Máme se bát operace Global blackout?

Máme se bát operace Global blackout? Tato otázka je zároveň název textu Ondřeje Filipa z CZ.NIC, ve kterém jeho autor reaguje na zveřejnění informace o masivním DDoS útoku na DNS root servery. Ten by měl přijít v rámci takzvané operace Global Blackout 31. března tohoto roku.

Ondřej Filip v článku mimo jiné píše: "tak jako u všech zpráv tohoto druhu je pochopitelně těžké určit, jak moc vážně se tím mají bezpečnostní týmy zabývat. O neuchopitelnosti Anonymous již bylo napsáno mnoho. Každopádně se tomuto možnému útoku věnovala některá poměrně čtená média a zdá se, že i DNS operátoři berou hrozbu částečně vážně; problém byl poměrně důkladně diskutován v uzavřených operátorských bezpečnostních listech." Více v samotném blogpostu.

20.2.2012 12:27 | Vilem Sladek | Zajímavý článek

Komentáře

[Mrkva]

Už vidím jak sejmou ty dvě stovky root serverů najednou a udrží je dole po delší dobu aby se to stihlo projevit.

[lukve]

tz Anonymous mi pripadaju ze skor skodia veci a internetu nez prospech.. nesu to nahodou platenz amrickz agenti ktorz chcu ukazat ze existuje kriminalita na internete?

[R]

Tiez mi to tak pripada. Takyto utok moze vymysliet bud partia debilkov alebo niekto, kto chce ukazat "internetovy terorizmus"...

[jdsulin]

myslis internovy terorismus ve smyslu prebirani domenovych jmen radne platicim ? :)

[R]

Nie, myslim znefunkcnenie DNS.

[tecik]

Co pouze o snahu vlad/organizaci o pospineni Anonymous/apod. skupin pred ovcany?

[pavlix]

Myslím, že takový útok můžou provést stejně smýšlející lidé jako ti, kteří provádějí očkování.

Testování je důležité.

[xm]

Anonymem může být kdokoliv, to není žádné organizované sdružení. Je to jen anonymní nikým neřízené hnutí, něco jako třeba v minulosti hippies (i když to také není úplně nejvhodnější přirovnání).

Ostatně sám Ondřej Filip v článku píše:

Celé toto prohlášení vnímám spíše jako hoax, může jít klidně o odpoutání pozornosti. Ani Anonymous se jistě nebudou pouštět do akcí, u kterých je v podstatě mizivá šance na úspěch. Navíc tento útok by byl poněkud v rozporu s jejich dosavadní snahou o „svobodný Internet“.

[xm]

Ještě doporučím moc pěkný článek (rozhovor) s jedním Anonem na zpravodajském serveru Česká pozice: Anonymous je ideál přímé demokracie v praxi

Až na trochu bulvární nadpis článku je to opravdu poučné čtení o historii a fungování současných moderních Anonymous (tedy těch kterými staří "oldfags" z 4chanu víceméně opovrhují).

[petr_p]

Ono to má i své světlé stránky. Abyste mohl zahltit server, musíte sehnat klienty. Útokem se botnet odmaskuje, čímž ho bude možné vyčistit nebo aspoň zablokovat infikované autonomní systémy, čímž se efektivně přinutí nedbalí správci k činům.

[Foo Bar]

Ale kdeže... bohužel zrovna UDP ve spojením s nedodržováním BCP-38 (aneb ingress filtrování) dovoluje útočit na DNS servery tak, že žádný botnet neodhalíte.

[pavlix]

tz Anonymous mi pripadaju ze skor skodia veci a internetu nez prospech..

Tím se přidáváš k mnohým pomýlencům, kteří věří, že se jedná o organizovanou skupinu lidí.

[Jendа]

K zamyšlení (z nějakého komentáře na Pirátských novinách z posledního týdne, nebudu to hledat…):

Sejmout stránky nějaké státní instituce je většinou snazší, než sejmou „stránky“ na Facebooku (pokud zrovna nemají heslo 123456 nebo si nenechají odposlechnout session cookie). Co z toho vyplývá?

[Filip Jirsák]

Vyplývá z toho, že dotyčný vůbec neví, o čem je řeč. „Sejmout stránky“ v tomto případě znamená, že script kiddies udělají DDoS útok (v podobě záplavy regulérních požadavků) na síť nebo web server hostující dané stránky. Proti takovému DDoS útoku není žádná technická obrana, jediné, co může pomoci, je infrastruktura dimenzovaná na velký provoz (takový DDoS není nic jiného, než nepřirozeně velký provoz). Facebook má přirozeně infrastrukturu dimenzovanou na velký provoz, nemá vše v jedné síti atd. Nárůst počtu spojení o pár procent ho nerozhází. Naproti tomu státní instituce má infrastrukturu dimenzovanou na běžný provoz, je to jeden server připojený do internetu jednou linkou. Nárůst počtu spojení o stovky nebo tisíce procent samozřejmě neustojí. Jistě, mohla by ona státní instituce do provozu webu investovat řádově víc peněz, provozovat to třeba v několika lokalitách v cloudu Amazonu, ale to by se oprávněně nikomu nelíbilo, protože by se vyhazovaly státní peníze za nepotřebné věci.

[Jezevec]

Az na ten maly nepatrny detail, ze provoz toho poddimenzovaneho statniho serveru na te poddimenzovane lince stoji s pravdepodobnosti blizici se jistote totez, jako provoz radove vykonejsiho clusteru.

[Jendа]

Nevidím rozpor mezi vaším a mým komentářem.

Vyplývat z toho mělo to, že se v rámci obrany proti DDoS přesunou všichni ze svých serverů na FB.

Původní komentář jsem našel zde, není v okolí žádná rozumná #kotva, je to komentář xChaos z 23:25:54.

[Filip Jirsák]

Nemůžu si pomoci, ale „stránka na Facebooku“ a „webová aplikace“ nebo „web instituce“ jsou dvě naprosto odlišné věci, které mají společné asi jenom to, že se tam zobrazují nějaká písmenka. Ale asi je zbytečné pokoušet se xChaosův komentář pochopit, ono stačí, že DDoS nazývá hackem.

[dumi]

Neni tech root serveru jen 13? Ale mozna se pletu...

[Mrkva]

Teoreticky jo, prakticky z nich velká část používá anycast na desítky fyzických strojů. (Tři běží i v Praze)

[Mustafa]

lepsi reseni je zde vy hekri. http://www.turnofftheinternet.com/

[ewew]

Možno chcú poukázať na centralizáciu internetu alebo na jeho nesprávnu hierarchiu. Inými slovami Single Point of Failure.

[Tomáš Pelc]

Alespoň už ale víme, kdo za tím vším stojí a je duchovním otcem (resp. matkou).

[Gilhad]

Spis by me zajimalo, jestli uz nekdo napsal (asi ano, ale jak se to jmenuje) neco na obranu pred temito hrickami ve smyslu:

na lokalnim DNS serveru logovat vsechny pozadovane domeny a jejich IP s casem, kdy poprve byla s touto hodnotou resolvovana. Vystupem je tabulka

domena|ip|datum

kde (domena|ip) je unikatni klic. Pokud dojde k vypadku DNS (at uz kvuli blackoutu, nebo kvuli unosu stranek), jde dohledat na kterych vsech IP dana domena kdy byla a z nich si vybrat nejake, co dam treba do /etc/hosts

Samozrejme mi to umozni pristup jen tam, kam uz jsem driv chodil, ale i tak to muze pokryt vic nez 90% provozu at se s DNS deje co chce

[vhor]

Lokální server ukládá odpovědi do své cache. To nestačí?

[Gilhad]

Mozna staci, budu to muset nekde zkusit nahodit a sledovat tu cache. Ale hlavni myslenka tohoto je, ze chci

• mit i znacne stara data (na tom webu jsem byl naposled loni, letos chci zas)
• mit i "zastarala" data (ted to vede na stranky ACTA/OSA/... ja chci kam to vedlo pred unosem
• mit ty data dostupna i jinak (hele, tady ti posilam IP pro ty stranky)

Ale jestli je nejaka cache dobre ukladana, tak by to z ni slo parsovat

[Jendа]

To bych možná technicky implementoval rovnou sniffováním DNS odpovědí a jejich ukládáním.

[Foo Bar]

Použil bych python modul do unboundu.