Názory k článku
ČSÚ: Za výpadek volebních webů může DDoS na infrastrukturu O2 [AKTUALIZOVÁNO]

Nějaká mozková kapacita z O2 připojila server volby.cz na 20 Mbps.

V roce 2017.

Za výpadek může jen O2.

Tady je nabídka:

https://www.hlidacsmluv.cz/KopiePrilohy/2439062?hash=56af0c93a1fb17fd0e7d6ea9de8d0e4cb28626567d0948e1738e3c962d065683

20 Mbps nemůže stačit na provoz volby.cz ani po volbách :)

Spustili web a oni jim tam chodili lidi. No to je teda drzost.

Ddos vedený celou ČR. Spíš to vypadá, že někdo totálně podcenil infrastrukturu a schovává to za DDOS.

Co konkrétně si máme v dnešní době představit pod tímto?

Operátor také posílil linku pro připojení vybraných médií na dedikovaný server ČSÚ z 10 Mbit/s na 20 Mbit/s.

...nejprve úřad vysvětloval technickými problémy. V neděli ale za příčinu potíží označil DDoS útok.

Aha, takže "první platí": to o technických problémech řekl technik, pak zasáhl manažer. Klasika :-D

Vskutku zajimave, kdykoli bezi v TV nejaky sportovni prenos, probiha hackersky utok na internetove vysilani. Kdykoli je spustena nova MMO, probiha nejmene 14 dnu ddos na jeji servery, a kdykoli jsou volby, tak miliony volicu pokousi hacknout web CSU.

Dosahuje to cimrmanovských rozměrů. Otevřeli si veřejný web, ale chodili jim tam lidi.

Ale no tak přátelé.:-) Buďme Realisté :-))

Když velkoryse přehlédnu fakt, že jsem byl jedním z těch hackerů, který se chtěl podívat na výsledky (no ale já taky vyžaduji přísný trest! Já žádám trest smrti!!), tak nenechte cloumat prchlivost svým majestátem a uznejte, že v této digitální velmoci je zázrak, že tam nějaký tuzemský telekomunikační titán nenatáhl ISDN...:-)

Za výpadky webu může za prvé přímo ČSÚ, protože web má napsaný takovým způsobem, kdy dochází vzhledem k účelu - což je jen VEŘEJNÁ NÁSTĚNKA a hromadné sdělení nějaké informace veřejnosti k naprosto zbytečné zátěži serveru, kdy se hodně stránek GENERUJE.

ČSÚ mělo volby.cz udělat jenom jako čisté a minimalizované HTML + minimalizované CSS a nedělat takové prasečiny jako tam třeba barevný TEXT(!!!!!!!) "VOLBY.CZ" dávat jako GIF. Pokud očekávám takovou brutální zátěž, tak je nejlepší je zkrátka NIC NEGENEROVAT, nedávat tam ani žádné obrázky (pokud vyloženě nemusím), vše dělat statické a grafické ztvárnění dělat v CSS a i tam se moc "nerozšoupnout", protože každý kód navíc jsou data, která se musí stahovat...

Aktualizace už si pak mohli dělat na své straně čímkoliv, co jen přepíše údaje v HTML celý soubor pak aktualizuje přepsáním na serveru.

Samozřejmě, kdyby použili mozek, tak je ještě nejlepší dát dočasně průběžné celkové výsledky voleb (které lidi zajímají nejvíc), přímo na HLAVNÍ STRANU, protože tím se zátěž serveru a přenosů ještě sníží, jelikož nikdo nemusí už dál klikat a načítat třeba 2 další stránky zbytečně, ale většina lidí má přímo to, co hledá hned před sebou.

Server pak není nijak zatěžovaný, protože stránka se negeneruje, ale jenom se čistě stahuje.

V O2 to zase podělali rychlostí připojení! Rychlost připojení pak musí být nejrychlejší možná. Osobně bych to viděl minimálně na 1 Gbit/s a nejspíš by to chtělo udělat ty servery i zrcadlené, aby zátěž z celého světa nešla do jednoho místa.

Na web, který funguje jako množství mirrorů připojených gigabitem do různých sítích a jen se z něj stahuje HTML a CSS kód o velikosti do 300 kB se opravdu velice těžko dělá útok, protože nicnedělající server jenom těžko přetížíte a pořádně rychlou linku s takto malým přenosem taky nezahltíte.

A co treba slaba infrastruktura a spatne aplikace nedimenzovana na realny provoz?

Každoročně státu umře web státních maturit v době, kdy se tam studenti potřebují dostat. Každoročně je to prý kvůli DDoS. Každoročně tomu věří méně a méně lidí. Ono už to totiž není ani vtipné.

Že to běží na ADSL... Krom toho si soudruzi v tom fofru nevšimli, že uplink není 10 ale 0,5 :-DDD

To je spciální linka na vyhrazený server pro smluvní odběratele, nikoliv ten veřejně dostupný.

Lidé začali na server chodit, jejich slabá infrastruktura to nedala a oni, aby nemuseli přiznat, že jsou to troubové, svedli to na DDoS

Njn, lidi to chtěli používat, to je sviňárna. Všechny zablokovat a je to vyřešeno. Viz Burešovic Božena. :-P

Čtu pořádně. https://smlouvy.gov.cz/smlouva/soubor/20225/154_2013_S_Telefonica_smlouva.pdf

Technická specifikace je v příloze 1. Kvůli téhle smlouvě patrně vytahali z ústředen VDSL karty a narvali tam zpátky ADSL. Zálohu dělělali přes EDGE nebo CDMA, LTE je zakázáno. Komise komunikují mobilama Samsung 1081 (kde jich teď sehnali 500?). Běda, když někdo použije něco jinýho.

Na sčítání mají 1GB linku ve dvou nezávislých optikách, v tom VPNko.
Druhý VPNko je na jejich server pro média (podle smlouvy 10Mbps)
Servery pro volbyhned.cz jsou podle smlouvy v Naganu, pčipojení na ČSÚ 2Mbps.
Státní volební komise - VPN 0.5Mbps.

Propojení web serverů na internet min. 1Gbps, požadovaná dostupnost 99.99%. Web servery na CentOSu, statický HTML generovaný v Java aplikaci...

Za a) nejelo to az do vecera a za b) bylo to jednoduse pretizene, zadny DDos.

Myslite? volby.cz ...

The connection was reset
The connection to the server was reset while the page was loading.

The site could be temporarily unavailable or too busy. Try again in a few moments. ...

Asi ten dvouhodinovy ddos jeste 3 dny po volbach pokracuje (on se tedy ten stav popravde prubezne meni a pokud to zkusim 10x, tak se to mozna jednou z tech 10 pokusu i nacte).

Měl bych pár kontrolních otázek:
- Byly podobné výpadky u předchozích voleb? Pokud ne, proč teď ano? Nečekal by člověk spíš, že se budou s časem učit?
- Proč myslíte, že DDoS na volby není pravděpodobný? Zvláště, pokud to byly takto emočně zjitřené, pokud už byly útoky na jiné státní úřady u nás (min. ministerstvo zahraničí) a pokud je podezření na pokusy o útok na volby i v jiných zemích?

A k tomu "... ale na Lupě tvrdě narazí" - no, pokud někdo bez znalostí, jen za základě tiskové zprávy, hned zaujímá rázná stanoviska a "jemu vše jasné"... Hm... čím se to vlastně má lišit od těch novinek.cz?
(Proto jen kladu otázky, ale nedovolím si napsat stanovisko.)

Už na škole jsme psali jednoduchý http server, který generované stránky cachuje v paměti.

Takže řešení je prosté. Pro každou stránku nastavit timeout třeba 5/10 minut a máte staticky vygenerované stránky, které se průběžně aktualizují. Odhaduji, že jde jen o pár řádek v konfigu.

Ovsem pozadavek na zobrazeni vysledku voleb nezni "dostupne online v ms intervalech". Procez se primitivne trivialne zcela libovolne (je uplne jedno zda pouzijete java/php/c/...) vygeneruje staticke html, ktere se 1x za rekneme 10 minut obnovi. Pokud pak server posila spravne a nikoli fake informace o stari dokumentu, zadny z beznych browseru nebude stranku obnovovati drive nez prave za tech 10 minut.

To "ohromne" mnoztvi stranek je mozna nekolik stovek, a to zvladne zcela libovolny i hodne letity HW vygenerovat do nekolika sekund. Pricemz to znamena o nekolik radu mene prace, nez delat totez v reakci na request zajemce.

Pro CSS pak plati, ze pri svepravne nastavenych informacich o cachovani si jej browser bude stahovati 1x mesicne.

Napoprvé SSL handshake error. Taky dobrý. Reload zabral...

Proc je tak tezke rict, nezvladli jsme to a podcenili jsme zajem lidi, proto zkolaboval server, nebo jsme spatne odhadli nutnou linku. Misto toho se to svede na ddos. Ubohost.

oni to nemaji zas tak spatne vymyslene: volbyhned.cz je redundantni loadbalancer s farmou webserveru servirujici staticky generovane html stranky v "Naganu". To taky celou dobu (s par resety https spojeni) IMHO fungovalo. (je to popsane v te vyse odkazovane smlouve)

co nefungovalo byly stranky volby.cz [spekulace] a tam mam podezreni ze tohle v zadnem datacentru neni a je to primo u nich "v baraku" [/spekulace], to pak zrusi kazde decko s par dolary...

bohuzel jako primarni byl vsude propagovan volby.cz a ne volbyhned.cz....

Mě to přijde vcelku jasné. Čemu konkrétně z této věty nerozumíte?

Dle vašeho kategorického vyjádření usuzuji, že jste byl u testů aplikace / hardware / whatever a nebo máte interní informace. Podělíte se s námi o něco konkrétního? ;-)

Případně ostatní v tomto vlákně, kteří zjevně ví víc, než běžný občan.

problem je, ze ten server pro media (xml.datavolby.cz) maji u nich "Na padesatem" (viz smlouva) zrejme spolu s primarnim "volby.cz" (neovereno) takze ubiti posledni mile k nim do baraku odrizlo i media (viz CT, kde to snad v dobe vypadku datlovali po telefonu) coz je spatne:

cela "prezentacni vrstva" musi byt nekde venku

BTW: a vubec bych se nedivil ze kdyby byl postizen i sber dat od volebnich komisi, protoze ten konci taky v baraku a jede zrejme pres stejne "draty" (potvrdi to nejakej INSIDER?)

tvrdá data o útoku se nezveřejňují zpravidla nikdy, ať už kvůli oběmu, tak třeba kvůli tomu, že je nedokážu anonymizovat a odfiltrovat data běžných návštěv, anonymizovaná data zase nemají moc velký význam na zveřejnění... a pak by stejně fd o nich nejspíš tvrdil, že si je někdo vygeneroval a že nic nedokazují.

Útočníkům to je vesměs jedno, nejsou to chytří lidé a tyhle služby si najali, dnes zpravidla neútočí nikdo z oboru, ale třetí osoba, je to příliš rizikové dělat to sám.

Druhý VPNko je na jejich server pro média (podle smlouvy 10Mbps)
Servery pro volbyhned.cz jsou podle smlouvy v Naganu, pčipojení na ČSÚ 2Mbps.
Státní volební komise - VPN 0.5Mbps.

:-DDDDDD

Já jsem weby nikdy nedělal (kromě nějaké osobní stránky v prehistorické době a nedávno rozchození wordpressu :-) ), tak se asi blbě zeptám: jak byste tedy principiálně řešil zobrazení výsledků, pokud jsou data někde v databázi, průběžně (prakticky nonstop) se mění a zobrazují se nejen hlavní výsledky (Strana X získala Y%), ale je možno se podívat na výsledky podle různých hledisek (stran, kandidátů, okrsků, neplatné hlasy a kdoví, co všechno tam ještě je) a uživatel má možnost se proklikat od nejvyšší úrovně (stát, kraj, ....) až po okrsek.

Já si myslím, že pokud by generovali jednotlivé stránky, které by pak strčili na server, museli by nonstop generovat ohromné množství stránek, které by pak uploadovali na web.

Pokud vezmu, že nekoukají furt všichni na každou poslední podstránku, tak bych si tipnul, že ta zátěž by mohla být u vašeho systému docela vyšší. Pravda, zatěžovaly by se jiné servery (ty co počítají, ne ty, co prezentují - ale ty by as vytěžovalo stálé I/O), ale je otázka, jak moc by to byla výhra.

Navíc - když má i blbý Wordpress cachovací plugin, je hodně fantasitcké předpokládat, že by měli nějakou podobnou technologii ve "velké" firemní verzi? Z toho by mi totiž vyšlo, že nejčastější stránky by skončili v cache a y méně obvyklé by se sice generovaly, ale pouze ty, o které by byl zájem.

Takže - v čem dělám ve své úvaze chybu?

na to ma statisticky urad zvlastni pristup pro media (xml.datavolby.cz)

Aha... Pokud máte jistotu, že vám stát nonstop a ve všem lže, pak už to zavání konspiračními teoriemi, o těch diskutovat nechci, omlouvám se. Ale ještě zareaguji na to, co jste napsal:

Ad první odstavec - mě to tak naopak nepřijde. Stát si často vybírá na práce firmy a ty se ho snaží ošidit a občas se vybírají firmy méně schopné a kompetentní (jako se ostatně stává i v soukromém). Takže s uvedeným procentem nesouhlasím, aniž bych si ale dovolil nastřelit nějaké vlastní.

Doložení tvrdými daty - jestli jsem to pochopil dobře, tak tvrdá data nemá ČSÚ, ale O2 a je dost možné, že to je nechce dát (např. proto, aby se vyhnulo nějakým sankcím nebo je minimalizovalo)­.(Což je i k tomu "stát vždy lže").

A ještě si trochu zaspekuluji (nejsem bezpečák, takže možná je to úplně mimo a tímto se bezpečákům omouvám): pokud by se zveřejnila plná data o útoku, je možné, že by z toho případní útočníci vyčetli, kde a jak byl útok odražen/chycen/vy­řešen a do příště by se poučili a "optimalizovali."
Dokonce mě napadá, že já bych na místě ČSÚ útok nepřiznal vůbec, nechal bych to na "technické závadě." Pak by si mohli útočníci myslet, že jsme je neodhalili a příště by použili stejnou taktiku (na kterou by se snad dalo připravit).

To chce si to přečíst pořádně a neplácat nesmysly. Pardon, neblábolit :-)

Podepsáno na začátku března 2014. Nesleduji modely mobilů, ale nemůže to souviset?

Ta kraksna je model z roku 2010.

Tak to lituji ty, co to museli používat. :-)

aktualizace je v řádu minut, což v IT je věčnost, stejná stránka je pro všechny shodná, tohle není žádná komplikace. Buď si napíšu cache sám nebo použiji cachující reverzní proxy s invalidací z backendu, používáme k těmhle účelům varnish.

Existuje řada optimalizačních technik, např. data vykresluji až v prohlížeči a z backendu jde statická stránka s js a data v jsonu. Backend renderuje každou stránku pouze jednou a vracím ji tisícům klientů, nedává smysl pro všechny požadavky renderovat to stejné znovu a znovu atd.

Zdali ono to nebude tim, ze obrazky lze vkladat i pomoci stylopisu (pripadne js).

Ono defakto, abychom se bavili o realite, tak pokud je vase sajta pretizena, a pokud kazdy zajemce stranku 10x realoaduje (viz o kousek vedle), tak vam to vsechny ty "magicke" krabice nahlasi jako ddos, obzvlaste pokud se takovou kratochvili zaobira milion zajemcu. Ten web totiz nefunguje setrvale jeste i nyni, jen jiz byly volby ukonceny, tutiz se pocet zajemcu limitne blizi nule.

Mimochodem, pokud právě teď (9:34, 24.10.2007) otevřu v prohlížeči www.volby.cz, tak dostanu hlášení "server není dostupný". Po refreshi se bez prodlevy homepage načte ok, To vypadá na nějakou zapojenou ochranu na úrovni třeba IP a opakovaného přístupu?

protože by se museli odpojit všichni, tj. kompletní izolace, to asi není dobrý nápad, co?

Server pro volby.cz mimo barak a sber dat pres jiny draty.

Ovšem na straně kyslíkářů. ČSÚ je má jako dodavatele a musí se spokojit s tím, co jim řeknou.

O2 přece nemůže veřejně přiznat, že jsou banda nenažraných pitomců. Že připojení k internetu k jejich podání není připojením k internetu, dokud s člověk pár stovek k cifře z reklamy nepřitlačí. Nemůžou přiznat veřejný tajemství, že hrana zákona pro ně není nejzašší zarážka, ale linie, ze které nikdy nesejdou. Nepřiznají, že tam mají bordel jak na poště. Nepřiznají, že pro ně tuhle akci dělali Harry a Lloyd...

Vůbec bych se po předchozích zkušenostech nedivil, kdyby zákazník objednal 5Gbps a oni tam v rámci úspor dali k serveru 100Mbps, protože to utáhne levnější switch. A po doporučení místního šamana, který věří, že pokud je uplink rychlejší než 10% downlinku, zasáhne zemi meteorit, ještě omezili uplink na 10Mbps. Ovšem za plnou cenu...

Pracuji na ČSÚ

To jsme pochopili, není třeba zdůrazňovat. To, že někdo využívá web, je naprosto šokující, viz zhora odkaz na Boženu a "masivní vytěžování z desítek (!!!) IP adres" :-)))

Mimochodem, mistře, pokud právě teď (19:33, 23.10.2007) otevřu v prohlížeči www.volby.cz, tak dostanu hlášení "Připojení bylo resetováno". To bude asi speciální DDoS, který trvá, i když ten web už nikoho nezajímá.

Dobře, ale bavíme se o volbách a ne o maturitách, ne?

Třeba mají výsledky voleb na stejném stroji jako kvanta dalších dat a za ty 4 roky přírůstků už to ta mašina nedala. Na to stačí drobná neoptimálnost, která se projeví až s určitým množstvím dat. Takže se technicky nemusí nic měnit a přesto to může havarovat.
Ale pokud máte nějaké bližší informace o vnitřní architektuře, rád si je přečtu.

Jo, tohle zní jako rozumný agument.
Na druhou stranu - spousta lidí půjde na výsledky na své oblíbené weby - iDnes, aktualne,cz, českou televizi a kde všude to je. Sice adresa volby.cz je jasná a jednoduchá, ale pořád je jednodušší to najít na svém oblíbeném zpravodajském portálu. :-)

2Pavel Hradil: Pokud nekdo, specielne stat nebo libovolna statni organizace, tvrdi, ze za neco (naprosto cokoli) muze "nekdo jiny", je to s pravdepodobnosti 99,999% prosta lez. A vychazi to ze staletych empirickych zkusenosti.

V opacnem pripade by totiz dotycny nemel zadny problem dolozit sva tvrzeni tvrdymi daty.

Mozna se vam to zda OT https://www.novinky.cz/krimi/452780-dalik-muze-zacit-strihat-metr-do-6-listopadu-musi-nastoupit-do-vezeni.html, ale nevsiml jsem si, ze by si pan Dalik koupil nejake Pandury nebo o jejich nakupu rozhodoval, a tudiz naprosto nechapu, proc do veznice ma nastoupit prave pouze on, a ne cela vlada. Je to totiz zarny priklad vyse uvedeneho - muze za to on, ne my.

A teď už budu úplně za blbého - jak jste poznal, že tam jsou obrázky? Když na to kliknu pravým, tak u obrázků to v kontextovém menu nabízí i "Zobrazit obrázek v samostatném okně/tabu" a "Stáhnout obrázek" a nic z toho to nenabídlo. A když jsem nechal zobrazit zdrojový soubor stránky, tak jsem dal hledat gif a nikde to tam nenašlo.

<rejp>O2 je ve fenixu, proc se tedy neodpojili od neduveryhodnych siti?</rejp>

To ano, ale jak si zpravodajský portál aktualizuje data? Nejjednodušší je pravidelně stahovat stránky z volby.cz a pak je vhodně parsovat. Deset různých portálů a DDoS jak vyšitý.

https://volby.cz jede bez problemu i po nekolika pokusech (neco pres 20) ani jeden vypadek

Lidi, podívejte se na mapku. Kdyby šlo o přetížení sítě, tak by skutečně byly přístupy tak časté z celého světa? To je zájem o výsledky větší ze světa než z ČR?
Pracuji na ČSÚ a skutečně šlo o útok. Ne za vším je konspirace.