Брешь протокола BGP может привести к длительным сбоям в работе интернета

Брешь протокола BGP может привести к длительным сбоям в работе интернета

Брешь протокола BGP может привести к длительным сбоям в работе интернета

В нескольких популярных имплементациях протокола динамической маршрутизации Border Gateway Protocol (BGP) нашли серьезную уязвимость, которая может привести к длительным сбоям в работе интернета. Самое плохое — вендоры не спешат патчить брешь.

Протокол BGP, как известно, предназначен для обмена информацией о достижимости подсетей между автономными системами. Различные перехваты и утечки могут использоваться для перенаправления пользователей или вызова сбоя в работе сайтов.

BGP обменивается UPDATE-сообщениями для установки данных маршрутизации: диапазон IP-адресов и атрибуты, дающие дополнительный контекст. Именно с этим атрибутами связана обнаруженная уязвимость, а вернее — с их обработкой BGP-имплементациями.

Если маршрутизатор не понимает атрибут, он может передать его без каких-либо изменений. При этом повреждения такого атрибута могут спровоцировать ошибку, которая приведет к закрытию сессии BGP. Таким образом, затронутая сеть не сможет взаимодействовать с остальным интернетом.

«При условии, что условный злоумышленник сможет подготовить качественный пейлоад, ему удастся создать сообщение вида UPDATE, которое будет курсировать по Сети нетронутым, пока не достигнет продукта конкретного вендора и не приведет к сбросу сессии», — объяснят в блоге Cox.

«Если эти данные дойдут до BGP-соединений, открывающих сети доступ к интернету, это может привести к выводу сети в офлайн».

Проблему усугубляет тот факт, что «плохой» маршрут будет хранится в целевом роутере; это будет приводить к повторным сбросам при перезагрузке маршрутизатора. И это не теоретический вектор атаки, уже встречались случаи (например, в начале июня в Бразилии), когда некорректный атрибут привел к сбоям в работе сетей.

Специалисты разработали фаззер для тестирования различных имплементаций BGP на наличие бреши. Оказалось, что уязвимость обошла продукты MikroTik, Ubiquiti, Arista, Huawei, Cisco и Bird.

Среди затронутых имплементаций эксперты выявили Networks Junos OS, Nokia SR-OS, Extreme Networks EXOS, OpenBSD OpenBGPd и FRRouting. При этом только OpenBSD выпустила патч (CVE-2023-38283).

Напомним, в марте мы писали ещё про ряд проблем, затрагивающих BGP и популярный софт для маршрутизации.

В России разработали способ удалить свой биометрический след

В ИТ-компании «Криптонит» (входит в «ИКС Холдинг») разработали метод, который позволяет выборочно удалять цифровые образы людей из систем распознавания лиц. Если совсем просто, речь идёт о технологии, которая должна помочь реализовать право человека отозвать согласие на обработку своей биометрии — так, чтобы система действительно перестала его узнавать.

Проблема тут в том, что современные системы распознавания лиц устроены не так прямолинейно, как может показаться.

Даже если сведения о человеке формально удалили из базы, его цифровой образ может всё равно остаться внутри уже обученной модели. То есть на бумаге данные вроде бы стерли, а на практике алгоритм всё ещё способен узнать этого человека.

Именно это и делает тему особенно чувствительной. С биометрией всё сложнее, чем с обычными персональными данными: пароль можно поменять, а лицо — нет. Если такие данные утекают, риски уже совсем другого уровня, потому что украденные цифровые слепки можно использовать для создания поддельных образов и обхода биометрической аутентификации.

 

В «Криптоните» утверждают, что их метод решает задачу не маскировкой и не косметическим удалением, а на уровне внутренней логики самой модели. Проще говоря, алгоритм перестаёт использовать сведения о конкретном человеке и больше не может его распознавать, при этом способность узнавать остальных людей сохраняется.

По словам разработчиков, на тестовых наборах данных технология показала заметное снижение эффективности распознавания именно тех лиц, которые нужно «забыть», — до 88%. При этом общая точность системы, как утверждается, осталась на прежнем уровне.

Практическое применение у такого подхода вполне очевидное. В первую очередь это системы видеонаблюдения с распознаванием лиц, СКУД и корпоративная безопасность. Например, технология может пригодиться для удаления биометрических данных уволенных сотрудников, когда компания обязана прекратить их обработку, но не хочет при этом заново переобучать всю систему с нуля.

RSS: Новости на портале Anti-Malware.ru