Därför står Telia maktlösa

Nu vet nog de flesta att gruppen Lizard Squad har tagit på sig en rad attacker mot Electronic Arts som drabbat Telia och Tele2. Mångas Internetuppkoppling har gått ner och tagit med sig digital-tv-med mera. Mer detaljerad information är svår att få tag på i dagsläget. Stämmer det att de ligger bakom? Vad är målet egentligen? Förhoppningsvis får vi reda på mer information snart!

Vad är det som pågår?

Det är någon form av överbelastningsattack, och en av de vanligaste formerna är Distributed Denial of Service-attack eller DDOS, som är en överbelastning av servrar genom att en enorm mängd förfrågningar skickas samtidigt. Det innebär helt enkelt att servrarna är upptagna med den trafik attackerarna skickar och inte kan utföra de tjänster de egentligen ska.

I fallet nu är de servrar som är överbelastade, i alla fall delvis, DNS-servrar där DNS står för Domain Name System. Domännamnssystemet är det som kopplar samman domännamn (som www.eset.se) med en IP-adress (till exempel 173.194.116.216).

Det finns attacker som använder just DNS-servrar som verktyg, möjligen rör det sig om i det här fallet om en så kallad DNS amplification attack.

Runt om i världen finns det en stor mängd felaktigt konfigurerade DNS-servrar. I vanliga fall så är det t.ex. bara Telias kunder som använder sig av Telias DNS-servrar. En felkonfigurerad DNS-server kommer svara på alla förfrågningar om namnuppslag, oavsett varifrån de kommer. Till exempel så ska inte Telias DNS-servrar svara på namnuppslag som görs från exempelvis Bahnhofs kunder, just för att förhindra sådana här saker.

Fördelen för hackaren här är att systemet använder UDP, som i princip saknar säkerhetsfunktioner och leveransstatusar. Det leder till att attackeraren slipper vänta på något svar – det går att spamma på med full näthastighet. Förövaren skickar en begäran med falsk avsändare till en stor mängd felkonfigurerade DNS-servrar, och attackeraren har satt sitt önskade mål som avsändare för trafiken. När alla dessa tiotusentals felkonfigurerade DNS-servrar sedan får förfrågan, kommer det att se ut som att det kommer från, i detta fall, en adress från Telia. Då svarar alla DNS-servrarna till målet (Telia), vilket leder till oerhörda mängder trafik och överbelastning.

Men, du sa ju amplifiction attack? Vad innebär det?

Jo, en ”vanlig” (mängdbaserad) denial-of-service-attack innebär att man har ett, eller flera system, som skickar massa trafik till målet, och mängden trafik som skickas är i princip lika stor som det som mottagaren tar emot. I vissa fall går det istället att göra en ”amplification attack”, vilket innebär att den mängd data som attackeraren skickar, är mindre än den mängd som tas emot av målet. Det krävs alltså mindre, för en större attack. Just DNS är rätt sårbart för detta. Man kan skicka en förfrågan på bara 64 byte (”tecken”) till en felkonfigurerad DNS-server, som sedan svarar till målet för attacken med flera tusen byte som ”svar” på förfrågan. Det är inte sällan man kan få 50x ökning av trafikmängden som attackaren skickar, gentemot vad som tas emot av målet.

Om man sedan gör detta via t.ex. ett botnät, och känner till tiotusentals felkonfigurerade DNS-servrar, så kan man ”lätt” komma upp i trafikmängder om flera hundra gigabit per sekund som skickas till målet.

Men, kan man inte fixa problem med DNS-servrarna?

Jo, naturligtvis. Vissa av de felkonfigurerade servrarna tas ner eller patchas, men tyvärr finns det fortfarande jättemånga kvar. Liknande attacker går även att göra med andra protokoll som SSDP, SNMP och NTP.

Vad kan man göra mot en DDOS-attack?

Man kan göra väldigt lite utöver att skaffa större kapacitet. Det går faktiskt att göra väldigt lite åt själva attacken över huvud taget.

Tar Telias servrar emot X gigabyte data per sekund, så måste de kunna hantera all denna trafik plus sin egen ordinarie trafik, och sedan försöka sortera ut och slänga den irrelevanta trafiken. Naturligtvis kan man som nätleverantör filtrera det långt innan det når själva servern, men det är ändå en väldigt stor trafikmängd som måste tas emot av nätverksutrustningen på vägen.

Riktigt stora DDOS-attacker är svåra att förhindra.

En lösning kan vara att använda sig av anycast, vilket (väldigt kortfattat och förenklat) innebär att flera maskiner kan nås med samma IP-adress. Om man t.ex. sätter upp en maskin i USA och en i Sverige, och använder anycast, så kommer europeisk trafik förmodligen att gå till den svenska servern, medan trafik från syd- och nordamerika skickas till servern i USA. Om man på så sätt har flera olika platser i flera olika länder som kan ta emot trafiken, så kommer trafikmängden till varje server vara mycket mindre. Även om man har 100.000 datorer i ett botnät, som försöker attackera samma mål, så kommer de ändå nå olika servrar, de som är geografiskt närmast, och på så sätt behöver inte all trafik från hela världen slussas till ett stackars nätverk i Sverige.

Är det en DNS amplification DDOS som Telia drabbats av?

Man vet ännu inte exakt vad som ligger bakom det, det skulle kunna vara en sådan extern attack (EDIT: men jag har fått information om att det inte är exakt det som är orsaken). Vi får helt enkelt vänta tills någon information släpps publikt.

Vad kan jag göra som användare för att få tillbaka uppkopplingen?

För vissa har det fungerat att byta DNS-servrar till exempelvis Googles med adresserna 8.8.8.8 och 8.8.4.4. Andra upplever dock att det inte gör någon skillnad. Andra menar att uppkopplingen har fungerat bättre när trafiken går via en VPN-tjänst. Din sökmotor kan berätta hur du byter DNS-server i nätverksinställningarna och Mullvad är en bra VPN-tjänst.

Missa inget!

Prenumerera på Säkerhetsbloggen via e-post!

Comments: 2

Your email address will not be published.

  • Hupp, Permalink

    Telia kan om dom vill styra om den större trafiken men man väljer att inte göra det, man vill kunna förhindra det i framtiden och försöker spåra vart det kommer från.
    Telia är än idag Världens största operatör för nättrafik.

  • Jonas, Permalink

    Maktlösa? Det här tyder väl på att Telia inte har implementerad BCP 38 (http://tools.ietf.org/html/bcp38) då borde inte den här typen av attack ha kunnat inträffat. Du skriver också att det vanligtvis bara är Telias kunder som använder sig av Telias DNS-servrar. I det här fallet verkar det som att en stor del av Telias IP-TV-kunder har drabbats vilket är allvarligt. Telia borde åtminstone ha en DNS-tjänst bara för sina kunder då hade det varit väldigt enkelt att implementera BCP 38. Detta är katastrofalt dåligt hanterat av Telia.