Cos'è il routing a un buco nero?

Cos'è il routing blackhole DDoS?

Il routing/filtraggio a un buco nero DDoS (a volte chiamato blackholing) è una contromisura per mitigare un attacco DDoS in cui il traffico di rete viene instradato in un "buco nero" e si perde. Quando il filtro del buco nero viene implementato senza specifici criteri di restrizione, sia il traffico di rete legittimo che quello dannoso viene instradato verso un percorso nullo o un buco nero ed eliminato dalla rete. Quando si utilizzano protocolli senza connessione come UDP, nessuna notifica dei dati eliminati verrà restituita all'origine. Con i protocolli orientati alla connessione come TCP, che richiedono un handshake per connettersi al sistema di destinazione, verrà restituita una notifica se i dati vengono persi.

Per le organizzazioni che non hanno altri mezzi per bloccare un attacco, il blackholing è un'opzione ampiamente disponibile. Questo metodo di mitigazione può avere gravi conseguenze, rendendolo potenzialmente un'opzione indesiderata per mitigare un attacco DDoS. Analogamente a come gli antibiotici distruggono sia i batteri buoni che quelli cattivi, se implementato in modo improprio, questo tipo di mitigazione degli attacchi DDoS interromperà indiscriminatamente le origini di traffico verso la rete o il servizio. Gli attacchi sofisticati utilizzano anche indirizzi IP variabili e vettori di attacco, che possono limitare l'efficacia di questo tipo di mitigazione come unico mezzo per interrompere l'attacco.

Una conseguenza fondamentale dell'utilizzo del routing a un buco nero quando viene interessato anche il traffico valido è che l'aggressore ha sostanzialmente raggiunto il suo obiettivo di interrompere il traffico verso la rete o il servizio di destinazione. Anche se può aiutare un malintenzionato a raggiungere il proprio obiettivo, il routing a un buco nero può comunque essere utile quando l'obiettivo dell'attacco è un piccolo sito che fa parte di una rete più grande. In tal caso, bloccare il traffico diretto al sito preso di mira potrebbe proteggere la rete più ampia dagli effetti dell'attacco.

Case study: come un provider di servizi Internet pakistano ha chiuso YouTube tramite il routing a un buco nero

Nel 2008, YouTube rimase inattivo per ore a causa dell'utilizzo del routing a un buco nero da parte di Pakistan Telecom. Ciò è accaduto dopo che il Ministero delle Comunicazioni pakistano ha ordinato il blocco di YouTube a livello nazionale in risposta a un video su YouTube contenente una vignetta olandese raffigurante il profeta Maometto. Il servizio di telecomunicazioni di proprietà del governo pakistano ha risposto a questi ordini con una soluzione di routing a un buco nero, ma la loro soluzione ha creato effetti collaterali inaspettati.

Pakistan Telecom ha creato un percorso a un buco nero e ha trasmesso istruzioni, dichiarando di essere la destinazione legittima per chiunque cercasse di raggiungere gli indirizzi Web di YouTube. Quel traffico è stato quindi inviato al percorso blackhole e scartato. Il problema è che Pakistan Telecom ha utilizzato BGP* per condividere questa rotta con i Provider di servizi Internet di tutto il mondo. Quindi, il Pakistan ha trasmesso efficacemente ai provider Internet di tutto il mondo di essere la destinazione corretta per il traffico YouTube, per poi inviare tutto il traffico diretto a YouTube in un buco nero. Fortunatamente, YouTube ha un team tecnico molto sofisticato che è stato in grado di identificare e risolvere il problema in poche ore. Tuttavia, questo esempio evidenzia un serio rischio associato all'utilizzo del routing a un buco nero.

*BGP è l'acronimo di Border Gateway Protocol e gestisce il modo in cui i pacchetti vengono instradati su Internet. Un altro noto errore BGP ha addirittura portato alla chiusura di Google; per saperne di più, consulta questo post del blog di Cloudflare.