El fin del Internet como lo conocemos

En los últimos meses ha habido una buena cantidad de "Buzz" (si es posible determinarlo así) del fin del Internet como lo conocemos, la razón fundamental es el agotamiento de las direcciones públicas de IPv4 (por ejemplo este artículo de CNN).

La verdad y cruda verdad es que es cierto, el Internet va a cambiar como lo conocemos. Pero no por el agotamiento de las direcciones de IPv4, si no por su especial naturaleza que hace al Internet un ser vivo, dinámico y en constante evolución. Hoy en el 2010 el Internet es radicalmente diferente al Internet del 2003 sin YouTube, Facebook, Twitter y sin todo el glamour del Web 2.0 que apenas se empezaba a gestar con sitios como Wikipedia, Flickr y Del.icio.us.

Ir más atrás es aventurarse a un mundo casi irreconocible; 1998 sin Google, sin botnets, Yahoo! como el gran gigante, Netscape. 1995 con Mosaic (¿Alguien lo recuerda?), FTP y leyendo correo electrónico vía telnet con Pine.

¿Hay alguien que pudiera imaginarse el Internet hace 15 años y verlo como existe hoy en día? Bajo el mismo raciocinio creo que el Internet cambiará mucho como lo conocemos en los próximos años, pero no por el agotamiento de direcciones como único factor. Si es cierto que será un factor importante, pero será un conjunto de tecnologías, nuevos retos y sobre todo gracias a un factor humano que quizá aún no conocemos que el Internet cambiará. Gracias al agotamiento de direcciones tendremos un nuevo protocolo funcionando: IPv6. IPv6 traerá un nuevo mundo por si mismo, miles de millones de miles de millones de miles ... de direcciones lo cual permitirán aplicaciones inimaginables hoy en día; pero también traerá nuevo retos para protegerlas. La adopción final de nuevas tecnologías de seguridad como DNSSEC (DNS seguro), RPKI y otras harán el Internet un poco más seguro también.

Pero estos son solo las bases técnicas, realmente el cambio importante será dado por nosotros en como usemos estas nuevas tecnologías para modificar nuestra forma de trabajar, colaborar y socializar usando el Internet. Así que si alguien les dice que el Internet cambiará radicalmente en los próximos años pueden creerle.

Necesitas una botnet, solo $9.00 la hora

Agregando un poco mas de sal al problema de las botnets y del "Attack as a Service (AaaS)" (no se si exista el termino pero ya que esta la moda del computo en la nube) una nota interesante:

Study finds the average price for renting a botnet

http://www.zdnet.com/blog/security/study-finds-the-average-price-for-renting-a-botnet/6528

"Based on an experiment conducted by researchers from VeriSign’s iDefense Intelligence Operations Team, involving 25 different "rent a botnet" underground marketplace propositions, they were able to conclude that the average price for renting a botnet is $67 for 24 hours, and $9 for hourly access."

Aqui hay algunos articulos relacionados (a bontnets):

The attack of the opt-in botnets

http://www.zdnet.com/blog/security/attack-of-the-opt-in-botnets/6268

The biggest cloud on the planet is owned by ... the crooks

http://www.networkworld.com/community/node/58829

Saludos,

-asn

Resumen MiniBlog Semana 24-31 Enero 2010

Privacidad en Facebook: Don't drink, drive, kill someone, drink, post on Facebook

Aunque no estoy de acuerdo que una persona haga lo que hizo esta adolecente (manejar alcoholizada, chocar y matar al pasajero, después irse de vacaciones, seguir bebiendo y postear las fotos en Facebook) no se si el uso de las fotos como evidencia para el juez para una segunda sentencia sea legal. No hay detalles, así que es posible que alguién (autorizado para acceder el perfil de la susodicha) haya “pasado” las fotos a la autoridad.

Y tomando en cuenta los otros ejemplos (empleados despedidos, seguros negados, etc.) creo que es mejor pensar dos veces en postear cosas que no sean las adecuadas (o hacerlas, no vaya a ser que un “amigo” envíe esas fotos comprometedoras de tí por tí).

Tumblr

Google quiere conocer la dirección de IP de las requisiciones de DNS

Ayer Google público un draft promoviendo extensiones en el protocolo de DNS. Básicamente como dice el artículo quieren que los usuarios contacten al DNS autoritativo del dominio. La razón es para que la dirección de IP que se resuelva sea la más cercana al usuario. Sin embargo al saber la dirección de IP origen una gran cantidad de información de inteligencia estará disponible.

Anycast resuelve algunas cosas de las que propone Google, aunque no todas. Sin embargo creo que estas extensiones son un reto para que no se abuse con la privacidad del usuario.

Tumblr

Un sistema inmune para Cloud Computing [Basado en IA]

Seguridad es un hot-topic

Cloud Computing es hot-topic

Inteligencia Artificial está empezando a ser un hot topic

Cloud Computing + Seguridad Muy hot topic (John Chambers de Cisco lo describe como la pesadilla de la seguidad)

Cloud Computing + Seguridad + IA es aún más hot topic

Tumblr

Reporte: 48% de 22 millones de computadoras escaneadas contiene algún tipo de malware

Lo cual coincide con el reporte de seguidad de Cisco y Symantec (no liga disponible) que un gran porcentaje de los problemas de seguridad en el 2010 serán las vulnerabilidades en el software de usuario final (Adobe Acrobat, Office, IE, Firefox, Flash). Esto con el objetivo de infiltrar malware en el usuario con el propósito de robar información como cuentas bancarias.

Tumblr

Google Chrome Content Filtering

Chromium mejora el manejo de contenido en el más reciente build.

Tumblr

EU has doubts as ISP rolls out DPI for copyright enforcement

Interesante artículo sobre la implementación de DPI (Deep Packet Inspection) y las dudas que tiene la Unión Europea si esto es o no una buena idea. Artículo en inglés.

Tumblr

SPAM, comercio de miedo

   Hace unos días comenté que pronto veríamos como los SPAMers empezarían a generar correos vendiendo vacunas o medicamente contra la influenza y que pronto ya no sería el viagra el medicamento ideal sino ahora sería el . Un poco después el US-CERT advierte acerca de ataques de phishing usando este nuevo vector de ingeniería social y el SANS publica una lista de sitios que podrían generar malware/phishing/scams dado sus dominios.

  Pues hoy recibí mi primer SPAM relacionado con la influenza. También visitando un sitio de noticias me encontre este anuncio de Google Ads. Los anuncios no son sitios de malware (al menos estos tres no parecen, pero por si las dudas entren bajo su propio riesgo), pero sin duda tienen pensado lucrar con el miedo de la gente.

  Bueno, creo que los humanos somos bastante predecibles.

La gran noticia de hoy de Conficker es que ... No hay noticias

    Por el momento todo luce calmado. Aunque ya prácticamente es 1 de abril en todo el mundo aún no hay noticias del esperado fin del mundo que traería este día como resultado de la expansión del gusano conficker y del nuevo "payload" que hoy se activaría.

   Más que el resultado de una gran campaña de parcheo, creo que el famoso gusano aprovechó una gran campaña mediática donde se exageraron y sobrestimaron sus efectos. Espero no equivocarme y creo que el día seguirá tranquilo. Por si algo pasa, estaré actualizando a través de mi cuenta de twitter y mi tumbr. En caso de infección o pro-acción contra el gusano aquí hay algunos recursos.

La BBC, su botnet y otras noticias de ataques DDoS

  Sin duda la noticia acerca de ataques de DDoS más comentada de la semana fue la relacionada a la BotNet que la BBC contrató. Para no ser tan amarillista como otros medios, en realidad no fue la BBC como cadena de medios, sino el staff de uno de sus programas llamado Click. El objetivo del programa era demostrar lo fácil que es contratar un botnet para actividades delictivas. La botnet se uso para enviar SPAM a una cuenta predefinida y para atacar con un DDoS a un sitio de una empresa de seguridad específicamente puesto para este propósito. Aunque se ha dicho mucho acerca de la ética seguida por el staff de Click, lo cierto es que demostraron lo fácil y barato que es contratar este tipo de servicios.

En otra noticia, José Nazario de Arbor Networks en su presentación en SOURCE Boston comentó acerca de los neuvos "trends" en cyber delitos. Nazario explica que cyber criminals ya no solo venden kits de software para ejecutar actividades ilícitas en computadoras no protegidas, sino que ahora hasta venden servicios para los script-kiddies o criminales que nada más no se les da como usar el software malicioso. El audio de la presentación aquí.

Y el ataque al sitio de Torrents Mininova continúo. Aquí pueden ver algunos trends en el tráfico que los ataques han generado.

DDoS a principios de Marzo

Ante el asombro de algunos, el sitio del Pirate Bay fue atacado por un DDoS a principios de esta semana. Aún no hay noticias de quienes fueron los autores intelectuales. El sitio esta estable por lo pronto.

De acuerdo a un analisis de la firma de anti-virus Sophos, el gusano Confiker podría iniciar un ataque de DDoS hacia algunos sitios, entre ellos Soutwest Airlines. El DoS sería un daño colateral debido a la propagación del gusano. La nota en TechRepublic.

Y el sitio de Torrents Minova ha sido atacado también por un DDoS. De acuerdo a TorrentFreak el ataque ha llegado hasta los 2 Gbps viniendo de redes de bots que parecen estar en Alemania y Argentina.

SPAMers se diversifican

   A veces tengo la costumbre de checar mis folders de SPAM para ver si no se fue algún correo mal etiquetado. En esta ocasión la mayoría de mi SPAM ya no es de viagra, artefactos para mejorar la sexualidad o ni el scam nigeriano. Ahora l gran mayoría son ofertas de empleo, muchas de ellas incluso de trabajos donde haces poco y ganas mucho, de verdad que en tiempos de crisis hasta te dan ganas de creerles.

Y bueno, este es el resultado de la diversificación de los SPAMers para aprovechar los nuevos intereses de la gente, en tiempos de bonanza la compra, ahora en crisis: Ofertas de empleo. Estos son algunos asuntos (en inglés, no se si porque los SPAMers en español aún no reaccionan o porque mi profile tiene más sentido en "inglish"):

• Job you might be interested in
  
• The offer you can not say no to!
  
• Now hiring! Click to find out!
  
• Dare to earn more! The answer inside!
  
• It's not a dream, it's reality √you can get a designer watch for half price.
• Beating the high cost
  
• Awesome discounts here
  

Y bueno, los últimos no son de trabajo pero que tal seguir gastando para compensar nuestro espíritu gastador pero ahora a bajos precios. Como último detalle, si les interesa alguno de los trabajos hay que mandar esta información (por cierto, no se los recomiendo):

If feel qualified, please, attach the following info to start up with:
- Fist Name:
- Last Name:
- Age:
- Sex:
- Country
- State, City, Zip
- Phone number (home and cell)
- Valid email address

Exploit dia-cero para Internet Explorer

   Pues ya hay un exploit que no es parchado por el MS08-073 anunciado por Microsoft. El exploit afecta versiones no parchadas de IE7 en Windows XP y Windows 2003 y básicamente es un buffer overflow. No se ha confirmado que Vista o IE6 se afecten también. Tampoco hay alternativas aún de como mitigar el efecto del problema (bueno, sí, usen Firefox, Safari u Opera. Si pueden mejor en Linux o Mac OS X). El reporte en el sitio del SANS.

Embajada de Francia en China bajo DDoS

De acuerdo al Le Monde (aquí la traducción al Español) el sitio de la embajada de Francia en China ha sido innacesible por varias días. La causa aparente es un ataque distribuido de negación de servicio (DDoS). El atentado aparenta ser por las actuales tensiones en las relaciones de Francia y China debido a la reunión  del presidente Francés Sarkozy con el Dalai Lama en Polonia.

Este es otro caso más de los que algunos llamarían Cyber-Guerra. 

Vulnerabilidades MS08-067 rondan por ahí

   Hace unos días leí en el SANS acerca de un malware (virus, worm, trojan o en lo que se haya convertido hoy) que ha sido descubierto rondando por el Internet y que explota la vulnerabilidad MS08-067 ya comentada. Esto nos demuestra que los zero-day exploits son totalmente una realidad pues no tiene mucho tiempo que MS anunció el problema y simplemente al día siguiente ya existía código creado para explotarla. El código fue creado por hackers que hicieron ingeniería inversa.

Steve Gibson en Security Now comentó que afortunadamente el Internet ha cambiado y veremos la propagación de este malware mucho más lenta que lo que sucedió con "Code Red". En eso estoy de acuerdo con Gibson, y gran parte de que hoy no estemos envirulados como hace algunos años se lo debemos en gran parte a Microsoft que decidió poner como configuración estándar el firewall en XP y Vista. Pero también muchas cosas no han cambiado, ¿Cómo cuales?

Bueno, para empezar los usuarios y administradores de sistemas debimos de haber aprendido la lección y parchar nuestros sistemas. Pues no, de acuerdo a un reporte de Microsoft la mayoría de las máquinas infectadas pertenecen a sistemas corporativos. Cuales son las razones de esto, supongamos:

- Para usuarios caseros el firewall y los updates de sistema vienen activos por defecto. Así que la mayoría o esta haciendo los updates o continua con el firewall cerrado lo que hace que la vulnerabilidad no afecte a menos que te caigo algún otro virus por otro lado que desactive el FW.

- Para los corporativos. El firewall esta deshabilidato porque la aplicación casera X o comprada W trabaja en el puerto Y y pues es más fácil desactivar el FW que ver la documentación técnica para ver que puerto abrir.

- Como el ambiente es super "estricto" no podemos aplicar ningún parche hasta que el comitéde cambios se reuna el siguiente mes y de el VoBo. Mientras desactivamos el update automático, que además como soporte técnico suponemos que va a romper algo cada vez que se actualice.

- Como el update automático esta deshabilitado nos tardamos 3 meses en darle la vuelta a todas las máquinas de la empresa. Al fin somos pocos en soporte y tenemos mucha chamba.

    Y el resultado, bueno. Ya saben cual es. 

    Aquí les dejo un tip de como usar NMAP para checar si sus sistemas están vulnerables. El script que cheque toda la red y arroje los resulados en XML o simple texto se los dejo de tarea pero no es muy complejo de hacer.

Adios SPAM ... Hola SPAM

   Si han notado que en estos últimos días han recibido menos SPAM no es su imaginación. A partir del "desenmascaramiento" de una red de SPAMers a partir de un artículo del Washington Post el ISP que hosteaba a los servidores de esta red decidió cortales la conexión. De acuerdo a las estadísticas de Iron Port y Spamcop  el envío de SPAM bajó entre un 66% y un 75%. Si creen que esto es sorprendente, se dice que el 80% del SPAM es controlado por sólo 100 spammers.

Sin embargo nuestro descanso  no va a durar mucho, hay ya algunas teorías de que los "desconectados" están buscando otros ISPs donde hostear sus servers. Mientras tanto disfruten su inbox menos cargado de e-mail chatarra.

Nueva vulnerabilidad RCP de Microsoft explotada y en la red.

   Un nuevo post en mi blog de investigación de ataques de DoS/DDoS. Está en inglés, pero si quieren la traducción "pochona" y al buen estilo de los bots les dejo este link de Google Translate.

Dinero sucio en línea

Es indiscutible que el Internet (y aunque en el discovery channel le digan "la Internet", para mi al menos por cacofonía me parece mejor "el") es una fuente de ingreso para muchos y para algunos es una gran fuente de ingresos. Desafortunadamente como en muchos lugares donde se manejan grandes cantidades de dinero hay algunos que intentan enriquecerse de forma inmediata y para ello recurren a prácticas no-legítimas o al menos en algunos casos poco éticas.

Y aunque este tipo de actividad no es nada nuevo y en general no es ninguna noticia en estos últimos días hubo algunas noticias que me gustaría comentar.

Usuarios cansados de ser víctimas de scams se tomaron la justicia por sus manos y publicaron las fotografías y direcciones postales de los supuestos scammers. De acuerdo a Ars Technica los scamers vendían suscripciones de búsquedas de términos específicos (las cuales pueden ser obtenidas gratuitamente). Pero además utilizaban la inforamción de tarjetas de crédito para hacer pequeños cargos sin autorización de los usuarios. Sin poder cancelar la "subscripción" algunos usuarios llegaron al límite y expusieron a los scammers junto con la información de sus novias. Los sitios usados actualmente se encuentran redirigos a páginas genéricas de aterrizado (park domains).

En otra noticia interesante Microsoft ha demandado a varias compañías de "Scareware". Estas compañías "asustan" a los usuarios enviando falsas alertas de seguridad acerca de los sistemas en donde están corriendo. Estás alertas piden a los usuarios bajar y pagar una nueva versión de software de "protección" para actualizaciones de seguridad, por supuesto la actualización no es necesaria. De acuerdo a Alex Eckelberry, presidente de la comapañía de seguridad Clearwater, este problema está en crecimiento y cada vez es más común. Por mi parte creo que Microsoft ha tomado una buena decisión al demandar a estás compañías. Vamos, Windows no es perfecto pero cargarle santitos de más creo es demasiado.

Y ya entrados en fraudes, resulta que los empleados de varias compañías de apuestas y juegos de mesas en línea (como pocker) abusaron de varias vulnerabilidades en los sistemas para poder tomar ventaja en los juegos. Entre las trampas estaba ver las cartas de los contrincantes. Esto fue descubierto por un jugador australiano que detectó irregularidades estadísticas en las ganancias de algunos jugadores. Esto llevó a las compañias de apuestas a investigar y descubrir que sus empleados habían estafado a los jugadores por más de tres años.

Dos europeos han sido acusados en Estados Unidos con cargos por haber realizado ataques de Negación de Servicio. Los supuestos acusados utilizaron los bots que tenían en su botnet para activar una serie ataques de negación de servicio. Los ataques fueron aparentemente contratados por la empresa Orbit Communication para ser realizados contra dos de sus competidores, Rapid Satellite y Weaknees. Los ataques trajeron pérdidas de acuerdo a los abogados de alrededor $200,000 usd.

Para castigar más fuertemente a los ejecutores de este tipo de ataques en en en el Reino Unido se han hecho algunas modificaciones al "Computer Misuse Act (CMA)" entre las cuales se incluyen la posiblidad de extradición de criminales a ataques computacionales, penas más altas y la inclusión de DoS como parte de los crímenes.

Y para terminar las noticias de las semana resulta que nustros amigos de Skype han estado trabajando con el gobierno Chino para desencriptar información de llamadas hechas a China usando Skype. Entre la información expuesta hay direcciones de IP, número de teléfonos de líneas locales, usernames, passwords, etc. El reporte aquí. Esto nos deja pensando que las compañías son capaces de hacer cualquier cosa con tal forma de cumplir con los "requisitos" gubernamentales que los dejen operar libremente. Esto no es solo en China, también sucede en otros países "más" desarrollados pero "bajo leyes" (hint: CALEA).

Mañana se vuelve a acabar el Internet: Un nuevo ataque de negación de servicio

Dos investigadores de seguridad han dado a conocer que cuentan con información sobre un nuevo ataque de negación de servicio que podría traer severas consecuencias al Internet. Esta no sería la primera vez que un descubrimiento de seguridad amenaza la estabilidad de la red y posiblemente como tantas otras no sea la que finalmente acabe con el Internet (si algún día alguna realmente lo hace). 

Entre las vulnerabilidades que han amenzado con acabar con el Internet están los ataques de negación de servicio tipo Synflood (que irónicamente regresan con esta nueva vulnerabilidad), el bug de SNMP, los hacks al IOS de Cisco, la recontra publicitada vulnerabilidad de los DNS y la reciente vulnerabiliad de BGP (de un tema parecido escribí aquí).

Ahora, ¿de qué se trata esta nueva vulnerabilidad? Bueno, pues resulta que una de las estrategias para defenderse de los SynFlood Attacks son las Syn Cookies. Recordemos que los SynFlood attacks se basan en nunca terminar el Three Handshake de TCP lo cual hace que el server atacado se quede con recursos y muchas conexiones a la mitad. Para evitar este ataque las Syn Cookies calculan (mediante un hash que puede ser visto aquí) un el número de secuencia de TCP que se envía en el SYN+ACK para "trackear" la conexión del cliente (el servidor es el que recibe el SYN inicial y envia el SYN+ACK con un número de secuencia "llave" por cada conexión). De esta forma el servidor no tiene que mantener la conexión abierta y ahorra recursos. Si el cliente es real y contesta, mediante el número de secuencia de TCP el servidor puede recrear la conexión. 

Los detalles del ataque aún no están claros, pero de acuerdo a a Robert Lee y Jack Louis (los que descubrieron la vulnerabilidad) es posible acabar con los recursos de los servidores sin afectar los del cliente. Algunas de las teorias que surgen en varias discusiones es que el cliente usa la misma técnica de Syn Cookies para responder al SYN+ACK. Como nunca se crea la conexion el servidor termina con una conexión que nunca será usada y con menos recursos, mientras que el cliente que nunca inicio la conexión puede seguir abriendo conexiones a tasas muy altas, lo cual al final ocasiona un DoS.

Por lo pronto esperaremos a que los vendors de equipo de redes y sistemas operativos encuentren una forma de resolver este problema y los investigadores revelen los detalles del problema en la Conferencia T2.

Update: Fyodor, el autor de NMAP explica un poco más el ataque. Es similar a lo explicado anteriormente con algunas diferencias. Por ejemplo las SYN Cookies no son necesarias. El ataque es como sigue:

1) Filtra con un host-firewall las conexiones de un puerto específico, por ejemplo el 80 de http.

2) Haz una conexión a un servidor en el puerto filtrado. El servidor contestará con un SYN+ACK.

3) Como el puerto está "firewaleado" en tu host nunca contestas el SYN+ACK de la forma normal y nunca creas la conexión.

4) Pero ... si contestas el SYN+ACK con tu ataque, esto hace que ahorres recursos al NO crear la conexión en tu host pero SI crees una conexion en el servidor remoto. De esta forma el servidor comienza a usar recursos. 

5) Puedes repetir esto las veces que quieras hasta que afectes al servidor.

 

Posts pronto

He estado algo ocupado con mi tesis, mi familia, programando y con otros blog posts un nuevo proyecto que estamos llevando acabo. Pero prometo pronto escribir algo sobre seguridad o el Internet.

Por lo pronto chequen el blog de Bruce Schneider "Schneier on Security: The DNS Vulnerability" acerca de como se ha filtrado ya los detalles de la vulnerabilidad de los DNSs. Yo por lo pronto hoy en la tarde cambio el mio a OpenDNS. Chequen su DNS aquí: 13>0 : DoxPara Research

¿DDoS en las Olimpiadas? Interpol dice que no

De acuerdo a Jean-Michel Louboutin, Director Ejecutivo de Servicios de Policia de Interpol el mayor riesgo de seguridad en las olimpiadas es la seguridad física de los visitantes. En eso estoy de acuerdo, sin embargo en la entrevista que tuvo con PCWorld creo que minimizó el efecto que un ataque de Negación de Servicio Distribuido (DDoS) pudiera ocasionar. Si bien la infraestructura china de telecomunicaciones debe ser más robusta que la de Estonia en el caso de un ataque sincronizado, es posible que algunos servicios como los reportes de noticias o incluso la comunicación vía Internet de los visitantes se vieran afectados. Por otro lado de acuerdo a los reportes de MessageLabs la famosa red de bots "Storm" parece reducirse, esto pueden ser buenas noticias para una predicción de menos ataques de DoS, sin embargo hasta ahora no sabemos si la reducción de bots de Storm se debe a que los usuarios han parchados sus computadoras o si es porque otro grupo de hackers han obtenido el control de los bots.

Por allí en el blog de Bruce Schneier leí un comentario que en cuestiones de segurdad nunca digas "nunca", "es imposible" o "esto no pasará". Yo espero equivocarme, pero seguro habrá más de un ataque a la infraestructura olímpica de comunicaciones y al menos uno logrará su objetivo aunque sea por un breve instante de tiempo.

Este post en inglés

Bot net contra ataques distribuidos de negación de servicio (DDoS)

1178842700

Un grupo de investigadores de la Universidad de Washington pretende utilizar computadoras para limpiar de DDoS el tráfico a servidores protegidos. Para la limpieza quieren utilizar una red de bots que identifiquen el tráfico maligno, lo limpien y entonces lo redirijan al servidor.

Estos limpiadores son llamados "mailboxes" y solo envían al servidor información limpia y que este requiere. Los mailboxes pueden ser computadoras como la tuya o la mía con un software tipo "zombie amigable" o servidores de contenido (como los de Akamai). Una de sus ideas es embeber esta funcionalidad en protocolos existentes como Bittorrent. Esta idea me recuerda a la propuesta de mi investigación, aunque yo he pensado usar protocolos de rute con appliances especializadas.

Rutas envenenadas (Route Poisoning) a YouTube

Esto va a dar mucho que hablar en la comunidad de ruteo. No es algo nuevo, nada que no supiéramos, o nada que no hubiera pasado antes. Las tablas de BGP (Border Gateway Protocol) son uno de los puntos más vulnerables de la infraestructura de Internet junto con los servidores de nombres (DNS). Mientras para los servidores de nombres ya se han puesto algunas medidas de seguridad para evitar los ataques de negación de servicio, para las tablas de BGP aún no hay nada definido. Los grupos de seguridad de enrutamiento del IETF han definido varios RFCs donde se enlistan precisamente los problemas que pueden existir por la falta de seguridad en los protocolos de ruteo y los requerimientos que un protocolo de ruteo seguro debe tener. Lo nuevo en este caso es el perfil del atacado (YouTube de Google) y la razón por lo que pasó (censura)

El problema de la inseguridad de BGP es real y ahora tenemos un caso que va a resonar en los medios (seguramente). Hace unos días Pakistan anunció que bloquearía el acceso a Youtube por considerarlo un sitio con contenido inapropiado (dejaremos por un momento nuestra ideología en contra de la censura por un lado). Un ISP pakistaní (PCCW que realmente está en Hong Kong y según ellos son los más grandes de la región) tuvo la grandiosa idea de bloquear los sitios por Youtube usando infraestructura de ruteo, lo cual es un práctica común cuando apuntamos rutas estáticas a null y anunciamos INTERNAMENTE la ruta de “hoyo negro” a NUESTROS enrutadores. El problema es cuando esto se hace mal y anunciamos EXTERNAMENTE la ruta y esta tiene mejor métrica que la ruta del propietario (en esta caso Google).

El resultado es que PCCW terminó haciendo haraquiri a sus enlaces al recibir todo (o una buena parte de) el tráfico de Youtube. Esto fue un doble ataque de negación de servicio (uno a Youtube por el error de los ingenieros de ruteo de PCCW) y otra al mismo PCCW al saturar sus enlaces con el tráfico de YouTube. Afortunadamente los cuerpos de rescate filtraron las rutas y después de varias horas (aproximadamente 4) YouTube comenzó a volver a la normalidad.
A pesar del final feliz (bueno, esto aun no acaba. No sé si vaya a haber algunas demandas de Google a PCCW por daños), esto nos deja una buena lección de que la infraestructura de ruteo es muy frágil. Aunque BGP es un protocolo muy estable no fue diseñado con la seguridad en mente (sino con estabilidad) y es fácilmente engañado con anuncios falsos. Ahora que hay un precedente, uno de los blancos favoritos de los hackers va a ser posiblemente los enrutadores de ISPs donde la seguridad es baja. En estos casos un enrutador secuestrado podría empezar a inyectar las rutas de la víctima con mejores métricas ocasionando una doble negación de servicio (a la víctima y al ISP al saturar los enlaces –ésto depende del perfil de la víctima-).

Más información: BBC y Znet

Update: Encontré algo más de información en la lista de correo de NANOG donde incluso pueden ver los bloques de IP que fueron erróneamente anunciados.

Reinforcement Learning en Sistemas Multiagentes: Caso aplicado a Detección de Intrusos

Esta presentación es parte de los seminarios del Grupo de Inteligencia Artificial de Ciencias Computacionales de la Universidad de York.

Abstract:
En este seminario presentaré una arquitectura distribuida de agentes sensores y agentes de decisión que aprenden como identificar estados normales y anormales en la red mediante el uso de Reinforcement Learning (RL). Los agentes sensores extraen información sobre el estado de la red usando tile-coding como técnica de aproximación de función y envían señales de comunicación en la forma de acciones a los agentes de decisión. Estos a su vez generan acciones en la forma de alarmas al operador de la red. Mediante un proceso en línea, agentes sensores y de decisión aprenden las semántica de las señales de comunicación sin ningún conocimiento previo. En esta presentación describiré el proceso de aprendizaje, la operación de la arquitectura de los agentes y los resultados en la evaluación de este trabajo de investigación.




Y un video de la simulación:
Advertencia, el contenido de este video puede ser molesto para la audiencia (contiene música muy cursi de ABBA)