CDN Tsunami: Exploiting HTTP/3-HTTP/1.1 Conversion for DoS Attacks
Questo articolo introduce un nuovo vettore di attacco Denial-of-Service contro le Content Delivery Network che sfrutta la disparità di traffico tra i protocolli HTTP/3 e HTTP/1.1 per amplificare il carico di banda e di connessione, identificando oltre 42.000 sottodomini vulnerabili e sollecitando misure di mitigazione da parte dei principali vendor di CDN.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immaginate l'internet come una città enorme e frenetica, dove i siti web sono negozi popolari e gli utenti sono i clienti. Per far sì che tutto funzioni senza intoppi, la città impiega una flotta di camion superveloci chiamati Content Delivery Network, o CDN. Questi camion non si limitano a guidare verso il negozio; parcheggiano proprio davanti alla casa del cliente, tenendo copie degli articoli più popolari in modo che i clienti non debbano affrontare un lungo viaggio verso il magazzino principale. Questo sistema è l'ossatura di come navighiamo sul web oggi.
Recentemente, la città ha introdotto un nuovo protocollo di consegna ad alta velocità chiamato HTTP/3. Pensate a questo come a un nuovo tipo di camion che può trasportare molti pacchi diversi in un unico contenitore snello, rendendo la consegna incredibilmente efficiente. Tuttavia, non tutti i negozi della città hanno ancora aggiornato la loro banchina di carico; molti conoscono ancora solo il vecchio stile di consegna, più lento (HTTP/1.1). Questo crea una situazione strana: il camion di consegna è superveloce sull'autostrada, ma deve fermarsi e spacchettare tutto in un formato lento e ingombrante non appena raggiunge la porta del negozio. La grande domanda che i ricercatori si pongono è: un astuto imbroglione può sfruttare questo processo di "spacchettamento" per scatenare il caos? Se qualcuno inviasse un pacchetto piccolo ed efficiente al camion, potrebbe costringerlo a spacchettare un carico massiccio e pesante al negozio, sovraccaricando la capacità del negozio di servire i veri clienti?
Questo articolo, intitolato "CDN Tsunami", esplora esattamente questo scenario. I ricercatori hanno scoperto che la discrepanza tra i nuovi ed efficienti camion di consegna e le vecchie e lente banchine di carico può essere utilizzata come arma per lanciare un attacco Denial-of-Service (DoS). Hanno scoperto che un attaccante non ha bisogno di un enorme esercito di computer per mandare in crash un sito web; può usare un singolo, piccolo computer per ingannare la CDN e farle fare tutto il lavoro pesante. L'articolo dettaglia due modi specifici in cui ciò accade. In primo luogo, l'attacco "Bandwidth Amplification" (HBA): un attaccante invia una richiesta piccola e compressa utilizzando il nuovo formato HTTP/3. La CDN, agendo da traduttore, deve decomprimere questa piccola richiesta in una enorme richiesta HTTP/1.1 non compressa da inviare al sito web. È come inviare una singola cartolina a un traduttore, il quale poi stampa un libro di 500 pagine da consegnare al negozio, intasando la corsia di consegna del negozio con la carta. In secondo luogo, l'attacco "Connection Amplification" (HCA): un attaccante avvia una connessione e poi fa scorrere i dati molto lentamente verso la CDN, costringendo la CDN a tenere aperta la porta del negozio per un tempo molto lungo. Poiché i nuovi camion possono trasportare molti flussi contemporaneamente, l'attaccante può costringere la CDN ad aprire centinaia di queste porte lente e persistenti, riempiendo gli ingressi limitati del negozio in modo che nessun vero cliente possa entrare.
I ricercatori hanno testato queste idee contro sei grandi fornitori di CDN nel mondo reale. Hanno scoperto che tutti e sei erano vulnerabili all'attacco di larghezza di banda "dalla cartolina al libro", e cinque di essi erano vulnerabili all'attacco di connessione "porta lenta". Per vedere quanto fosse grande il problema, hanno costruito uno strumento per scansionare i 1 milione di siti web più popolari su internet. Hanno scoperto che, mentre 151.685 di questi siti sono ospitati su CDN vulnerabili, ben 42.330 di essi hanno il nuovo sistema HTTP/3 attivo, rendendoli potenziali bersagli per questi attacchi. Gli autori sottolineano che non si tratta solo di un glitch teorico; hanno dimostrato che un attaccante potrebbe esaurire la larghezza di banda o i limiti di connessione di un sito web con pochissimo sforzo da parte propria.
Fondamentalmente, l'articolo esclude l'idea che questi attacchi richiedano impostazioni speciali o file grandi per la vittima; l'unico requisito è che il sito web sia ospitato su una CDN che supporta HTTP/3 per i clienti, ma che utilizza ancora HTTP/1.1 per la connessione con il server effettivo. Questa è una configurazione comune perché molti siti web non si sono ancora aggiornati completamente. I ricercatori sostengono anche che queste idee non siano troppo costose o difficili da attuare. Hanno dimostrato che la registrazione per un servizio CDN richiede spesso nient'altro che un indirizzo email, e l'attacco stesso utilizza pochissima larghezza di banda da parte dell'attaccante — meno di 500Kbps per l'attacco di larghezza di banda — rendendolo economico e facile da eseguire.
In seguito alla loro scoperta, gli autori hanno segnalato responsabilmente i loro risultati alle aziende CDN. Due dei fornitori, Baidu e Tencent, hanno riconosciuto le vulnerabilità, hanno premiato i ricercatori con dei bug bounty e hanno già implementato delle correzioni. Le soluzioni proposte consistono nel limitare quanto grandi possano diventare le richieste "spacchettate" e nell'assicurarsi che la CDN non apra una porta verso il negozio finché non ha ricevuto l'intera richiesta, invece di aspettare solo le prime parole. L'articolo conclude che, sebbene internet stia diventando più veloce grazie a HTTP/3, questo periodo di transizione ha creato una nuova, nascosta debolezza che deve essere corretta per mantenere la città digitale al sicuro da questi "tsunami" di traffico.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.