ASN हाईजैकिंग: IP जियोलोकेशन डेटा पीछे क्यों रहता है

ASN हाईजैकिंग, यानी अधिक सटीक रूप से BGP रूट हाईजैकिंग, तब होती है जब कोई नेटवर्क ऐसे IP प्रीफ़िक्स घोषित करता है जिन्हें मूल रूप से घोषित करने का उसे अधिकार नहीं है, या उन्हें इस तरह घोषित करता है कि अन्य नेटवर्क ट्रैफ़िक उसी की ओर भेजने लगें। चूँकि IP जियोलोकेशन और ASN डेटासेट समय-समय पर लिए गए स्नैपशॉट पर बनते हैं, इसलिए वे आम तौर पर हाईजैक के चलते समय उसे नहीं दिखाते।

BGP हाईजैक कैसे काम करता है

इंटरनेट पर हर नेटवर्क की पहचान एक ऑटोनॉमस सिस्टम नंबर (ASN) से होती है और वह अपने पड़ोसियों को यह बताने के लिए बॉर्डर गेटवे प्रोटोकॉल (BGP) का उपयोग करता है कि वह कौन-से प्रीफ़िक्स तक पहुँच सकता है। BGP भरोसे के आधार पर बना है: डिफ़ॉल्ट रूप से, घोषणा पाने वाले पड़ोसी के पास यह जाँचने का कोई अंतर्निहित तरीका नहीं होता कि घोषणा करने वाला नेटवर्क सचमुच उस प्रीफ़िक्स का स्वामी है। फिर राउटर सबसे छोटे AS पाथ जैसे नियमों और सबसे बढ़कर लॉन्गेस्ट प्रीफ़िक्स मैच के आधार पर सबसे अच्छा रास्ता चुनते हैं।

यही अंतिम नियम हमलावर और ग़लत कॉन्फ़िगरेशन दोनों भुनाते हैं। यदि कोई वैध नेटवर्क /22 घोषित करता है और कोई और उसके भीतर अधिक विशिष्ट /24 घोषित कर देता है, तो /24 स्वीकार करने वाले राउटर उसे ही प्राथमिकता देंगे, क्योंकि अधिक विशिष्ट रूट जीतता है। उन 256 एड्रेस का ट्रैफ़िक ग़लत नेटवर्क की ओर बहने लगता है। इसके रूपों में किसी और का प्रीफ़िक्स सीधे अपना बताकर घोषित करना, AS पाथ के एक हिस्से की जालसाज़ी करना, और ऐसे रूट लीक करना शामिल हैं जिन्हें आंतरिक रहना था। कई असली घटनाएँ दुर्घटनावश होती हैं, जैसे किसी ग्राहक का अपने अपस्ट्रीम को पूरी टेबल लीक कर देना, लेकिन ट्रैफ़िक पर असर वही रहता है।

ट्रैफ़िक का क्या होता है

ट्रैफ़िक खींचने वाला हमलावर उसे गिरा सकता है (ब्लैकहोल), उसका निरीक्षण कर सकता है, या उसे असली गंतव्य तक आगे भेज सकता है ताकि उपयोगकर्ताओं को हल्की देरी के सिवा कुछ पता न चले। TLS से सुरक्षित कंटेंट के लिए एन्क्रिप्शन नुकसान सीमित करता है, हालाँकि डोमेन सत्यापन ट्रैफ़िक को बीच में रोककर प्रमाणपत्र हासिल करने और DNS को इंटरसेप्ट करने के लिए भी हाईजैक का इस्तेमाल हुआ है। अवधि मिनटों से घंटों तक हो सकती है, और इसीलिए पहचान की गति मायने रखती है।

जियोलोकेशन और ASN डेटासेट पीछे क्यों रहते हैं

जियोलोकेशन और ASN-से-प्रीफ़िक्स डेटासेट रजिस्ट्री डेटा, रूटिंग स्नैपशॉट और अन्य स्रोतों से संकलित होकर संस्करणों के रूप में प्रकाशित होते हैं। वे यह बताते हैं कि "यह रेंज सामान्यतः किसके पास है", यह नहीं कि "इस मिनट इसे कौन घोषित कर रहा है"। ipto पर IP और ASN डेटासेट रोज़ रिफ़्रेश होते हैं और थ्रेट फ़ीड हर 6 घंटे में, इसलिए एक घंटे चलने वाला हाईजैक आम तौर पर दो रिफ़्रेश के बीच शुरू और ख़त्म हो चुका होगा। घटना के दौरान प्रभावित एड्रेस का लुकअप संभवतः अब भी वैध स्वामी को ही दिखाएगा, जो उस सवाल का सही उत्तर है जिसके लिए डेटासेट बना है।

दो और प्रभाव इस देरी को बढ़ाते हैं। रजिस्ट्री रिकॉर्ड धीरे बदलते हैं, इसलिए किसी रूटिंग घटना के कारण एड्रेस ब्लॉक किसी दूसरे संगठन के पास नहीं चला जाता। और प्रीफ़िक्स से शहर का अनुमान लगाने वाला जियोलोकेशन डेटाबेस हर बार रूट बदलने पर उसे दोबारा नहीं निकालता। बल्कि यह स्थिर डेटा आधाररेखा के रूप में उपयोगी है: यह बताता है कि किसी प्रीफ़िक्स को कौन घोषित करना चाहिए, और लाइव रूटिंग डेटा की तुलना इसी से की जाती है।

संदिग्ध रूटिंग की जाँच कैसे करें

• अपेक्षित मूल जानें। ASN लुकअप किसी AS नंबर का पंजीकृत स्वामी, संगठन, देश और रेंज की संख्या दिखाता है, और IP रेंज डायरेक्टरी से आप देख सकते हैं कि किसी /8 या /16 ब्लॉक में कौन-से नेटवर्क हैं।
• पंजीकरण जाँचें। IP whois लुकअप RDAP के माध्यम से रजिस्ट्री रिकॉर्ड लौटाता है, जिसमें वह एब्यूज़ संपर्क भी होता है जिसे आप सूचित करेंगे।
• रूट की उत्पत्ति सत्यापित करें। RPKI लुकअप RIPEstat के ज़रिए लाइव जाँचता है कि किसी IP के लिए इस समय घोषित रूट किसी वैध Route Origin Authorization से कवर है या नहीं। नतीजा valid, invalid या not covered के रूप में बताया जाता है।

RPKI नतीजे की व्याख्या सावधानी से करें। "invalid" नतीजे का अर्थ है कि मूल AS या प्रीफ़िक्स लंबाई उससे मेल नहीं खाती जिसकी स्वामी ने अनुमति दी थी, जो जाँच के योग्य है। "Not covered" का अर्थ केवल इतना है कि कोई ROA मौजूद नहीं है, जो आम बात है और हाईजैक का प्रमाण नहीं। RPKI हर हमले से भी नहीं बचाता, जैसे सही मूल बनाए रखने वाले जाली AS पाथ। ROA प्रकाशित करने और उन पर फ़िल्टर लगाने वाले ऑपरेटर जोखिम घटाते हैं, और आपके प्रीफ़िक्स के अप्रत्याशित मूल पर अलर्ट देने वाली मॉनिटरिंग सेवाएँ किसी भी डेटासेट रिफ़्रेश से पहले सूचना देती हैं।

एप्लिकेशन के लिए इसका क्या मतलब है

यदि आपका एप्लिकेशन फ़्रॉड स्कोरिंग या क्षेत्र नियमों जैसे फ़ैसलों के लिए ASN या जियोलोकेशन डेटा का उपयोग करता है, तो उसे धीरे बदलने वाला संदर्भ मानें, इस बात का प्रमाण नहीं कि कनेक्शन भौतिक रूप से कहाँ समाप्त होता है। ipto का IP लुकअप asn और org फ़ील्ड लौटाता है, और रिस्पॉन्स का प्रारूप आप API दस्तावेज़ीकरण में पढ़ सकते हैं। किसी ज्ञात ग्राहक का जिस नेटवर्क से कनेक्शन आता है उसका अचानक बदल जाना एक उपयोगी संकेत है, लेकिन हाईजैक कई संभावित स्पष्टीकरणों में से एक है, और ऐसे अधिकांश बदलाव साधारण होते हैं: नया ISP, मोबाइल हैंडओवर या VPN।

सीधे जवाब