CDNに脆弱性？Fowarding-Loop Attacks in Content Delivery Networks
•
2 likes•6,770 views
CDNに脆弱性？Fowarding-Loop Attacks in Content Delivery Networks
Recommended
More Related Content
Viewers also liked
Viewers also liked (14)
Recently uploaded
Recently uploaded (12)
CDNに脆弱性？Fowarding-Loop Attacks in Content Delivery Networks
- 1. CDNに脆弱性？ Forwarding-Loop Attacks in Content Delivery Networks 株式会社Jストリーム 事業推進部 佐藤 太一 CDN情報サイト https://tech.jstream.jp/ 1© 2016 J-Stream Inc. All Rights Reserved. Rev:20160315
- 2. 自己紹介 ▶経歴 ▶1980/09 山口県光市 生 ▶2003/03 鹿児島大学 卒 ▶2003/04 Jストリーム（AS24253）に入社 ～新卒で入社してそのまま、現在も在籍 ▶本業 ▶自社CDNのセールスエンジニア ▶CDNのインフラ全般のセールスサポート・構築・運用 ▶最近は現場仕事よりマネジメント業務、顧客対応がメイン ▶CDN情報サイト： https://tech.jstream.jp/ ▶JANOG38 実行委員長 ▶趣味：楽器演奏（ファゴット） © 2016 J-Stream Inc. All Rights Reserved. 2
- 3. コンテンツデリバリネットワーク (CDN) に対するサービス運用 妨害 (DoS) の問題 (Forwarding Loop 攻撃) 公開日：2016/03/01 JVNDB-2016-001538 ■JVN http://jvn.jp/vu/JVNVU94080110/ ■元の発表資料 https://www.internetsociety.org/sit es/default/files/blogs- media/forwarding-loop-attacks- content-delivery-networks.pdf © 2016 J-Stream Inc. All Rights Reserved. 3
- 4. CDNに脆弱性？？ どういうこっちゃ？ © 2016 J-Stream Inc. All Rights Reserved. 4
- 5. 研究者の発表資料 概要 ▶CDNの設定上、オリジンサーバーの指定の仕方によってはProxyループを 発生させ(D)DoS攻撃を行うことが可能 ▶設定をユーザーが行うため、 悪意を持ったユーザー 正規ユーザーのCDNの設定ミス により発生する可能性がある。 ▶CDN事業者は正しく上記を検知し、ブロックできるようにする必要がある。 対応しない事業者がいると全体としてリスクが残る。 ▶補足 ▶Web管理画面でCDNの設定が行えない事業者に関しては影響が少ない ▶オンラインサインアップ等、匿名性のあるトライアルアカウント発行が可能な場合 は悪用される危険性が増す。 © 2016 J-Stream Inc. All Rights Reserved. 5
- 6. 基本的な攻撃テクニック ▶CDNにおけるオリジンサーバに、CDNの配信サーバを設定する ▶ユーザからのリクエストにより、CDNサーバでループを発生させCDNサーバ の負荷を上げる。 © 2016 J-Stream Inc. All Rights Reserved. 6
- 7. ループの種類 ▶Self-Loop ▶単独CDNサーバ内部におけるリクエストループ ▶Intra-CDN Loop ▶あるCDN事業者内におけるリクエストループ ▶Inter-CDN Loop ▶CDN事業者をまたがったリクエストループ ▶Dam Flooding ▶高度なオリジン制御を行うリクエストループ ▶オリジン設定にホスト名を使用し、ループを最大 化するようにホストのIPアドレスを制御する。 © 2016 J-Stream Inc. All Rights Reserved. 7 CDN事業者A Self-Loop Intra-Loop Inter-CDN Loop CDN事業者B
- 8. 対策方法 ▶社会面 ▶安易なオンラインサインアップの中止（ユーザの匿名性を排除する） ▶機能面 ▶オリジンサーバ設定におけるIPアドレスの識別 ▶CDNサーバ群のIPアドレスレンジをオリジンサーバとしない ▶ CDNに特徴的なリクエストヘッダの追加 ▶CDNサーバでは、このリクエストヘッダを持つリクエストを中継しない ▶例：Viaヘッダの適切な付与、検査 ▶タイムアウトの設定 ▶abort-forwardingを設定し、(最初の)ユーザリクエストから規定値以内に完了しな いループを強制切断する。 ▶課題 ▶上記対策を行わないCDN事業者がいる場合、Inter-CDN LoopによりCDN全体 が危険に陥る。 © 2016 J-Stream Inc. All Rights Reserved. 8
- 9. 各CDN事業者の対応状況 © 2016 J-Stream Inc. All Rights Reserved. 9 ▶Akamai ▶影響なしとブログで発表済 ▶https://blogs.akamai.com/2016/03/aka mai-response-to-forwarding-loop- issue.html ▶CloudFlare ▶影響なしとブログで発表済 ▶https://blog.cloudflare.com/preventing- malicious-request-loops/ ▶Jストリーム ▶元々影響は軽微 ▶3/8対応済 Forwarding-Loop Attacks in Content Delivery Networksより TABLE I. VULNERABILITY OF THE MEASURED CDNS TO FOUR TYPES OF FORWARDING-LOOP ATTACKS. (“Likely” refers to inference from indirect evidence.)