Dos investigadores de seguridad informática, han demostrado una nueva técnica para interceptar (en forma furtiva) el tráfico de Internet a una escala que, se presume, no estaría disponible para el usuario común sino que para grandes organismos de inteligencia.

La técnica utiliza el protocolo BGP para desviar el tráfico de Internet en cualquier lugar del mundo hacia una estación de monitorización, para luego ser enviado (una vez que se ha modificado) hacia su destino final.

El protocolo BGP mantiene las tablas de rutas que permiten encontrar la más eficiente hacia un destino determinado. Estas rutas se basan en las máscaras de red y la más restrictiva (o la más específica) gana.

Para lograr interceptar el tráfico, el atacante tendría que publicar un rango de IPs más acotado que el que tiene publicado su legítimo dueño. Esta publicación se propaga en cosa de minutos a todo el mundo, con lo que el atacante recibirá los datos destinados a los rangos de IPs publicados. Claro que con esto sería fácilmente detectado, puesto que todo el tráfico “desaparecería” sin llegar a su destino (porque sería desviada hacia el destino definido por el atacante).

Para solucionar este “inconveniente”, el atacante debe utilizar otra capacidad del protocolo BGP denominada “AS path prepending“, la que permite seleccionar algunos routers para que no acepten la publicación BGP hecha por el atacante, logrando que mantengan las tablas BGP originales. Por medio de éstos routers puede enviar el tráfico para que llegue a su destino “original”.

Lo grave del hecho es que en todo el proceso no se aprovecha ninguna vulnerabilidad, fallo del protocolo o error del software; sino que se saca provecho de la arquitectura BGP, que se basa en la confianza mutua.

Según palabras de Peter Zatko (uno de los investigadores), “Es un problema enorme. Es un problema al menos tan grande como el de DNS, si no más grande“. Mientras que Anton Kapela, el otro investigador, señaló que los ISP pueden evitar estos ataques utilizando filtros, pero el problema es que se requiere de una gran cantidad de filtros y que los ISPs deberían trabajar en coordinación.

Peter Zatko perteneció al grupo L0pht y ya en 1998 testificó ante el congreso norteamericano, señalando que era capaz de detener Internet en sólo 30 minutos, utilizando un ataque similar al descrito.

Y ahora, quién podrá defendernos?

Link: The Internet’s Biggest Security Hole (Wired)