Per quanto ricordo da quando me ne sono interessato, uno dei punti
critici è (per il carrier), proteggere la connessione CE-PE, in modo da
evitare injection da parte dei clienti di informazioni (es. via BGP?)
che possano interferire con la gestione dei circuiti.

Poi, c'è il problema, anche questo comune ad altri meccanismi simili,
che gli apparati utilizzati per gestire i tuoi circuiti MPLS sono in
generale  gli stessi utilizzati per i circuiti di altri clienti e
soprattutto per trasportare traffico Internet. Questo vuole dire che
eventuali vulnerabilità degli apparati potrebbero essere sfruttabili da
Internet e interferire con i circuiti MPLS. Questo almeno in via
teorica, non so se ci siano stati mai casi reali. Ricordo però un caso
di un cliente che aveva il problema che su un circuito MPLS fornito da
un grosso carrier che connetteva due indirizzi di rete 10/8, con un
traceroute si vedevano comparire indirizzi di rete 192.168/24 degli
apparati del carrier... il che vuole dire che l'apparato andava a
decrementare il TTL del pacchetto IP e mandava gli ICMP di errore, non
proprio quello che ti aspetteresti in un circuito MPLS ;) Sicuramente
alcune vulnerabilità degli apparati così possono diventare più facili da
sfruttare.
Questo per dire che il tutto rientra sempre nel "fidarsi del carrier",
ma in un modo un po' meno banale del pensare solo che il carrier non
curiosi nei tuoi dati.

ciao

- Claudio

-- 

Claudio Telmon
[email protected]
http://www.telmon.org

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List

Rispondere a