R\u00e9cemment, j'ai aid\u00e9 un ami \u00e0 g\u00e9rer un projet qui a \u00e9t\u00e9 touch\u00e9 par un DDoS et je n'ai pas pu m'occuper de moi-m\u00eame. Je me suis donc souvenu de lui demander : \u201cUtilisez-vous un CDN qui n'a pas une d\u00e9fense \u00e9lev\u00e9e ?\u201d. Du coup, ce pote m'a r\u00e9pondu avec un visage confus : \u201cPeux-tu choisir un protocole pour un CDN \u00e0 haute d\u00e9fense ? Ne pas donner un nom de domaine \u00e0 raccrocher \u00e0 la fin de l'affaire ?\u201d J'ai failli \u00e9craser le clavier sur place - de nos jours, il y a encore des gens qui pensent que les CDN ne servent qu'\u00e0 l'acc\u00e9l\u00e9ration, et que la d\u00e9fense et la prise en charge du protocole ne sont que de la poudre aux yeux ?<\/p>\n
Honn\u00eatement, la question du support du protocole n'est pas m\u00e9taphysique. J'ai vu trop de gens acheter un service de haute d\u00e9fense, le r\u00e9sultat est que le protocole n'est pas appari\u00e9, a \u00e9t\u00e9 perc\u00e9 apr\u00e8s que les vendeurs ont \u00e9galement grond\u00e9 des d\u00e9chets. En fait, le probl\u00e8me est que vous ne comprenez pas les sc\u00e9narios d'entreprise : vous poussez le streaming en direct avec RTMP, vous faites de la communication en temps r\u00e9el avec WebSocket, les sites web ordinaires avec HTTPS, diff\u00e9rents protocoles pour aller au port et au cryptage sont compl\u00e8tement diff\u00e9rents. Si les fournisseurs de CDN vous aident uniquement \u00e0 emp\u00eacher les ports 80\/443, les autres protocoles ne passent tout simplement pas par le n\u0153ud de nettoyage, et quelle est la diff\u00e9rence entre l'ex\u00e9cution nue ?<\/p>\n
Prenons d'abord HTTPS, qui est le plus \u00e9l\u00e9mentaire. Mais la prise en charge du HTTPS par un CDN haute d\u00e9fense et un CDN ordinaire sont deux choses diff\u00e9rentes. Un CDN ordinaire peut simplement vous aider \u00e0 mettre en place un point de terminaison SSL, alors qu'un CDN \u00e0 haute d\u00e9fense doit \u00eatre impliqu\u00e9 dans l'ensemble du processus de protection de la poign\u00e9e de main TLS. J'ai test\u00e9 les services de CDN5, ils peuvent m\u00eame identifier des paquets anormaux dans le trafic crypt\u00e9 - par exemple, une IP envoie soudainement des requ\u00eates TLS handshake \u00e0 une fr\u00e9quence \u00e9lev\u00e9e, ce qui d\u00e9clenche directement les r\u00e8gles et les jette dans un trou noir. Ne croyez pas la propagande du \u201csupport complet du protocole\u201d, de nombreux fournisseurs de protection HTTPS ne font tout simplement pas de d\u00e9tection SNI, rencontrant ESNI (encrypted SNI) directement en sourdine.<\/p>\n
Lors de la configuration de la haute d\u00e9fense HTTPS, vous devez pr\u00eater attention \u00e0 la mani\u00e8re dont le certificat est d\u00e9ploy\u00e9. Il est recommand\u00e9 d'utiliser la v\u00e9rification bidirectionnelle des certificats, bien que cela pose des probl\u00e8mes, mais cela permet de bloquer la plupart des attaques par faux certificats. Postez un exemple de configuration de Nginx :<\/p>\n
De plus, le protocole RTMP est un vieil ami de l'industrie de la diffusion en direct. La prise en charge du protocole RTMP par le CDN haute d\u00e9fense est essentielle pour isoler les n\u0153uds \"push\" et \"pull\". Certains fournisseurs, afin de r\u00e9duire les co\u00fbts, utilisent le m\u00eame ensemble de serveurs pour le flux d'envoi et le flux de r\u00e9ception, ce qui entra\u00eene une attaque par inondation RTMP et l'effondrement de l'ensemble de la cha\u00eene de diffusion en direct. La pratique fiable, comme CDN07, consiste \u00e0 utiliser des n\u0153uds de flux pouss\u00e9s seuls avec un cluster de haute d\u00e9fense, des n\u0153uds de flux tir\u00e9s, puis \u00e0 proc\u00e9der \u00e0 une acc\u00e9l\u00e9ration distribu\u00e9e. Une fois mesur\u00e9e leur protection RTMP, les n\u0153uds de flux pouss\u00e9s peuvent porter une attaque par inondation de 200 Gbps en m\u00eame temps, le d\u00e9lai du flux tir\u00e9 ne d\u00e9passe pas 200 ms.<\/p>\n
WebSocket est le sc\u00e9nario qui met r\u00e9ellement \u00e0 l'\u00e9preuve la technologie des fournisseurs. Ce protocole se caract\u00e9risant par de longues connexions, la strat\u00e9gie de protection traditionnelle bas\u00e9e sur la fr\u00e9quence des requ\u00eates est fondamentalement inefficace. Les attaquants \u00e9tablissent des centaines de milliers de connexions WebSocket qui peuvent encore \u00e9puiser les ressources du serveur. Un bon CDN de haute d\u00e9fense comme 08Host peut analyser le comportement des connexions - par exemple, une IP pour \u00e9tablir une connexion apr\u00e8s l'\u00e9chec continu de l'envoi de paquets, ou envoyer un paquet de battement de c\u0153ur par seconde plus que le seuil, directement pincer la connexion. Il faut \u00e9galement prendre en charge la somme de contr\u00f4le de la mise \u00e0 niveau du protocole, afin d'\u00e9viter que des attaquants d\u00e9guis\u00e9s en poign\u00e9e de main WebSocket n'envoient en r\u00e9alit\u00e9 une inondation HTTP.<\/p>\n
J'ai r\u00e9cemment rencontr\u00e9 un autre \u00e9cueil : la protection WebSocket over TLS (WSS). De nombreux fournisseurs pensent que la m\u00eame configuration que la protection HTTPS fonctionnera, mais le r\u00e9sultat est que la phase de poign\u00e9e de main TLS est p\u00e9n\u00e9tr\u00e9e. Il est recommand\u00e9 de configurer WSS de mani\u00e8re \u00e0 imposer une version TLS minimale de 1.2 et \u00e0 d\u00e9sactiver les suites de chiffrement faibles. J'ai test\u00e9 la configuration par d\u00e9faut d'un fournisseur, qui prend \u00e9galement en charge TLS 1.0, que j'ai directement mis sur liste noire.<\/p>\n
Outre ces protocoles courants, certains sc\u00e9narios particuliers m\u00e9ritent d'\u00eatre \u00e9voqu\u00e9s. Par exemple, le protocole UDP couramment utilis\u00e9 dans l'industrie du jeu, le CDN de haute s\u00e9curit\u00e9 doit prendre en charge la protection UDP Flood ; l'industrie financi\u00e8re peut avoir besoin du protocole priv\u00e9 TCP, selon que le CDN prend ou non en charge la protection des ports personnalis\u00e9s. J'ai vu un syst\u00e8me de n\u00e9gociation de titres \u00e0 cause de l'utilisation de ports non standard, acheter un CDN de haute s\u00e9curit\u00e9 qui ne d\u00e9tecte pas le trafic du port, a \u00e9t\u00e9 paralys\u00e9 par SYN Flood avant de penser \u00e0 des r\u00e8gles personnalis\u00e9es.<\/p>\n
Ne vous contentez pas de regarder le prix lorsque vous choisissez un CDN de haute d\u00e9fense. Je vais vous pr\u00e9senter des donn\u00e9es comparatives r\u00e9elles :<\/p>\n
Enfin, j'aimerais exposer une th\u00e9orie violente : de nos jours, les attaques de r\u00e9seau ont depuis longtemps d\u00e9pass\u00e9 le simple et grossier ICMP Flood. Les attaquants ont commenc\u00e9 \u00e0 cibler les vuln\u00e9rabilit\u00e9s des protocoles pour mener des attaques au niveau de la couche application, telles que les attaques par connexion lente WebSocket, les attaques par obscurcissement du protocole RTMP. Si vous choisissez le fournisseur de CDN, m\u00eame l'adaptation du protocole n'est pas parfaite, ce qui \u00e9quivaut \u00e0 ce que le pirate ouvre la porte arri\u00e8re et passe activement la cl\u00e9.<\/p>\n
Lors de la configuration d'un CDN \u00e0 haute d\u00e9fense, n'oubliez pas de vous accroupir en arri\u00e8re-plan et de regarder les rapports de trafic en temps r\u00e9el. Un bon syst\u00e8me de protection indiquera clairement les types d'attaques et les mesures d'att\u00e9nuation pour les diff\u00e9rents protocoles. N'attendez pas que votre entreprise s'effondre pour v\u00e9rifier les journaux - vos clients auront alors \u00e9puis\u00e9 leurs stocks. Il est toujours pr\u00e9f\u00e9rable de pr\u00e9venir la s\u00e9curit\u00e9 plut\u00f4t que d'y rem\u00e9dier apr\u00e8s coup.<\/p>\n
J'ai oubli\u00e9 de pr\u00e9ciser un point essentiel : la prise en charge du protocole d\u00e9pend \u00e9galement du chemin de retour vers la source. Certains CDN annoncent la prise en charge de WebSocket, mais le retour \u00e0 la source est r\u00e9trograd\u00e9 \u00e0 l'interrogation HTTP, ce qui entra\u00eene une explosion directe de la latence. Assurez-vous de tester avec des sc\u00e9narios d'affaires r\u00e9els avant d'acheter, sinon vous d\u00e9pensez de l'argent pour acheter un solitaire.<\/p>\n
En bref (tsk, je n'ai pas pu r\u00e9sister \u00e0 l'envie de dire encore une fois en bref), la prise en charge des protocoles pour les CDN \u00e0 haute d\u00e9fense n'est certainement pas un jeu de cases \u00e0 cocher. De HTTPS \u00e0 WebSocket, chaque protocole pr\u00e9sente une surface d'attaque et des points de protection uniques. Lorsque vous choisissez un fournisseur, vous devez v\u00e9rifier la solidit\u00e9 de la relation, la compatibilit\u00e9 du protocole, la granularit\u00e9 de la protection, la perte de performance ne peut pas \u00eatre \u00e9pargn\u00e9e. Apr\u00e8s tout, de nos jours, m\u00eame les CDN doivent \u201cemp\u00eacher les co\u00e9quipiers\u201d - choisir le mauvais fournisseur, les co\u00e9quipiers deviennent l'ennemi, ce qui est le plus terrible.<\/p>","protected":false},"excerpt":{"rendered":"
R\u00e9cemment, j'ai aid\u00e9 un ami \u00e0 g\u00e9rer un projet qui a \u00e9t\u00e9 touch\u00e9 par un DDoS et je n'ai pas pu m'occuper de moi-m\u00eame. Je me suis donc souvenu de lui demander : \u201cUtilisez-vous un CDN qui n'a pas une d\u00e9fense \u00e9lev\u00e9e ?\u201d. Du coup, ce pote m'a r\u00e9pondu avec un visage confus : \u201cPeux-tu choisir un protocole pour un CDN \u00e0 haute d\u00e9fense ? Ne pas donner un nom de domaine \u00e0 raccrocher \u00e0 la fin de l'affaire ?\u201d J'ai failli \u00e9craser le clavier sur place - de nos jours, il y a encore des gens qui pensent que le CDN ne sert qu'\u00e0 l'acc\u00e9l\u00e9ration, que la d\u00e9fense et le support de protocole sont juste pour le spectacle ? Pour \u00eatre honn\u00eate, la question de la prise en charge du protocole n'a rien de m\u00e9taphysique. J'ai vu trop de gens acheter un service de haute d\u00e9fense, le r\u00e9sultat est que le protocole n'est pas appari\u00e9, a \u00e9t\u00e9 perc\u00e9 apr\u00e8s que les vendeurs ont \u00e9galement grond\u00e9 des d\u00e9chets. En fait, le probl\u00e8me est que vous ne comprenez pas les sc\u00e9narios d'entreprise : vous poussez le streaming en direct avec RTMP, vous faites de la communication en temps r\u00e9el avec WebSocket, des sites web ordinaires avec HTTPS, diff\u00e9rents protocoles vont le port et le cryptage sont compl\u00e8tement diff\u00e9rents !<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-924","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/924","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=924"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/924\/revisions"}],"predecessor-version":[{"id":1201,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/924\/revisions\/1201"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=924"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=924"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=924"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=924"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}