CDN Tsunami: Exploiting HTTP/3-HTTP/1.1
Conversion for DoS Attacks

Опубликовано исследование CDN Tsunami, описывающее новые DDoS-атаки на CDN инфраструктуру.

Здесь выжимка на русском.

Если кратко, описываются два вида атак:

1. HTTP/3 Bandwidth Amplification - усиление по трафику до 350 раз.
Пользователь обращается к CDN по HTTP/3, а CDN обращается к origin (где находится исходный контент) уже по HTTP/1.1, соответственно CDN нужно преобразовать запросы из одного протокола в другой. HTTP/3 сжимает заголовки с помощью QPACK и может передавать короткие индексы, а в HTTP/1.1 этого нет, отсюда и рост трафика. Максимум x350 достигается с динамической таблицей, со статической около x66.

2. HTTP/3 Connection Amplification - атака на доступные соединения.
HTTP/3 позволяет передавать несколько потоков внутри одного соединения, и если CDN сразу открывает соединения к origin-серверу по HTTP/1.1, как только получит заголовки, то, медленно передавая оставшиеся данные, можно в теории исчерпать допустимое количество соединений.

🎤 Будни сетевика 😊