Immaginate di ordinare una pizza a domicilio e, invece di trovarvi il corriere sotto casa, vi ritrovate un tizio sospetto che vi consegna un pacco di esplosivi direttamente in salotto, perché l’indirizzo sulla scatola è stato modificato da un hacker che ha convinto il navigatore che la vostra via fosse un vicolo cieatese.
Sembra la trama di un episodio di Mr. Robot scritto male, ma è esattamente quello che è successo con l’ultimo exploit massiccio al protocollo BGP (Border Gateway Protocol). Non parliamo della solita notifica di aggiornamento di Windows che vi rompe le scatole, ma di un vero e proprio sequestro di rotte che ha permesso di iniettare codice malevolo direttamente in sistemi di produzione. Una ‘comedy of errors’ dove, però, il finale fa piangere solo i sysadmin.
Per chi non mastica i protocolli di routing, il BGP è essenzialmente il sistema di segnaletica di internet. Dice ai router: «Per arrivare al server X, passa da qui». Il problema? Il BGP si basa su un livello di fiducia che, in un mondo di zero-trust, è decisamente anacronistico. Qualcuno ha annunciato delle rotte false, facendo credere che determinati indirizzi IP appartenessero a un altro perimetro. Risultato? Il traffico è stato deviato verso infrastrutture controllate dagli attaccanti, permettendo un attacco che non solo intercettava i dati, ma infettava attivamente il software.
La cosa che mi manda in bestia non è tanto l’attacco in sé — che tecnicamente è una mossa da manuale — ma la facilità con cui questa fragilità strutturale viene sfruttata per colpire i flussi di produzione. Nonostante viviamo in un’era di cloud e microservizi ultra-sofisticati, le fondamenta su cui poggia tutto questo castello di carte sono ancora basate su presupposti di fiducia che non dovrebbero più esistere dal 1995.
In Italia, magari, ci preoccupiamo quando il provider locale decide di fare manutenzione alle tre di notte, ma qui il problema è globale. Non importa quanto sia blindata la vostra istanza Docker o quanto sia robusto il vostro firewall se il traffico che arriva non è quello che pensavate fosse diretto a voi. È un problema che ignora i confini nazionali e le legislazioni locali: quando il routing globale impazzisce, il tuo server in un data center di Milano è vulnerabile quanto uno a San Francisco.
Possiamo dire che è una mossa da geni del male o solo un colpo di fortuna estremo? Probabilmente un mix di entrambi. Ma la lezione è chiara: finché non vedremo una gestione più rigorosa e verificabile delle rotte (tipo l’adozione massiccia di RPKI), saremo tutti a navigare su un terreno che potrebbe spostarsi sotto i nostri piedi in qualsiasi momento. Restate patchati, e soprattutto, controllate sempre dove sta andando il vostro traffico.
Source: BGP hijack infecting networks caused by a comedy of errors that’s not funny at all