CDN Tsunami: Exploiting HTTP/3-HTTP/1.1 Conversion for DoS Attacks
Cet article introduit un nouveau vecteur d'attaque par déni de service contre les réseaux de diffusion de contenu qui exploite la disparité de trafic entre les protocoles HTTP/3 et HTTP/1.1 pour amplifier la charge de bande passante et de connexion, identifiant plus de 42 000 sous-domaines vulnérables et incitant les principaux fournisseurs de CDN à mettre en place des mesures d'atténuation.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez l'internet comme une ville immense et bouillonnante où les sites web sont des boutiques populaires et les utilisateurs des clients. Pour que tout fonctionne sans accroc, la ville emploie une flotte de camions de livraison ultra-rapides appelés réseaux de diffusion de contenu, ou CDN. Ces camions ne se contentent pas de rouler vers la boutique ; ils se garent juste devant la maison du client, contenant des copies des articles les plus populaires afin que les clients n'aient pas à faire un long trajet jusqu'à l'entrepôt principal. Ce système est le pilier de la façon dont nous naviguons sur le web aujourd'hui.
Récemment, la ville a introduit un nouveau protocole de livraison à haute vitesse appelé HTTP/3. Imaginez que cela soit un nouveau type de camion capable de transporter de nombreux colis différents dans un seul conteneur rationalisé, rendant la livraison incroyablement efficace. Cependant, tous les magasins de la ville n'ont pas encore mis à jour leur quai de déchargement ; beaucoup ne savent encore gérer que l'ancien style de livraison, plus lent (HTTP/1.1). Cela crée une situation étrange où le camion de livraison est ultra-rapide sur l'autoroute, mais doit s'arrêter pour déballer et transformer chaque article en un format lent et encombrant dès qu'il atteint la porte du magasin. La grande question que les chercheurs se posent est la suivante : un farceur malin peut-il exploiter ce processus de « déballage » pour semer le chaos ? Si quelqu'un envoie un petit paquet efficace au camion, pourrait-il forcer le camion à déballer une charge massive et lourde au niveau du magasin, submergeant ainsi la capacité du magasin à servir les vrais clients ?
Cet article, intitulé « CDN Tsunami », explore précisément ce scénario. Les chercheurs ont découvert que ce décalage entre les nouveaux camions de livraison efficaces et les anciens quais de déchargement lents peut être utilisé comme une arme pour lancer une attaque par déni de service (DoS). Ils ont découvert qu'un attaquant n'a pas besoin d'une armée massive d'ordinateurs pour faire planter un site web ; il peut utiliser un seul petit ordinateur pour forcer le CDN à faire tout le travail difficile à sa place. L'article détaille deux méthodes spécifiques par lesquelles cela se produit. Premièrement, l'attaque par « amplification de bande passante » (HBA) : un attaquant envoie une petite requête compressée utilisant le nouveau format HTTP/3. Le CDN, agissant comme un traducteur, doit décompresser cette petite requête en une énorme requête HTTP/1.1 non compressée pour l'envoyer au site web. C'est comme envoyer une simple carte postale à un traducteur qui, en retour, imprime un livre de 500 pages pour le livrer au magasin, encombrant ainsi la voie de livraison du magasin avec des tonnes de papier. Deuxièmement, l'attaque par « amplification de connexion » (HCA) : un attaquant établit une connexion et fait ensuite circuler les données très lentement vers le CDN, forçant le CDN à maintenir la porte ouverte vers le magasin pendant très longtemps. Puisque les nouveaux camions peuvent transporter de nombreux flux à la fois, l'attaquant peut forcer le CDN à ouvrir des centaines de ces portes lentes et persistantes, remplissant ainsi le nombre limité d'entrées du magasin pour que les vrais clients ne puissent plus entrer.
Les chercheurs ont testé ces idées contre six grands fournisseurs de CDN dans le monde réel. Ils ont découvert que les six étaient vulnérables à l'attaque de bande passante de type « carte postale vers le livre », et que cinq d'entre eux étaient vulnérables à l'attaque de connexion par « porte lente ». Pour évaluer l'ampleur du problème, ils ont construit un outil pour scanner le million de sites web les plus populaires d'Internet. Ils ont découvert que si 151 685 de ces sites sont hébergés sur des CDN vulnérables, un nombre impressionnant de 42 330 d'entre eux ont activé le nouveau système HTTP/3, ce qui en fait des cibles potentielles pour ces attaques. Les auteurs soulignent qu'il ne s'agit pas seulement d'un bug théorique ; ils ont démontré qu'un attaquant pourrait épuiser la bande passante ou les limites de connexion d'un site web avec très peu d'efforts de sa part.
Crucialement, l'article écarte l'idée que ces attaques nécessitent des paramètres spéciaux ou des fichiers volumineux chez la victime ; la seule exigence est que le site web soit hébergé sur un CDN qui prend en charge HTTP/3 pour les clients, mais utilise toujours HTTP/1.1 pour la connexion avec le serveur réel. Il s'agit d'une configuration courante car de nombreux sites web ne se sont pas encore totalement mis à jour. Les chercheurs soutiennent également l'idée que ces attaques ne sont ni trop coûteuses ni trop difficiles à réaliser. Ils ont montré que l'inscription à un service CDN ne nécessite souvent rien de plus qu'une adresse e-mail, et que l'attaque utilise très peu de bande passante de la part de l'attaquant — moins de 500 Kbps pour l'attaque de bande passante — ce qui la rend peu coûteuse et facile à exécuter.
Suite à leur découverte, les auteurs ont signalé leurs résultats de manière responsable aux entreprises de CDN. Deux des fournisseurs, Baidu et Tencent, ont reconnu les vulnérabilités, ont décerné des primes aux chercheurs et ont déjà déployé des correctifs. Les solutions proposées consistent à limiter la taille maximale des requêtes « déballées » et à s'assurer que le CDN n'ouvre une porte vers le magasin que lorsqu'il a reçu l'intégralité de la requête, plutôt que de se contenter des premiers mots. L'article conclut que bien que l'Internet devienne plus rapide avec HTTP/3, cette période de transition a créé une nouvelle faiblesse cachée qui doit être corrigée pour protéger la ville numérique de ces « tsunamis » de trafic.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.