serveru na server, dokud nedojdou do cíle. Routery si mezi sebou dávají vědět, kudy skrze ně vede nejkratší cesta.

Pokud některý z routerů falešně ohlásí, že přes něj vede nejkratší cesta do místa X, ostatní na něj začnou posílat pakety určené do tohoto místa. Tyto pakety pak útočník může nejen přesměrovávat, ale také číst nebo upravovat.

Tento BGP útok zkoušel využít např. Pákistán pro blokaci YouTube v roce 2008.

"Dne 8. dubna 2010, v 15:54 GMT, jsme zachytili signál čínských routerů, který v důsledku vedl k přesměrování 15 procent světových internetových tras skrze servery čínského China Telecom," píše blog McAfee. "Po následujících přinejmenším 18 minut toto přesměrování trvalo a přes Čínu proudila armádní i civilní data z USA a jejich spojenců."

Co se s těmi daty dělo, není jisté. "Možností je mnoho a jsou dost děsivé," mluví blog třeba o uchovávání e-mailů, zpráv a hovorů nebo dokonce o jejich pozměnění.

"Je to jeden z největších útoků, jaké jsme kdy viděli, jestli ne dokonce ten vůbec největší," uvedl Smitri Alperovitch z McAfee. Jeho nebezpečí tkví podle něj i v tom, že jej postižení uživatelé prakticky nemohli zaznamenat.

Únos na síti

Tyto "internetové únosy", za které může špatná instrukce, se občas stanou vinou chyby na routerech nebo serverech. Ale pak se obvykle na chybu přijde, neboť přesměrované pakety nedorazí na místo doručení. V případě čínského cyberúnosu byl ovšem přenos dat pouze mírně pozdržen.

Alperovitch píše, že Čína má možnost ke zneužití svého postavení coby důvěryhodné certifikační autority (dalšími autoritami jsou např. Verisign, Microsoft, Deutsche Telecom, Visa aj.). Incident podle něj ukazuje na zranitelnosti současného systému zabezpečení. "Nevíme, zda šlo o úmyslné zneužití nebo chybu, ale je téměř jisté, že k podobným incidentům dojde znovu," uzavírá Alperovitch.

Nezabezpečený internet?

Jak je to s bezpečností internetových protokolů? Je Čína v tomto ohledu specifickou výjimkou? Na naše otázky odpovídá Ondřej Filip, výkonný ředitel CZ.NIC .

Jde o problém specifický pro Čínu, nebo může podobný útok zorganizovat i někdo jiný?
Rozhodně není specifický, tento útok je způsoben absencí zabezpečení již zmiňovaného BGP protokolu a může jej v podstatě provést každý větší operátor na Internetu. Dalším příkladem tohoto útoku může být zablokování YouTube provedené pakistánským Telecomem z února 2008.

V internetové komunitě se již pracuje na mechanismu, který by měl podobným (úmyslným či neúmyslným) útokům bránit, této technologii se říka Resource Public Key Infrastructure - RPKI.

Do jaké míry jde o reálnou hrozbu pro fungování Internetu?
K samotnému útoku lze uvést, že jeho podstata je velmi dobře známa a prozkoumána. I tento konkrétní útok byl poměrně dobře zdokumentován. Vzhledem k tomu, jak jednoduše byl proveden, se osobně kloním k názoru, že šlo spíše o chybu operátora dané sítě. Celá věc nebyla nijak maskována, nedošlo k přesměrování pouze amerických síti, ale i mnoha čínských, korejských, australských, mexických a podobně. Ke stejnému přesvědčení mě vede i fakt, že s vložením nesprávných informací do protokolu BGP byl použit i tzv. BGP prepending, což je mechanismus, který snižuje váhu vložených informací a údajný útok by pak měl mnohem menší účinnost.

Na úrovni protokolu BGP existuje mnohem zákeřnější útok, který se výrazně hůře detekuje. (Pozn.: Útok spočívá ve využití protismyčkových opatření na routerech a je téměř nezjistitelný, neboť o jeho průběhu nejsou v cestě paketů žádné či téměř žádné památky. Jeho podrobný popis najdete v anglickém PDF)

Je podobný útok možný i po zavedení bezpečného DNS? (více zde)
Bohužel bezpečné DNS v tomto případě nijak nepomůže. Tento útok byl namířen proti směrovacímu protokolu BGP, do kterého byly vloženy nesprávné informace o směrování daných sítí. To způsobí, že útočník přesměruje tok informací mezi dvěma komunikujícími stranami tak, že informace (aspoň v jednom směru) proudí přes něj. Tedy trochu analogie toho, pokud by byl útočník "na drátě" mezi oběma komunikujícími stranami.

Kdo může odposlechnout HTTPS komunikaci a jak?
Odposlechnout již probíhající HTTPS komunikaci je velice obtížné. Nicméně v případě, že dokážete přesměrovat komunikaci určenou pro nějaký HTTPS server (například pomocí útoku na protokol BGP) a zároveň vlastníte ve světě uznávanou certifikační autoritu, můžete cílovou www stránku podvrhnout tak, že klient nepozná, že se připojuje na vaše falešné stránky. Tím je pak možné zjistit například klientská hesla a podobně.

Autor:


Nejčtenější

Nové iPhony XS budou stát až 43 500 korun. Do Česka dorazí 29. září

Matura Jan: Online #7043

Apple na akci Apple Keynote 2018 představil tři nové iPhony. Nástupce modelu X se jmenuje XS, zvětšená varianta pak XS...

Ve dveřích se ohlédl a usmál. Na co nezapomene česká prokurátorka v Haagu

Anna Richterová v době, kdy pracovala pro tribunál v Den Haagu. Snímek je z...

Prokurátorka Anna Richterová je jedinou Češkou, která pracovala u mezinárodního tribunálu pro vyšetřování zločinů v...



Kennedyho sestru Rosemary zničili ambiciozní rodiče lobotomií

Kennedyho sestru zničili ambiciozní rodiče lobotomií

13. září 1918 se narodila Rosemary Kennedyová, sestra prezidenta Johna Fitzgeralda Kennedyho. Od dětství s ní byly...

Zelená Sahara, o hodinu delší den a rozpad Afriky. Co čeká naši planetu?

Budoucnost

Na základě současných poznatků dokážou vědci odhadnout, co se stane v daleké budoucnosti. Připravili jsme pro vás výběr...

Díru do ISS mohli navrtat Američané, tvrdila ruská média

Mezinárodní kosmická stanice ISS.

Američtí astronauti jsou podle ruské agentury Roskosmos nejpravděpodobnějšími viníky incidentu na ISS, při němž na...

Další z rubriky

Vyhledáte v čínském Googlu „Tibet“? Režim se to dozví a sníží vám skóre

Čínská vlajka před budovou firmy Google v Pekingu

Čínská verze Googlu bude odpovídat požadavkům tamního režimu. Má proto (podle informací serveru Intercept) sbírat data...

Americká burza testuje nástroj na odhad kurzů kryptoměn

Virtuální měna Bitcoin zažívá ohromný vzestup. Je to bublina?

Jedna z největších elektronických burz testuje podle nejmenovaného zdroje rozšíření, které pomůže investorům v...

Po čtyřech letech Google zařízne Inbox, populární alternativu Gmailu

První spuštění webové verze Inbox by Gmail

Od roku 2014 mohli uživatelé služby Gmail k vyřizování e-mailů využívat alternativní rozhraní, poněkud odlehčenou...

Najdete na iDNES.cz