Security So einfach wird der Internetsicherheitsmechanismus RPKI wirkungslos

Anbieter zum Thema

Telefonica Germany GmbH & Co. OHG

NetModule AG

wherever SIM GmbH

Am Nationalen Forschungszentrum für angewandte Cybersicherheit (Athene) haben Experten demonstriert, wie angreifbar IT-Sicherheitssysteme sein können.

Der Internetsicherheitsmechanismus RPKI soll eigentlich verhindern, dass Cyberkriminelle oder Angreifer aus feindlich gesonnenen Staaten den Verkehr im Internet umlenken. Solche Umlenkungen kommen im Internet aber erstaunlich häufig vor – zum Beispiel durch Spionageaktivitäten oder Fehlkonfigurationen. Ein Expertenteam von Athene zeigte nun, dass Angreifer den Sicherheitsmechanismus auch komplett aushebeln können, ohne dass die betroffenen Netzbetreiber dies feststellen können. Damit nicht genug, denn nach Analysen des Athene-Teams waren Anfang 2021 alle führenden Implementierungen von RPKI angreifbar. Das Team informierte nun die Hersteller und hat die Erkenntnisse auch der internationalen Fachöffentlichkeit vorgestellt.

Es twitterte plötzlich in Russland

Wenn Teile des Internetverkehrs fehlgeleitet werden, sorgt das für großes Aufsehen, wie etwa im März dieses Jahres, als der Verkehr für Twitter teilweise nach Russland umgelenkt wurde. Ganze Unternehmen oder Länder könnten so vom Internet abgeschnitten oder der Internetverkehr abgefangen oder belauscht werden, warnen die Forscher. Technisch betrachtet, stecken hinter solchen Angriffen meist Prefix-Hijacks, die ein fundamentales Designproblem des Internets ausnutzen – die Festlegung, welche IP-Adresse zu welchem Netz gehört, ist nämlich nicht abgesichert.

Um zu verhindern, dass ein Netz im Internet IP-Adressblöcke beansprucht, die ihm nicht rechtmäßig gehören, hat die IETF, die für das Internet zuständige Standardisierungsorganisation, die Ressource Public Key Infrastructure (RPKI) standardisiert. Die RPKI nutzt dazu digital signierte Zertifikate, die bestätigen, dass ein bestimmter IP-Adressblock tatsächlich zu dem angegebenen Netz gehört, wie es heißt. Nach Messungen des Athene-Teams haben mittlerweile knapp 40 Prozent aller IP-Adressblöcke ein RPKI-Zertifikat, und etwa 27 Prozent aller Netze prüfen diese Zertifikate.

Interview

„Es geht nicht darum, dass die russischen Hacker so viel besser wären“

Dem Netz ist es egal, ob IP-Adressen zertifiziert sind

Wie das Athene-Team um Prof. Dr. Haya Shulman feststellte, hat auch RPKI eine Designschwäche. Denn kann ein Netz für einen IP-Adressblock kein Zertifikat finden, so wird angenommen, dass eben keines existiert, erläutern die Experten. Damit der Verkehr im Internet trotzdem fließen kann, wird dieses Netz für solche IP-Adressblöcke die RPKI schlichtweg ignorieren. Das heißt, die Routing-Entscheidungen basieren wie zuvor nur noch auf ungesicherten Informationen. Das Athene-Team konnte experimentell zeigen, dass ein Angreifer genau diese Situation schaffen und damit RPKI gezielt abschalten kann, ohne dass es jemand mitbekommt. Insbesondere wird auch das betroffene Netz, dessen Zertifikate ignoriert werden, dieses nicht bemerken, führen die Forscher weiter aus. Das Athene-Team nennt diesen Angriff „Stalloris“. Er setze voraus, dass der Angreifer einen sogenannten RPKI Publication Point kontrolliere. Für jedwede Art von Angreifern stelle das kein besonderes Problem dar.

Eine kurze Beschreibung finden Sie hier.

(ID:48672922)