阳光明媚-PCDN网络安全性的讨论

31

2024
07

PCDN网络安全性的讨论

随着互联网的快速发展和多媒体内容的日益丰富，互联网企业对外提供资源下载和视频播放服务时越来越依赖CDN（内容分发网络）来保障其服务的便捷、快速和可靠性，CDN技术在互联网行业中扮演着越来越重要的角色。近年来随着P2P技术的逐渐成熟，基于P2P技术发展而来的PCDN网络，改进了原有CDN网络建设成本高、节点数量少等缺点，不仅对行业格局造成冲击，同时对网络安全和互联网行业管理带来更大的挑战。

一、PCDN网络的特点和对传统CDN的挑战

（一）主流CDN企业技术能力

传统 CDN 技术在面对日益增长的流量需求和多样化的应用场景时，CDN服务商需要依托电信运营商骨干网建设大量新的CDN服务节点，在国内通常需要每个省建设至少一个CDN计算中心，一个中心包含若干CDN节点。然而一个CDN节点的建设需要投入大量基础设施建设，并且投入大量不同类型的硬件资源以适应不同类型的服务需求，伴随着大量资金和硬件投入，CDN服务商成本压力巨大，需要在长期的运营中逐渐实现盈利。国内CDN头部企业阿里云CDN，其在全球部署超过3200多个节点，通过海量基础建设投资使其全网输出带宽能力可达到180Tbps。

（二）PCDN的发展脉络和当前技术能力

PCDN（P2P 内容分发网络）技术作为一种基于P2P技术改进的CDN技术，兴起已有十余年，在国内最早进入公众视野的PCDN技术应用大致是2005年至2008年期间，以“快播Qvod”、“PPLive”、“风行”等为代表的第一代P2P视频点播软件，此类软件安装运行后会在用户的计算机上占用一定磁盘空间作为缓存，并利用后台驻留的程序对外提供P2P缓存加速服务。2014年前后，随着技术发展，传统P2P下载和P2P视频点播企业逐渐向PCDN服务商转型，相关企业向大众推出了提供PCDN服务的网络终端设备，其中“优酷路由宝”、“迅雷赚钱宝”用户群体最大。用户购买相关硬件，接入自家宽带网络后即可开始提供PCDN节点服务，用户通过贡献个人宽带和存储资源，享受PCDN服务商返利。这种PCDN建设组网模式，使得PCDN网络有着极低的建设成本和庞大的节点数量，通过算法保障PCDN网络资源合理调度，可以提供比传统CDN更优质的响应灵敏度和可靠性。国内PCDN企业星域CDN，号称其国内节点高达500万个以上，存储业务带宽达到70T。北京领雾科技点心云CDN，国内节点300万个，存储带宽100T，各PCDN企业已具备超越传统CDN业务的能力和趋势。

（三）PCDN用户端硬件设备

当前市面上的PCDN用户端硬件设备形态大致分为四类：

1、 PCDN专用设备：专为PCDN设计的专用硬件设备，例如网心云OE系列专用设备等；

2、兼用设备：外形设计为路由器、机顶盒、NAS，并且兼具PCDN功能的硬件设备，如京东云无线宝系列路由器、爱快路由器、彼度云路由器、琥珀云盒等；

3、固件改造设备：网心云、点心云等企业官方提供刷机固件，用户自行提供机顶盒等硬件刷机改造为PCDN专用设备；

4、可安装PCDN功能的硬件：x86架构的PC或服务器、部分品牌型号的NAS设备、具备Docker容器功能的硬件平台、以及部分Android系统的电视机顶盒等硬件设备。

（图1：PCDN设备-网心云OEA，仅电视机顶盒大小，功耗大约10W）

由于PCDN设备类型繁多，设备形态和功能各有不同，市场亦没有统一的PCDN硬件标准和规范，几乎所有可接入网络的硬件设备均可能被改造为PCDN设备，导致近年来大量PCDN用户终端接入按网络，对运营商网络造成的负载逐年增大。

（四）PCDN网络服务的竞争优势

PCDN基于P2P技术让大量用户节点（用户端设备）也参与到内容分发中，形成一个围绕互联网业务用户的分布式的网络，大量分布式节点减轻了热门资源对中心服务器的压力，特别是PCDN大量节点使得业务用户可以在非常近的物理距离上调用资源，真正做到解决数据传输“最后一公里”问题，资源响应速度是传统CDN无法比拟的，同时PCDN企业维护PCDN服务不需要投入大量电力和电信网络带宽，维护成本较传统CDN大幅度降低，带来了明显的成本优势。

由于PCDN企业竞争力强劲，导致传统CDN服务商以及电信运营商的CDN业务受到明显冲击，各电信运营商近年来加大力度开展PCDN业务治理，但由于缺少法律支撑，且技术难度高，收效甚微。

二、PCDN网络及终端设备的安全风险

大量出现的PCDN企业和相关设备，不断挑战着传统CDN企业的市场地位。近年来，各大电信运营商不断利用其技术和资源垄断地位，打击PCDN用户端设备，例如在一些省份，电信运营商会监测用户宽带流量，发现大量数据上传行为后会封停用户宽带或强行限制宽带的IPv6服务等，致使一些地区的PCDN用户不断通过各种渠道投诉电信运营商，发生大量法律纠纷和涉访涉诉问题。互联网上亦有PCDN用户专门收集全国各地电信运营商针对PCDN的监管打击情况，制作成图表在一些贴吧、网络群组内发布。

（图2：贴吧用户自制“PCDN大规模个户风险图”）

除了电信运营商和用户的法律纠纷外，现阶段PCDN网络以及大量PCDN终端设备的出现对网络安全也带来一些风险隐患。

（一）网络攻击风险

PCDN网络与传统CDN网络最大的区别是组成PCDN网络的大量终端节点设备，散布于整个互联网各个角落，终端设备极低的制造成本注定其无法具备良好的设备安全结构，用户可以非常容易的拆卸终端设备，暴露其内部硬件构成。同时大部分PCDN企业为快速布网、推广其PCDN设备，向大众公开PCDN设备改造方法和固件程序，用户通过对固件程序的研究，可以较为深入的了解设备的性能和安全问题，甚至修改设备安全设置，直接控制终端设备行为，使一台普通的PCDN设备变成一台具备网络攻击能力的终端设备。

目前大部分PCDN终端设备均在运行定制化Linux系统，设备开机时会开放各类服务端口对外提供数据存储和转发服务，同时为了追求最大数据转发能力，PCDN运营商会鼓励用户用设备直接布设在公网或尽可能减少NAT（网络地址转换，可起到防火墙作用），用户通常也不会使用专业防火墙等设备进行防护。由于大部分终端设备固有特性，几乎终身不会进行安全更新，此类终端设备长期直接暴露在互联网，一旦爆发严重安全漏洞，可能导致大量设备被劫持。

（二）数据和隐私泄漏风险

大部分PCDN终端设备直接部署于普通互联网用户家中，用户可以直接接触到终端设备和其附属的存储设备，通过对其存储设备进行数据提取，用户可很轻易的获取PCDN缓存数据，对PCDN运营商所服务的商业用户来说，可能造成一定数据泄漏隐患。

此外通过对PCDN终端设备进行网络流量截获，不仅可以看到PCDN设备上传、下载的各类缓存文件行为和内容，同时可以看到哪些网络用户调用了这些缓存数据，由于PCDN网络资源调度过程中，资源需求方会就近调用本省或本地区PCDN用户终端上的数据，理论上通过大量控制用户终端设备并积累用户IP地址，可以对网络用户调用PCDN缓存资源的网络行为进行画像，造成本地区周边网络用户隐私泄漏风险。

（图3：对PCDN设备流量抓包可发现调用资源的用户IP和调用的资源文件名）

非授权的第三方企业或个人，也可以根据PCDN终端设备上传下载网络资源行为分析出本地热门资源的发布和调用情况，致使原有相关商业利益受损。

（三）恶意流量攻击风险

PCDN网络利用P2P技术分布式承载缓存资源、就近调用数据、确保网络资源高度可用，每家PCDN企业都会尽可能鼓励用户大量部署其用户终端设备。目前通过FOFA等网络空间测绘工具探测，仅国内互联网上开放18080端口（网心云OE系列设备默认管理端口）的在网设备可达14万个，开放9999端口（网心云赚钱宝设备默认管理端口）的在网设备可达23万个。