Per quanto ricordo da quando me ne sono interessato, uno dei punti critici è (per il carrier), proteggere la connessione CE-PE, in modo da evitare injection da parte dei clienti di informazioni (es. via BGP?) che possano interferire con la gestione dei circuiti.
Poi, c'è il problema, anche questo comune ad altri meccanismi simili, che gli apparati utilizzati per gestire i tuoi circuiti MPLS sono in generale gli stessi utilizzati per i circuiti di altri clienti e soprattutto per trasportare traffico Internet. Questo vuole dire che eventuali vulnerabilità degli apparati potrebbero essere sfruttabili da Internet e interferire con i circuiti MPLS. Questo almeno in via teorica, non so se ci siano stati mai casi reali. Ricordo però un caso di un cliente che aveva il problema che su un circuito MPLS fornito da un grosso carrier che connetteva due indirizzi di rete 10/8, con un traceroute si vedevano comparire indirizzi di rete 192.168/24 degli apparati del carrier... il che vuole dire che l'apparato andava a decrementare il TTL del pacchetto IP e mandava gli ICMP di errore, non proprio quello che ti aspetteresti in un circuito MPLS ;) Sicuramente alcune vulnerabilità degli apparati così possono diventare più facili da sfruttare. Questo per dire che il tutto rientra sempre nel "fidarsi del carrier", ma in un modo un po' meno banale del pensare solo che il carrier non curiosi nei tuoi dati. ciao - Claudio -- Claudio Telmon [email protected] http://www.telmon.org ________________________________________________________ http://www.sikurezza.org - Italian Security Mailing List
