← Cloudflare Magic Transit / magic-transit

Защита anti-replay

Если используется Magic Transit и anycast туннелей IPsec мы рекомендуем отключить защиту от повторного воспроизведения (anti-replay). Cloudflare отключает этот параметр по умолчанию. Однако вы можете включить его через API или панель управления Cloudflare для устройств, которые не поддерживают его отключение, включая Cisco Meraki, Velocloud и AWS VPN Gateway.

См. Добавить туннели чтобы узнать, как настроить защиту от повторного воспроизведения. На этой странице объясняются атаки повторного воспроизведения, причины, по которым Cloudflare рекомендует отключать anti-replay в IPsec, и другие важные особенности.

Атаки с повторным воспроизведением происходят, когда злоумышленник перехватывает и записывает пакет ↗, а затем повторно отправляет записанный пакет в целевую сеть с целью, выгодной для злоумышленника.

Рассмотрим плохо спроектированный привод открывания гаражных ворот для интернета вещей (IoT). Устройство работает по простому протоколу: пакет User Datagram Protocol (UDP) содержит пароль от гаражных ворот и либо open или shut в своём сегменте данных. Ключ гаражных ворот шифрует сегмент данных, и телефон владельца отправляет его, чтобы открыть или закрыть ворота.

Злоумышленник вряд ли сможет открыть или закрыть гаражную дверь, просто подобрав ключ шифрования и пароль. Он не видит зашифрованное содержимое перехваченного пакета, но если гараж находится у него в поле зрения, он может сопоставить и угадать, какие пакеты отвечают за открытие двери. Когда злоумышленник захочет открыть дверь, он отправит записанный open пакет, и поскольку записанный пакет содержал бы пароль и уже был бы зашифрован правильным ключом, эта дверь открылась бы.

Чтобы предотвратить эту атаку повторного воспроизведения, пользователь мог бы добавлять номер пакета к каждой команде, отправляемой на ворота гаража. Первым мог бы быть packet 1, второй packet 2 и так далее, причем гаражные ворота каждый раз принимали бы только пакеты, содержащие следующее число в последовательности. Например, после того как гаражные ворота получат packet 1, он будет принимать только пакет 2, и если злоумышленник попытается повторно отправить packet 1, гаражные ворота игнорируют запрос.

Защита от повторного воспроизведения (anti-replay) в IPsec работает по тому же принципу, что и пример защиты в описанном выше сценарии. Отправитель присваивает каждому пакету IPsec порядковый номер. Получатель отслеживает, какие номера уже были получены, и принимает только те пакеты, которые попадают в небольшое окно вокруг наибольшего из увиденных значений: обычно это окно составляет от 64 до 1024 пакетов. IPsec использует окно вместо строгой последовательности, поскольку в интернете пакеты иногда меняют порядок или теряются, а диапазон допустимых порядковых номеров помогает сгладить эти проблемы.

Стандартная защита anti-replay в IPsec предполагает наличие одного отправителя и одного получателя. Отправитель хранит порядковый номер в памяти и увеличивает его для каждого пакета. Получатель отслеживает, какие порядковые номера уже были обработаны.

Архитектура anycast Cloudflare не соответствует этой модели, поскольку Magic Transit использует anycast любой пакет может быть обработан любым из тысяч серверов в сотнях дата-центров. Именно эта распределённая обработка обеспечивает Magic Transit преимущества в производительности и отказоустойчивости, но при этом означает, что ни один сервер не имеет полной картины состояния номера последовательности.

Если включить защиту от повторного воспроизведения для IPsec-туннелей Magic Transit, Cloudflare направляет пакеты одного туннеля на единственный сервер, который отслеживает порядковый номер. В этом режиме механизм защиты от повторного воспроизведения работает корректно, однако теряется преимущество распределения трафика между глобальными серверами Cloudflare. Кроме того, он действует только в одном направлении, от Cloudflare к сети клиента: Cloudflare не направляет пакеты из сети клиента на единственный сервер и не применяет в этом направлении защиту от повторного воспроизведения.

Защита от replay-атак в IPsec крайне важна для транспортного режима, то есть для прямых соединений между хостами или даже между отдельными приложениями. В транспортном режиме злоумышленнику относительно легко определить используемый протокол шифрования и понять, какие пакеты можно повторно воспроизвести, если протокол вообще уязвим для таких атак. Magic Transit, однако, работает в туннельном режиме, в котором успешно провести replay-атаку значительно сложнее.

Есть несколько причин, по которым атаки повторного воспроизведения затруднены в туннельном режиме:

• IPsec шифрует весь внутренний пакет целиком, поэтому злоумышленник, перехвативший его для сопоставления в атаке повторного воспроизведения, практически ничего не узнает о пользовательском пакете. Единственное, что ему доступно, это сеть узла-отправителя, зашифровавшего пакет, сеть узла-получателя и примерный размер пакета. Однако этих данных недостаточно, чтобы выявить конкретные потоки внутренних пользовательских пакетов и сопоставить их для повторной отправки.
• Атаки с повторным воспроизведением работают только в том случае, если злоумышленники используют те же ключи шифрования. После rekeying маршрутизатор отбрасывает старые повторно отправленные пакеты.
• Большинство протоколов не подвержены атакам повторного воспроизведения на уровне пакетов. Интернет может дублировать пакеты, поэтому TCP и многие протоколы на основе UDP уже используют номера последовательности или аналогичные механизмы для обработки дублирующихся пакетов. В таких случаях повторно воспроизведенный трафик выглядит как обычный дублированный пакет и корректно обрабатывается конечным узлом.
• Защиту anti-replay можно реализовать и на более высоком уровне модели OSI (Open Systems Interconnection). Многие современные приложения передают данные по защищённым протоколам связи, таким как Secure Sockets Layer/Transport Layer Security (SSL/TLS), Secure Shell (SSH) или SSH File Transfer Protocol (SFTP). Эти протоколы работают на более высоком уровне OSI, чем сетевой, и изначально поддерживают защиту anti-replay.
• Уменьшенная поверхность атаки снижает вероятность перехвата пакетов. Туннели IPsec, это VPN-туннели между площадками, которые соединяют маршрутизатор на площадке пользователя с глобальной сетью Cloudflare через выделенные сетевые подключения интернет-провайдера (ISP), обычно отличающиеся высокой защищённостью. Кроме того, за счёт анycast-архитектуры реализации IPsec в Cloudflare туннель завершается на одном из более чем 300 дата-центров Cloudflare, ближайшем к граничному маршрутизатору клиента, что минимизирует физическое расстояние и путь, который должны пройти зашифрованные пакеты.

Если вы сталкиваетесь с нестабильностью туннеля или потерей пакетов из-за защиты от повторного воспроизведения, см. Устранение неполадок состояния туннеля.