Para llevar a cabo este ataque DDoS, los perpetradores se aprovecharon de una de las características principales del protocolo HTTP/2. Nos referimos a la posibilidad de realizar múltiples solicitudes en una misma conexión TCP. Así lo explica Google:

"Con HTTP/2, el cliente puede abrir múltiples flujos simultáneos en una única conexión TCP, con cada flujo representando una solicitud HTTP. En teoría, el servidor puede controlar el número máximo de flujos abiertos simultáneos, pero en la práctica los clientes pueden abrir 100 flujos por solicitud y los servidores procesan estas solicitudes en paralelo. Es importante tener en cuenta que los límites del servidor no se pueden ajustar unilateralmente".

Google Cloud

¿Dónde reside el problema? En que los autores del ataque DDoS abren un gran número de flujos simultáneos, envían cientos de miles de solicitudes a un proxy o un servidor y las cancelan inmediatamente. Como la solicitud se cancela, pero la conexión HTTP/2 continúa abierta, los actores maliciosos pueden automatizar ese proceso de solicitud y cancelación para que se realice a gran escala hasta que los sitios web atacados se vean sobrepasados y no puedan mantenerse en línea.

"La capacidad de restablecer flujos inmediatamente permite que cada conexión tenga una cantidad indefinida de solicitudes en curso. Al cancelar explícitamente las solicitudes, el atacante nunca excede el límite de flujos abiertos en simultáneo. El número de solicitudes en vuelo ya no depende del tiempo de ida y vuelta, sino únicamente del ancho de banda de red disponible".

Google Cloud.

Esta modalidad de ataque DDoS se ha bautizado como de "reseteo rápido", debido a sus características. Según Google, en dos minutos los atacantes fueron capaces de generar más solicitudes que el número total de visitas a los artículos de Wikipedia durante todo septiembre.

Los de Mountain View, Amazon Web Services y Cloudflare se han aliado para recopilar la información recabada y compartirla con las empresas y los servicios que podrían verse afectados por la vulnerabilidad de HTTP/2.

Un punto notorio es que, pese a la magnitud del evento, las tres compañías lograron bloquear el ataque de denegación de servicio distribuido. Solo Cloudflare registró un impacto estimado en alrededor del 1 % de las solicitudes a través de su infraestructura durante la primera ola.

Debido a que el ataque abusa de una debilidad subyacente en el protocolo HTTP/2, creemos que cualquier proveedor que haya implementado HTTP/2 estará sujeto al ataque. Esto incluye a todos los servidores web modernos. Nosotros, junto con Google y AWS, hemos revelado el método de ataque a los proveedores de servidores web, que esperamos que implementen parches". Cloudflare.

El nuevo tipo de ataque DDoS es motivo real de preocupación. Según reporta The Record, el 60% de las aplicaciones web actuales utilizan HTTP/2. Pero no solo eso. El protocolo también es fundamental para que la interacción con sitios web sea veloz y de calidad. Google afirma que esta vulnerabilidad puede impactar en servicios de todo tamaño y que cualquier parche de software disponible debería aplicarse lo antes posible.

 Fuentes:

https://hipertextual.com/2023/10/google-aws-cloudflare-bloquean-ataque-ddos