CDN Tsunami: Exploiting HTTP/3-HTTP/1.1 Conversion for DoS Attacks
Dieses Paper führt einen neuartigen Denial-of-Service-Angriffsvektor gegen Content Delivery Networks ein, der die Disparität im Datenverkehr zwischen den Protokollen HTTP/3 und HTTP/1.1 ausnutzt, um Bandbreiten- und Verbindungslasten zu verstärken, wobei über 42.000 verwundbare Subdomains identifiziert wurden, was Abhilfemaßnahmen seitens großer CDN-Anbieter veranlasste.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als eine riesige, geschäftige Stadt vor, in der Websites beliebte Geschäfte und Nutzer die Einkäufer sind. Um den Betrieb reibungslos aufrechtzuerhalten, beschäftigt die Stadt eine Flotte von superschnellen Lieferwagen namens Content Delivery Networks, oder CDNs. Diese LKWs fahren nicht nur zum Geschäft; sie parken direkt vor dem Haus des Kunden und halten Kopien der beliebtesten Artikel bereit, damit die Einkäufer keinen langen Weg zum Hauptlager zurücklegen müssen. Dieses System ist das Rückgrat dessen, wie wir heute im Web surfen.
Kürzlich hat die Stadt ein neues, Hochgeschwindigkeits-Lieferprotokoll namens HTTP/3 eingeführt. Denken Sie an diese Art von neuem Lieferwagen, der viele verschiedene Pakete gleichzeitig in einem einzigen, optimierten Behälter transportieren kann, was die Lieferung unglaublich effizient macht. Doch nicht jedes Geschäft in der Stadt hat seine Laderampe schon aufgerüstet; viele kennen noch nur den alten, langsameren Lieferstil (HTTP/1.1). Dies schafft eine seltsame Situation: Der Lieferwagen ist auf der Autobahn zwar superschnell, muss aber sofort stoppen und alles in ein langsames, sperriges Format auspacken, sobald er die Tür des Geschäfts erreicht. Die große Frage, die Forscher aufwirft, lautet: Kann ein listiger Trickbetrüger diesen „Auspackprozess“ ausnutzen, um Chaos zu stiften? Könnte jemand ein winziges, effizientes Paket an den Lastwagen senden, um ihn dazu zu bringen, eine massive, schwere Ladung zu entladen und so das Geschäft zu überfordern, sodass es seine eigentlichen Kunden nicht mehr bedienen kann?
Dieses Papier mit dem Titel „CDN Tsunami“ untersucht genau dieses Szenario. Die Forscher entdeckten, dass dieser Unterschied zwischen den neuen, effizienten Lieferwagen und den alten, langsamen Laderampen als Waffe für einen Denial-of-Service (DoS)-Angriff eingesetzt werden kann. Sie fanden heraus, dass ein Angreifer keine riesige Armee von Computern benötigt, um eine Website lahmzulegen; er kann einen einzelnen, kleinen Computer nutzen, um das CDN die ganze schwere Arbeit erledigen zu lassen. Das Papier beschreibt zwei spezifische Wege, wie dies geschieht. Zuerst der „Bandbreiten-Amplifikation“-Angriff (HBA): Ein Angreifer sendet eine winzige, komprimierte Anfrage unter Verwendung des neuen HTTP/3-Formats. Das CDN, das als Übersetzer fungiert, muss diese winzige Anfrage in eine riesige, unkomprimierte HTTP/1.1-Anfrage dekomprimieren, um sie an die Website zu senden. Es ist, als würde man einem Übersetzer eine einzelne Postkarte schicken, der dann ein 500-seitiges Buch druckt, um es dem Geschäft zu liefern, was die Lieferzufahrt des Geschäfts mit Papier verstopft. Zweitens der „Verbindungs-Amplifikation“-Angriff (HCA): Ein Angreifer stellt eine Verbindung her und lässt dann Daten nur sehr langsam zum CDN fließen, wodurch das CDN gezwungen wird, die Tür zum Geschäft für eine sehr lange Zeit offen zu halten. Da die neuen LKWs viele Streams gleichzeitig transportieren können, kann der Angreifer das CDN dazu bringen, hunderte dieser langsamen, verweilenden Türen zu öffnen, wodurch die begrenzten Eingänge des Geschäfts gefüllt werden, sodass keine echten Kunden mehr hineinkommen können.
Die Forscher testeten diese Ideen gegen sechs große CDN-Anbieter in der realen Welt. Sie fanden heraus, dass alle sechs gegen den „Postkarte-zu-Buch“-Bandbreitenangriff anfällig waren und fünf von ihnen gegen den „langsamen Tür“-Verbindungsangriff anfällig waren. Um zu sehen, wie groß das Problem wirklich ist, bauten sie ein Werkzeug, um die 1 Million populärsten Websites im Internet zu scannen. Sie entdeckten, dass 151.685 dieser Websites auf anfälligen CDNs gehostet werden, während eine erschreckende Zahl von 42.330 von ihnen das neue HTTP/3-System aktiviert haben, was sie zu potenziellen Zielen für diese Angriffe macht. Die Autoren betonen, dass dies nicht nur ein theoretischer Fehler ist; sie zeigten, dass ein Angreifer die Bandbreite oder die Verbindungslimits einer Website mit sehr geringem Aufwand auf seiner Seite erschöpfen könnte.
Entscheidend ist, dass das Papier die Idee widerlegt, dass diese Angriffe spezielle Einstellungen oder große Dateien beim Opfer erfordern; die einzige Voraussetzung ist, dass die Website auf einem CDN gehostet wird, das HTTP/3 für Kunden unterstützt, aber für die Verbindung zum eigentlichen Server noch HTTP/1.1 verwendet. Dies ist ein häufiges Setup, da viele Websites noch nicht vollständig aufgerüstet haben. Die Forscher argumentieren auch gegen die Vorstellung, dass diese Angriffe zu teuer oder zu schwierig durchzuführen seien. Sie zeigten, dass die Registrierung für einen CDN-Dienst oft nichts weiter als eine E-Mail-Adresse erfordert und der Angriff selbst sehr wenig Bandbreite von der Seite des Angreifers beansprucht – weniger als 500 Kbps für den Bandbreitenangriff –, was ihn günstig und einfach in der Ausführung macht.
Nach ihrer Entdeckung meldeten die Autoren ihre Ergebnisse verantwortungsbewusst an die CDN-Unternehmen. Zwei der Anbieter, Baidu und Tencent, erkannten die Schwachstellen an, vergaben den Forschern Bug-Bounties und haben bereits Korrekturen implementiert. Die vorgeschlagenen Lösungen bestehen darin, die Größe der „entpackten“ Anfragen zu begrenzen und sicherzustellen, dass das CDN die Tür zum Geschäft nicht öffnet, bevor es die gesamte Anfrage erhalten hat, anstatt nur die ersten paar Wörter. Das Papier schließt mit dem Hinweis, dass während das Internet mit HTTP/3 schneller wird, dieser Übergangsprozess eine neue, verborgene Schwachstelle geschaffen hat, die behoben werden muss, um die digitale Stadt vor diesen „Tsunamis“ des Verkehrs zu schützen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.