CDN Tsunami: Exploiting HTTP/3-HTTP/1.1 Conversion for DoS Attacks
Este artigo introduz um novo vetor de ataque de Negação de Serviço contra Redes de Entrega de Conteúdo que explora a disparidade de tráfego entre os protocolos HTTP/3 e HTTP/1.1 para amplificar as cargas de largura de banda e de conexão, identificando mais de 42.000 subdomínios vulneráveis e provocando medidas de mitigação por parte de grandes fornecedores de CDN.
Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
Imagine a internet como uma cidade enorme e movimentada, onde os sites são lojas populares e os usuários são compradores. Para manter tudo funcionando perfeitamente, a cidade emprega uma frota de caminhões de entrega supervelozes chamados Redes de Entrega de Conteúdo, ou CDNs. Esses caminhões não apenas dirigem até a loja; eles estacionam logo na porta da casa do cliente, guardando cópias dos itens mais populares para que os compradores não tenham que fazer uma longa viagem até o armazém principal. Este sistema é a espinha dorsal de como navegamos na web hoje.
Recentemente, a cidade introduziu um novo protocolo de entrega de alta velocidade chamado HTTP/3. Pense nisso como um novo tipo de caminhão que pode carregar muitos pacotes diferentes de uma só vez em um único contêiner otimizado, tornando a entrega incrivelmente eficiente. No entanto, nem todas as lojas da cidade atualizaram sua doca de carga ainda; muitas ainda só sabem lidar com o estilo de entrega antigo e mais lento (HTTP/1.1). Isso cria uma situação estranha onde o caminhão de entrega é superveloz na rodovia, mas tem que parar e desempacotar tudo em um formato lento e volumoso no momento em que chega à porta da loja. A grande questão que os pesquisadores estão fazendo é: um trapaceiro astuto poderia explorar esse processo de "desempacotamento" para causar o caos? Se alguém enviar um pacote pequeno e eficiente para o caminhão, isso poderia forçá-lo a desempacotar uma carga enorme e pesada na loja, sobrecarregando a capacidade da loja de atender clientes reais?
Este artigo, intitulado "CDN Tsunami", explora exatamente esse cenário. Os pesquisadores descobriram que essa incompatibilidade entre os novos e eficientes caminhões de entrega e as docas de carga antigas e lentas pode ser usada como arma para lançar um ataque de Negação de Serviço (DoS). Eles descobriram que um atacante não precisa de um exército de computadores para derrubar um site; ele pode usar um único computador pequeno para enganar a CDN para fazer todo o trabalho pesado. O artigo detalha duas maneiras específicas de como isso acontece. Primeiro, o ataque de "Amplificação de Largura de Banda" (HBA): um atacante envia uma requisição pequena e comprimida usando o novo formato HTTP/3. A CDN, atuando como uma tradutora, tem que descomprimir essa pequena requisição em uma requisição HTTP/1.1 enorme e não comprimida para enviar para o site. É como enviar um simples cartão-postal para um tradutor, que então imprime um livro de 500 páginas para entregar à loja, entupindo a via de entrega da loja com papel. Segundo, o ataque de "Amplificação de Conexão" (HCA): um atacante inicia uma conexão e depois deixa os dados escorrerem lentamente para a CDN, forçando a CDN a manter a porta da loja aberta por um tempo muito longo. Como os novos caminhões podem carregar muitos fluxos de uma vez, o atacante pode forçar a CDN a abrir centenas dessas portas lentas e persistentes, preenchendo as entradas limitadas da loja para que nenhum cliente real consiga entrar.
Os pesquisadores testaram essas ideias contra seis grandes provedores de CDN no mundo real. Eles descobriram que todos os seis eram vulneráveis ao ataque de largura de banda "cartão-postal para livro", e cinco deles eram vulneráveis ao ataque de "porta lenta" de conexão. Para ver o tamanho do problema, eles construíram uma ferramenta para escanear os 1 milhão de sites mais populares da internet. Eles descobriram que, embora 151.685 desses sites sejam hospedados em CDNs vulneráveis, um número impressionante de 42.330 deles tem o novo sistema HTTP/3 ativado, tornando-os alvos potenciais para esses ataques. Os autores enfatizam que isso não é apenas uma falha teórica; eles demonstraram que um atacante poderia esgotar a largura de banda ou os limites de conexão de um site com muito pouco esforço de sua parte.
Crucialmente, o artigo descarta a ideia de que esses ataques exijam configurações especiais do usuário ou arquivos grandes; o único requisito é que o site seja hospedado em uma CDN que suporte HTTP/3 para clientes, mas que ainda utilize HTTP/1.1 para a conexão com o servidor real. Esta é uma configuração comum porque muitos sites ainda não se atualizaram totalmente. Os pesquisadores também argumentam contra a noção de que esses ataques sejam muito caros ou difíceis de realizar. Eles mostraram que registrar-se em um serviço de CDN geralmente não exige nada além de um endereço de e-mail, e o ataque em si utiliza muito pouca largura de banda do atacante — menos de 500Kbps para o ataque de largura de banda — tornando-o barato e fácil de executar.
Após a descoberta, os autores reportaram responsavelmente suas descobertas às empresas de CDN. Dois dos fornecedores, Baidu e Tencent, reconheceram as vulnerabilidades, concederam recompensas por bugs aos pesquisadores e já implementaram correções. As soluções propostas envolvem limitar o quão grandes as requisições "desempacotadas" podem ficar e garantir que a CDN não abra uma porta para a loja até que tenha recebido a requisição inteira, em vez de apenas as primeiras palavras. O artigo conclui que, embora a internet esteja ficando mais rápida com o HTTP/3, este período de transição criou uma nova e oculta fraqueza que precisa ser corrigida para manter a cidade digital segura contra esses "tsunamis" de tráfego.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.