NDSS'16會議在美國舉行清華陳建軍等關于CDN攻擊的研究獲杰出論文獎

?

NDSS'16會議在美國舉行清華陳建軍等關于CDN攻擊的研究獲杰出論文獎

清華大學博士生陳建軍（導師段海新教授）等研究者在美國舉行的學術會議NDSS'16 上發(fā)表的論文“Forwarding-Loop Attacks in Content Delivery Networks” 被評為杰出論文（Distinguished Paper）。NDSS（Network and Distributed System Security Symposium）是國際公認的網絡和系統(tǒng)安全四大頂級學術會議（BIG4）之一，2016年從 389 篇文章中錄取了60篇優(yōu)秀的研究論文（錄取率15.4%），包括本論文在內的4篇論文被評為杰出論文。本論文是中國科研機構在網絡和系統(tǒng)安全領域國際頂級會議上獲得的首個最佳論文獎（之前北大王鐵磊、韋韜等曾獲Security&Privacy'10最佳學生論文獎）

CDN（Content Delivery Networks）目前被廣泛運用于互聯網中，用來解決網站的性能、安全和可靠性等問題。更具體地講，CDN通過緩存網站內容提升網站性能；通過過濾惡意請求來提升網站安全性（Web應用防火墻，即 WAF）；并通過提供豐富的帶寬和計算資源來化解分布式拒絕服務（DDoS）攻擊。CDN已經逐漸演化成互聯網重要的基礎設施，承載著主流網站的Web訪問流量。然而，CDN本身的安全，尤其是 CDN本身的可用性（Availability）沒有被系統(tǒng)地研究過。

清華大學段海新教授的研究團隊率先對 CDN 本身的可用性做了系統(tǒng)的研究。通過對16個商業(yè)CDN廠家的大量實際測試，他們發(fā)現，作為目前網站加速和防范DDoS 攻擊的最佳實踐，CDN本身存在著嚴重的結構性問題，使得CDN本身可以成為DoS 攻擊的對象。由于CDN的客戶可以控制CDN轉發(fā)的目標，惡意的客戶可以利用該控制權來配置惡意的轉發(fā)規(guī)則，讓CDN在轉發(fā)用戶請求時形成環(huán)路，從而消耗CDN的資源（如可用TCP端口、CPU、帶寬等）。利用轉發(fā)循環(huán)攻擊的放大效應（Amplification），攻擊者只需要非常有限的網絡帶寬就可能大量消耗CDN的資源從而影響它的可用性。研究者發(fā)現，目前盡管有部分 CDN廠商已采取了一些措施防止循環(huán)攻擊，但這些防御措施都可以被繞過。研究者把這種攻擊稱為CDN轉發(fā)循環(huán)（Forwarding Loop）攻擊，從簡單到復雜可以構造CDN節(jié)點自循環(huán)（Self Loop）、同一CDN內的多節(jié)點循環(huán)（Intra-CDN loop）、多CDN廠商多節(jié)點循環(huán)（Inter-CDN loop）以及高級的大壩攻擊（Dam flooding attack）和gzip炸彈攻擊，最終可能導致對多個CDN廠商大規(guī)模的拒絕服務攻擊，從而嚴重威脅互聯網基礎設施的安全。

作者采取了嚴謹負責的通報和披露措施，在論文發(fā)布之前已經通知所有測試過的CDN廠商，并得到了積極的反饋和廣泛重視。在論文寫作過程中，研究者和百度、CloudFlare、阿里、騰訊和Verizon等公司的技術人員進行了廣泛的溝通和交流，共同探討解決方案。由于防范這種攻擊需要多個廠商統(tǒng)一協(xié)調的行動，清華團隊計劃作為公益性第三方的角色協(xié)調各廠商的安全防范技術規(guī)范。

研究團隊簡介

本研究成果的主要完成者來自清華大學網絡與信息安全實驗室（NISL，隸屬于清華大學網絡科學與網絡空間研究院），實驗室段海新、諸葛建偉等老師帶領實驗室長期從事網絡和系統(tǒng)安全領域的研究，近年來在安全領域國際頂級學術會議（Security&Privacy、USENIX Security、NDSS、SIGCOMM等）上發(fā)表了多篇學術論文，研究成果在學術界和工業(yè)界都產生了較大影響力。以實驗室為基地發(fā)起的藍蓮花（Blue-Lotus）戰(zhàn)隊在國際網絡安全對抗賽（CTF）上多次取得好成績，連續(xù)三年闖入美國DEFCON總決賽。在研究過程中，研究者與國內外學術與工業(yè)界都建立起了廣泛的合作關系。

論文合作者

陳建軍，清華計算機系/網絡與信息安全實驗室，博士研究生

江 健，博士畢業(yè)于清華計算機系/網絡與信息安全實驗室，現為UC Berkeley博士后

鄭曉峰，清華計算機系/網絡與信息安全實驗室碩士研究生

段海新，清華大學網絡科學與網絡空間研究院，研究員

梁錦津，博士畢業(yè)于清華大學，現就職于奇虎360公司

李 康，Georgia University 教授

萬 濤，華為加拿大，研究員

Vern Paxson，UC Berkeley及國際計算機科學研究所（ICSI）教授