Internet se compone de rutas. Para el resolutor DNS 1.1.1.1, le decimos al mundo que todas las IP en los rangos de 1.1.1.0 a 1.1.1.255 se pueden acceder en cualquier punto de presencia de Cloudflare.
Las personas que no tienen un enlace directo a nuestros enrutadores reciben la ruta a través de los proveedores de tránsito, que entregarán paquetes a esas direcciones conectadas a Cloudflare y al resto de Internet.
Así es el funcionamiento normal de Internet.
Hay autoridades (Registros Regionales de Internet) encargadas de la distribución de direcciones IP para evitar que haya personas que usen el mismo espacio de direcciones. Estas autoridades son IANA, RIPE, ARIN, LACNIC, APNIC y AFRINIC.
La definición amplia de fuga de BGP sería un espacio IP anunciado por alguien sin permiso del dueño del espacio. Cuando un proveedor de tránsito recoge el anuncio de Cloudflare de 1.1.1.0/24 y lo anuncia a Internet, le permitimos que lo haga. También comprueba, utilizando la información del Registro Regional de Internet, que solo Cloudflare puede anunciarlo.
Sin embargo, puede ser difícil verificar todos los anuncios. Especialmente cuando hay más de 700 000 rutas en Internet y cadenas de proveedores que intercambian tráfico entre rutas.
Por su naturaleza, las fugas de ruta están localizadas. Cuanto más localmente conectado estás, menor es el riesgo de aceptar una ruta fugada.
Para que se acepte en lugar de una ruta legítima, la ruta debe tener:
Un prefijo más pequeño (10.0.0.1/32 = 1 IP vs. 10.0.0.0/24 = 256 IP)
Mejores métricas que un prefijo con la misma longitud (ruta de acceso más corta)
La causa de una fuga de BGP suele ser un error de configuración: un enrutador que anuncia repentinamente las IP que ha aprendido. O prefijos más pequeños utilizados internamente para la ingeniería de tráfico que de repente se vuelven públicos.
Pero a veces se hace con intención maliciosa. El prefijo puede ser nuevamente enrutado para analizar pasivamente los datos. O alguien puede también configurar un servicio para responder ilegítimamente en su lugar. Esto ha sucedido ya.
Aproximadamente entre las 11:05:00 y las 12:55:00 (UTC) de hoy vimos los siguientes anuncios:
Esos son más anuncios específicos de los rangos:
205.251.192.0/23
205.251.194.0/23
205.251.196.0/23
205.251.198.0/23
Este espacio IP está asignado a Amazon (AS16509). Pero el número de sistema autónomo que lo anunció era eNet Inc (AS10297) a sus homólogos y lo envió a Hurricane Electric (AS6939).
Durante la fuga de dos horas, los servidores en ese rango de IP solo respondieron a las consultas a myetherwallet.com. Mientras que algunas personas notaron SERVFAIL.
Cualquier resolutor de DNS al que se le pidieran nombres gestionados por la Ruta 53 preguntaría a los servidores autoritativos que habían sido tomados mediante la fuga de BGP. Esto dañó los resolutores de DNS cuyos enrutadores habían aceptado la ruta.
También al resolutor de DNS Cloudflare 1.1.1.1. Nos afectó en Chicago, Sídney, Melbourne, Perth, Brisbane, Cebú, Bangkok, Auckland, Muscat, Yibuti y Manila. En el resto del mundo, 1.1.1.1 funcionaba normalmente.
BGP hijack this morning affected Amazon DNS. eNet (AS10297) of Columbus, OH announced the following more-specifics of Amazon routes from 11:05 to 13:03 UTC today:205.251.192.0/24205.251.193.0/24205.251.195.0/24205.251.197.0/24205.251.199.0/24
Por ejemplo, la siguiente consulta te devolverá IP legítimas de Amazon:
\n \n \n \n \n
Pero durante el secuestro, devolvía IP asociados con un proveedor ruso(AS48693 y AS41995). No tenías que aceptar la ruta secuestrada para ser víctima del ataque, solo usar un resolutor DNS que estuviera dañado.
Si estabas usando HTTPS, el sitio web falso habría mostrado un certificado TLS firmado por una autoridad desconocida (el dominio que aparecía en el certificado era correcto pero estaba autofirmado). La única forma de que este ataque funcionara sería continuar y aceptar el certificado incorrecto. Desde ese momento, todo lo que enviaras estaría cifrado pero el atacante tendría las claves.
Si ya habías iniciado sesión, tu navegador enviaría los datos de inicio de sesión en la cookie. Si no, tu nombre de usuario y contraseña se enviarían si los teclearas en una página de inicio de sesión.
Una vez el que atacante tenía los datos de inicio de sesión, los utilizaban en el sitio web legítimo para transferir y robar Ethereum.
Como se mencionó anteriormente, AS10279 anunció esa ruta. Pero solo afectó a algunas regiones. Hurricane Electric tiene una fuerte presencia en Australia, sobre todo debido a los costes de Internet. Chicago se vio afectada porque AS10279 tiene presencia física por emparejamiento directo.
\n \n \n \n \n
El siguiente gráfico muestra el número de paquetes recibidos en las regiones afectadas y no afectadas (eje Y normalizado). La caída se debe a que el servidor autoritativo ya no respondía a nuestras peticiones (solo respondía a un sitio web y todos los demás dominios de Amazon eran ignorados).
Otros tránsitos utilizados por eNet (CenturyLink, Cogent y NTT) no parecían haber aceptado esta ruta: una razón podría ser que tuvieran filtros o Amazon como cliente.
eNet proporciona servicios IP, así que uno de sus clientes podría haberlo anunciado.
Es una pregunta difícil de responder. Hay propuestas para asegurar el BGP:
Pueden añadirse algunos términos a las bases de datos de los Registros Regionales de Internet, por lo que se puede generar una lista de fuentes permitidas:
Pueden crearse registros RPKI/ROA con el Registro Regional de Internet como fuente fiable con respecto a la ruta de acceso a una ruta, aunque no todo el mundo cree esos registros o los valide. IP y BGP se crearon hace unas décadas, teniendo en cuenta diversos requisitos en cuanto a la integridad y autenticidad (menos rutas).
Pueden hacerse algunas cosas en los niveles superiores de la pila de red.
En DNS, puedes utilizar DNSSEC al firmar tus registros. Las IP devueltas por DNS falsos no se habrían firmado ya que no tienen las claves privadas.
En HTTPS, tu navegador comprobará el certificado TLS proporcionado por el sitio web. Si se habilita HSTS, el navegador requerirá un certificado válido todo el tiempo. La única manera de generar un certificado legítimo de TLS para un dominio sería dañar la caché de un resolutor DNS sin DNSSEC de la autoridad de certificación.
DANE proporciona una manera de asignar certificados a un nombre de dominio utilizando DNS.
DNS mediante HTTPS también permitiría validar que estás hablando con el resolutor correcto si la fuga se produjera en los resolutores DNS en lugar de en la autoridad DNS.
No existe ninguna solución perfecta y única. Cuantas más protecciones se habiliten, más difícil será que un actor malicioso realice este tipo de ataque.
"],"published_at":[0,"2018-04-24T23:31:13.000+01:00"],"updated_at":[0,"2024-10-10T00:42:39.170Z"],"feature_image":[0,"https://cf-assets.www.cloudflare.com/zkvhlag99gkb/2NqAg5jhZss56blwJmxK2Y/e1db9a49b9b647e398c9d87c55b7756c/bgp-leaks-and-crypto-currencies.jpg"],"tags":[1,[[0,{"id":[0,"5O7yCWW0RgXMAc5MVjwcGS"],"name":[0,"BGP"],"slug":[0,"bgp"]}],[0,{"id":[0,"56vA0Z6hqev6QaJBQmO2J8"],"name":[0,"TLS"],"slug":[0,"tls"]}],[0,{"id":[0,"5US4l4wdDysuDpZ4ktL3yP"],"name":[0,"HTTPS"],"slug":[0,"https"]}],[0,{"id":[0,"6Mp7ouACN2rT3YjL1xaXJx"],"name":[0,"Seguridad"],"slug":[0,"security"]}],[0,{"id":[0,"2pFyOCtANFB5qS6nbtQbVp"],"name":[0,"Vulnerabilities"],"slug":[0,"vulnerabilities"]}],[0,{"id":[0,"1QsJUMpv0QBSLiVZLLQJ3V"],"name":[0,"Cryptography"],"slug":[0,"cryptography"]}]]],"relatedTags":[0],"authors":[1,[[0,{"name":[0,"Louis Poinsignon"],"slug":[0,"louis-poinsignon"],"bio":[0,null],"profile_image":[0,"https://cf-assets.www.cloudflare.com/zkvhlag99gkb/3I0nzdzXnHJm80i9p2xDA9/7e58af274690c0018ded871bd9c9de96/louis-poinsignon.jpg"],"location":[0,null],"website":[0,null],"twitter":[0,"@lpoinsig"],"facebook":[0,null]}]]],"meta_description":[0,null],"primary_author":[0,{}],"localeList":[0,{"name":[0,"BGP leaks and cryptocurrencies Config"],"enUS":[0,"English for Locale"],"zhCN":[0,"Translated for Locale"],"zhHansCN":[0,"No Page for Locale"],"zhTW":[0,"No Page for Locale"],"frFR":[0,"Translated for Locale"],"deDE":[0,"Translated for Locale"],"itIT":[0,"No Page for Locale"],"jaJP":[0,"No Page for Locale"],"koKR":[0,"No Page for Locale"],"ptBR":[0,"No Page for Locale"],"esLA":[0,"No Page for Locale"],"esES":[0,"Translated for Locale"],"enAU":[0,"No Page for Locale"],"enCA":[0,"No Page for Locale"],"enIN":[0,"No Page for Locale"],"enGB":[0,"No Page for Locale"],"idID":[0,"No Page for Locale"],"ruRU":[0,"No Page for Locale"],"svSE":[0,"No Page for Locale"],"viVN":[0,"No Page for Locale"],"plPL":[0,"No Page for Locale"],"arAR":[0,"No Page for Locale"],"nlNL":[0,"No Page for Locale"],"thTH":[0,"No Page for Locale"],"trTR":[0,"No Page for Locale"],"heIL":[0,"No Page for Locale"],"lvLV":[0,"No Page for Locale"],"etEE":[0,"No Page for Locale"],"ltLT":[0,"No Page for Locale"]}],"url":[0,"https://blog.cloudflare.com/bgp-leaks-and-crypto-currencies"],"metadata":[0,{"title":[0],"description":[0],"imgPreview":[0,""]}]}],"locale":[0,"es-es"],"translations":[0,{"posts.by":[0,"De:"],"footer.gdpr":[0,"RGPD"],"lang_blurb1":[0,"Esta publicación también está disponible en {lang1}."],"lang_blurb2":[0,"Esta publicación también está disponible en {lang1} y {lang2}."],"lang_blurb3":[0,"Esta publicación también está disponible en {lang1}, {lang2} y {lang3}."],"footer.press":[0,"Prensa"],"header.title":[0,"Blog de Cloudflare"],"search.clear":[0,"Borrar"],"search.filter":[0,"Filtrar"],"search.source":[0,"Fuente"],"footer.careers":[0,"Empleo"],"footer.company":[0,"Empresa"],"footer.support":[0,"Asistencia"],"footer.the_net":[0,"theNET"],"search.filters":[0,"Filtros"],"footer.our_team":[0,"Nuestro equipo"],"footer.webinars":[0,"Seminarios web"],"page.more_posts":[0,"Más publicaciones"],"posts.time_read":[0,"{time} min de lectura"],"search.language":[0,"Idioma"],"footer.community":[0,"Comunidad"],"footer.resources":[0,"Recursos"],"footer.solutions":[0,"Soluciones"],"footer.trademark":[0,"Marca"],"header.subscribe":[0,"Suscribirse"],"footer.compliance":[0,"Conformidad"],"footer.free_plans":[0,"Planes gratuitos"],"footer.impact_ESG":[0,"Impact/ESG"],"posts.follow_on_X":[0,"Síguenos en X"],"footer.help_center":[0,"Centro de ayuda"],"footer.network_map":[0,"Mapa de red"],"header.please_wait":[0,"Un momento..."],"page.related_posts":[0,"Publicaciones relacionadas"],"search.result_stat":[0,"Resultados {search_range} de {search_total} para {search_keyword}"],"footer.case_studies":[0,"Casos prácticos"],"footer.connect_2024":[0,"Connect 2024"],"footer.terms_of_use":[0,"Condiciones de uso"],"footer.white_papers":[0,"Notas técnicas"],"footer.cloudflare_tv":[0,"Cloudflare TV"],"footer.community_hub":[0,"Foro de comunidad"],"footer.compare_plans":[0,"Comparar planes"],"footer.contact_sales":[0,"Comunícate con el departamento de ventas"],"header.contact_sales":[0,"Comunícate con el departamento de ventas"],"header.email_address":[0,"Dirección de correo electrónico"],"page.error.not_found":[0,"Página no encontrada"],"footer.developer_docs":[0,"Documentación para desarrolladores"],"footer.privacy_policy":[0,"Política de privacidad"],"footer.request_a_demo":[0,"Solicita una demostración"],"page.continue_reading":[0,"Seguir leyendo"],"footer.analysts_report":[0,"Informes de analistas"],"footer.for_enterprises":[0,"Para empresas"],"footer.getting_started":[0,"Primeros pasos"],"footer.learning_center":[0,"Centro de aprendizaje"],"footer.project_galileo":[0,"Proyecto Galileo"],"pagination.newer_posts":[0,"Publicaciones más recientes"],"pagination.older_posts":[0,"Publicaciones anteriores"],"posts.social_buttons.x":[0,"Comenta en X"],"search.icon_aria_label":[0,"Buscar"],"search.source_location":[0,"Origen/Ubicación"],"footer.about_cloudflare":[0,"Acerca de Cloudflare"],"footer.athenian_project":[0,"Proyecto Athenian"],"footer.become_a_partner":[0,"Ser socio"],"footer.cloudflare_radar":[0,"Cloudflare Radar"],"footer.network_services":[0,"Servicios de red"],"footer.trust_and_safety":[0,"Confianza y seguridad"],"header.get_started_free":[0,"Empieza ya de forma gratuita"],"page.search.placeholder":[0,"Buscar en Cloudflare"],"footer.cloudflare_status":[0,"Estado de Cloudflare"],"footer.cookie_preference":[0,"Preferencias de cookies"],"header.valid_email_error":[0,"Debe ser un correo electrónico válido."],"search.result_stat_empty":[0,"Resultados {search_range} de {search_total}"],"footer.connectivity_cloud":[0,"Conectividad cloud"],"footer.developer_services":[0,"Servicios para desarrolladores"],"footer.investor_relations":[0,"Relaciones con inversores"],"page.not_found.error_code":[0,"Código de error: 404"],"search.autocomplete_title":[0,"Inserta una consulta. Pulsa Intro para enviarla."],"footer.logos_and_press_kit":[0,"Logotipos y dossier de prensa"],"footer.application_services":[0,"Servicios para aplicaciones"],"footer.get_a_recommendation":[0,"Sugerencias"],"posts.social_buttons.reddit":[0,"Comenta en Reddit"],"footer.sse_and_sase_services":[0,"Servicios SSE y SASE"],"page.not_found.outdated_link":[0,"Puede que tengas un enlace obsoleto o que hayas escrito la dirección incorrectamente."],"footer.report_security_issues":[0,"Informar sobre problemas de seguridad"],"page.error.error_message_page":[0,"Lamentablemente, no podemos encontrar la página que buscas."],"header.subscribe_notifications":[0,"Suscríbete para recibir notificaciones de nuevas publicaciones:"],"footer.cloudflare_for_campaigns":[0,"Cloudflare for Campaigns"],"header.subscription_confimation":[0,"Suscripción confirmada. ¡Gracias por suscribirte!"],"posts.social_buttons.hackernews":[0,"Debatir en Hacker News"],"footer.diversity_equity_inclusion":[0,"Diversidad, equidad e inclusión"],"footer.critical_infrastructure_defense_project":[0,"Proyecto de protección de infraestructuras críticas"]}]}" ssr="" client="load" opts="{"name":"PostCard","value":true}" await-children="">
En las últimas horas, han aparecido una docena de noticias sobre cómo un atacante ha intentado (y tal vez ha logrado) robar criptomonedas con una fuga del protocolo de puerta de enlace de frontera (Border Gateway Protocol o BGP por sus siglas en inglés)....