Тревога! Внутренний интернет-трафик России неким загадочным образом проходит через китайские маршрутизаторы

В ходе необъяснимой серии событий внутренний интернет-трафик внутри границ России неоднократно перенаправлялся за пределы страны, что резко ухудшает производительность русского сегмента Сети и может серьёзно поставить под угрозу безопасность российских коммуникаций.

В материалах блога, опубликованных службой мониторинга Интернет (Internet monitoring service Dyn), подчеркивается хрупкость протокола граничного шлюза (BGP), который формирует основу разработанной глобальной системы маршрутизации Интернета. Там же сообщается, что по данным мониторинга внутренний русский трафик неоднократно направлялся на маршрутизаторы, эксплуатируемые China Telecom(!). Эта компания имеет тесные связи с правительством Китая. Когда огромные объёмы трафика извлекаются из дальних регионов, прежде чем достичь своего конечного пункта назначения, они увеличивают шансы хакеров на получение контроля над соединением, проведение мониторинга или даже изменение параметров сеансов связи. Аналогичная тревога поднялась в прошлом году, когда Dyn нашёл большие куски трафика, принадлежащие американских банкам и государственным учреждениям, которые местными провайдерами сетевых услуг были ошибочно высланы через белорусских или исландских поставщиков услуг.

Возможно, увод российского трафика связан с прошлогодним соглашением о пиринге между российским мобильным провайдером Вымпелком и China Telecom. Соглашение позволило компаниям сэкономить деньги на трафике, передаваемом черезь сети другого партнёра, а не через более дорогого транзитного оператора. С тех пор неоднократно, по словам Dyn, трафик, предназначенный для России, следовал крайне запутанным путём через Китай перед отправкой его своему конечному потребителю.

trace from Moscow, Russia to Yaroslavl, Russia at 13:13 Aug 05, 2014
1 *
2 194.154.89.125 (Vimpelcom, Moscow, RU) 0.542ms
3 79.104.235.74 mx01.Frankfurt.gldn.net 37.006ms
4 118.85.204.57 beeline-gw4.china-telecom.net 39.505ms
5 213.248.84.185 ffm-b10-link.telia.net 41.481ms
6 62.115.137.180 ffm-bb2-link.telia.net 42.227ms
7 80.91.251.159 s-bb4-link.telia.net 42.894ms
8 213.155.133.105 s-b2-link.telia.net 41.528ms
9 80.239.128.234 megafon-ic-151430-s-b2.c.telia.net 42.707ms
10 *
11 78.25.73.42 (MegaFon, Volga,RU) 49.992ms
12 213.187.127.98 ysu1-ccr1036-1.yar.ru 50.301ms
13 213.187.117.230 (NETIS Telecom, Yaroslavl’, RU) 54.769ms

Протокол BGP является настолько сложной структурой, что неправильная маршрутизация такого типа часто может быть результатом человеческой ошибки инженеров, действующих вполне добросовестно. Но в то же время сложность и отсутствие безопасности могут быть так же легко использованы хакерами, государственными  разведывательными службами или просто вандалами. Дуг Мейдори, директор подразделения интернет-анализа в Dyn, рекомендует операторам крупных сетей внимательно следить за маршрутами прохождений их трафика и фильтровать возникающие «левые» маршруты. «Без этих мер ваш трафик может быть легко перехвачен и даже изменён, что потенциально вредит как производительности, так и безопасности ваших интернет-коммуникаций», предупреждает Мейдори.