Faiblesses dans la mise en œuvre du protocole TCP dans boîtiers de médiation et l’infrastructure de censure pourrait être militarisée en tant que vecteur pour mettre en scène des attaques d’amplification par déni de service (DoS), dépassant de nombreux facteurs d’amplification basés sur UDP à ce jour.

Détaillées par un groupe d’universitaires de l’Université du Maryland et de l’Université du Colorado Boulder au USENIX Security Symposium, les attaques volumétriques tirent parti des boîtiers intermédiaires du réseau non conformes à TCP, tels que les pare-feu, les systèmes de prévention des intrusions et les paquets profonds. boîtiers d’inspection (DPI) — pour amplifier le trafic réseau, avec des centaines de milliers d’adresses IP offrant facteurs d’amplification dépassant ceux de DNS, NTP et Memcached.

Les attaques par amplification réfléchie sont un type d’attaques DoS dans lesquelles un adversaire exploite la nature sans connexion du protocole UDP avec des requêtes falsifiées à des serveurs ouverts mal configurés afin de submerger un serveur ou un réseau cible avec un flot de paquets, provoquant une perturbation ou rendant le serveur et ses infrastructures environnantes inaccessibles. Cela se produit généralement lorsque la réponse du service vulnérable est plus importante que la demande falsifiée, qui peut ensuite être exploitée pour envoyer des milliers de ces demandes, amplifiant ainsi considérablement la taille et la bande passante délivrées à la cible.

Alors que les amplifications DoS sont traditionnellement basées sur UDP en raison de complications résultant de TCP poignée de main à trois pour établir une connexion TCP/IP sur un réseau basé sur IP (SYN, SYN+ACK et ACK), les chercheurs ont découvert qu’un grand nombre de boîtiers de médiation réseau ne sont pas conformes à la norme TCP et qu’ils peuvent « répondre à des demandes censurées avec de grandes pages de blocage, même s’il n’y a pas de connexion TCP ou d’établissement de liaison valide », transformant les appareils en cibles attrayantes pour les attaques d’amplification DoS.

« Les boîtiers intermédiaires ne sont souvent pas compatibles TCP par conception : de nombreux boîtiers intermédiaires tentent [to] gérer le routage asymétrique, où le boîtier de médiation ne peut voir qu’une seule direction des paquets dans une connexion (par exemple, client à serveur) », les chercheurs mentionné. « Mais cette fonctionnalité les ouvre aux attaques : si les boîtiers de médiation injectent du contenu basé uniquement sur un côté de la connexion, un attaquant peut usurper un côté d’une poignée de main TCP à trois voies et convaincre le boîtier de médiation qu’il existe une connexion valide. »

De plus, une série d’expériences a révélé que ces réponses amplifiées proviennent principalement des boîtiers de médiation, y compris les dispositifs de censure des États-nations et les pare-feu d’entreprise, soulignant le rôle joué par une telle infrastructure pour permettre aux gouvernements de supprimer l’accès à l’information à l’intérieur de leurs frontières, et pire encore, permettre aux adversaires d’armer les périphériques réseau pour attaquer n’importe qui.

« L’infrastructure de censure de l’État-nation est située chez les FAI à haut débit et est capable d’envoyer et d’injecter des données à des bandes passantes incroyablement élevées », ont déclaré les chercheurs. « Cela permet à un attaquant d’amplifier de plus grandes quantités de trafic sans se soucier de la saturation de l’amplificateur. Deuxièmement, l’énorme pool d’adresses IP sources pouvant être utilisées pour déclencher des attaques d’amplification rend difficile pour les victimes de simplement bloquer une poignée de réflecteurs. les censeurs transforment efficacement toutes les adresses IP routables (sic) dans leur pays en un amplificateur potentiel. »

« Les boîtiers intermédiaires introduisent une menace inattendue, encore inexploitée, que les attaquants pourraient exploiter pour lancer de puissantes attaques DoS », les chercheurs ajoutée. « La protection d’Internet contre ces menaces nécessitera des efforts concertés de la part de nombreux fabricants et opérateurs de boîtiers de médiation. »