http://ift.tt/14tB4aG
Um das Kapern von BGP-Routen zu verhindern, hat die IETF ein Set von Standards zur kryptographischen Absicherung der BGP-Routen entwickelt. Die Vertrauenswürdigkeit von Routen lässt sich dabei per Hash-Wert-Abgleich mittels kryptografischen Schlüsseln überprüfen; die mittels herkömmlichen Zertifikaten signierten Schlüssel geben die IP-Adressverwalter zusammen mit den Adressen heraus. Annonciert ein Angreifer eine fremde Route, schlägt der Hash-Abgleich fehl und der Empfänger verwirft die Route.
Aber die Technik lässt sich auch missbrauchen, etwa von IP-Ausgabestellen, die totalitäre Staaten kontrollieren. Genau das könnte nun Goldbergs Vorschlag verhindern: Adressinhaber bekommen eine Art Einspruchsrecht. Signieren sie mit ihrem eigenen Schlüssel einen zurückgenommenen Routen-Eintrag, signalisieren sie damit, dass die Route zu recht vom Netz geht, die Routen-Information bekommt vom Adressinhaber einen Dead-Eintrag. Sind sie aber nicht einverstanden, etwa, weil die Devalidierung von einer Behörde aus einer fremden Jurisdiktion veranlasst wurde, stimmen sie dem Ableben nicht zu, indem sie den Dead-Eintrag unterlassen.
Damit Netzwerkadministratoren weltweit sehen, welche Routen einvernehmlich zurückgezogen wurden und welche umstritten sind, sieht Goldberg zusätzlich den Abgleich der RPKI-Updates mit der jeweils vorherigen Version der Einträge vor. Stoßen sie beim Vergleich auf devalidierte, aber nicht als dead gekennzeichnete Routen, können sie selbst entscheiden, ob sie diese weiter führen. Die Admins der Netzbetreiber haben also weiterhin das letzte Wort beim Routing.
http://ift.tt/14tB4aJ
Auf der Sicherheitskonferenz Defcon demonstrierten Hacker, dass sie Daten im Internet quasi beliebig umleiten und damit auch belauschen können. Das Schlimme daran: das Problem ist im Prinzip seit 20 Jahren bekannt.Durch Manipulation von Routing-Einträgen leiteten Anton Kapela und Alex Pilosov Pakete an das Netzwerk der Konferenz über einen Router in New York um, der sie dann an das eigentlich Ziel in Las Vegas weitersendete. Derartige Spielchen benutzen das Border Gateway Protocol (BGP, RFC 4271), über das Router an den Grenzen der Autonomen Systeme (AS), aus denen sich das Internet zusammensetzt, bekannt geben, welche anderen Netze sie erreichen können. Da oftmals viele Wege zum gewünschten Ziel führen, müssen die Router entscheiden, welchem sie den Vorzug geben. Ein Kriterium dabei ist, dass möglichst spezifische Routen bevorzugt werden. So "gewinnt" eine Route für ein kleines /24-Netz, das die Zieladresse enthält, gegen einen Eintrag für ein großes /16-Netz.
Dabei gibt es so gut wie keine Autorisierungsmechanismen, die Missbrauch verhindern könnten. Man verlässt sich im Wesentlichen darauf, dass das alles schon seine Richtigkeit hat. Wohin das führen kann, zeigte ein Vorfall im Februar diesen Jahres, bei dem das Video-Portal Youtube stundenlang nicht mehr zu erreichen war. Damalssetzte die Pakistan Telecom eine Anweisung der Regierung, den Zugang zu Youtube zu sperren, sehr eigenwillig um. Sie annoncierten auf ihrem Border-Gateway eine speziellere Route zu den Youtube-Servern, die auf das Null-Device zeigte und sich rasend schnell im Internet ausbreitete. Das Resultat war, dass an Youtube gerichtete Pakete aus der ganzen Welt in einem digitalen Mülleimer in Pakistan landeten. Das RIPE illustriert die Auswirkungen dieses Vorgangs sehr eindrücklich mit einem Video.
Zitat:
Um das Kapern von BGP-Routen zu verhindern, hat die IETF ein Set von Standards zur kryptographischen Absicherung der BGP-Routen entwickelt. Die Vertrauenswürdigkeit von Routen lässt sich dabei per Hash-Wert-Abgleich mittels kryptografischen Schlüsseln überprüfen; die mittels herkömmlichen Zertifikaten signierten Schlüssel geben die IP-Adressverwalter zusammen mit den Adressen heraus. Annonciert ein Angreifer eine fremde Route, schlägt der Hash-Abgleich fehl und der Empfänger verwirft die Route.
Zitat:
Aber die Technik lässt sich auch missbrauchen, etwa von IP-Ausgabestellen, die totalitäre Staaten kontrollieren. Genau das könnte nun Goldbergs Vorschlag verhindern: Adressinhaber bekommen eine Art Einspruchsrecht. Signieren sie mit ihrem eigenen Schlüssel einen zurückgenommenen Routen-Eintrag, signalisieren sie damit, dass die Route zu recht vom Netz geht, die Routen-Information bekommt vom Adressinhaber einen Dead-Eintrag. Sind sie aber nicht einverstanden, etwa, weil die Devalidierung von einer Behörde aus einer fremden Jurisdiktion veranlasst wurde, stimmen sie dem Ableben nicht zu, indem sie den Dead-Eintrag unterlassen.
Damit Netzwerkadministratoren weltweit sehen, welche Routen einvernehmlich zurückgezogen wurden und welche umstritten sind, sieht Goldberg zusätzlich den Abgleich der RPKI-Updates mit der jeweils vorherigen Version der Einträge vor. Stoßen sie beim Vergleich auf devalidierte, aber nicht als dead gekennzeichnete Routen, können sie selbst entscheiden, ob sie diese weiter führen. Die Admins der Netzbetreiber haben also weiterhin das letzte Wort beim Routing.
http://ift.tt/14tB4aJ
Zitat:
Auf der Sicherheitskonferenz Defcon demonstrierten Hacker, dass sie Daten im Internet quasi beliebig umleiten und damit auch belauschen können. Das Schlimme daran: das Problem ist im Prinzip seit 20 Jahren bekannt.Durch Manipulation von Routing-Einträgen leiteten Anton Kapela und Alex Pilosov Pakete an das Netzwerk der Konferenz über einen Router in New York um, der sie dann an das eigentlich Ziel in Las Vegas weitersendete. Derartige Spielchen benutzen das Border Gateway Protocol (BGP, RFC 4271), über das Router an den Grenzen der Autonomen Systeme (AS), aus denen sich das Internet zusammensetzt, bekannt geben, welche anderen Netze sie erreichen können. Da oftmals viele Wege zum gewünschten Ziel führen, müssen die Router entscheiden, welchem sie den Vorzug geben. Ein Kriterium dabei ist, dass möglichst spezifische Routen bevorzugt werden. So "gewinnt" eine Route für ein kleines /24-Netz, das die Zieladresse enthält, gegen einen Eintrag für ein großes /16-Netz.
Dabei gibt es so gut wie keine Autorisierungsmechanismen, die Missbrauch verhindern könnten. Man verlässt sich im Wesentlichen darauf, dass das alles schon seine Richtigkeit hat. Wohin das führen kann, zeigte ein Vorfall im Februar diesen Jahres, bei dem das Video-Portal Youtube stundenlang nicht mehr zu erreichen war. Damalssetzte die Pakistan Telecom eine Anweisung der Regierung, den Zugang zu Youtube zu sperren, sehr eigenwillig um. Sie annoncierten auf ihrem Border-Gateway eine speziellere Route zu den Youtube-Servern, die auf das Null-Device zeigte und sich rasend schnell im Internet ausbreitete. Das Resultat war, dass an Youtube gerichtete Pakete aus der ganzen Welt in einem digitalen Mülleimer in Pakistan landeten. Das RIPE illustriert die Auswirkungen dieses Vorgangs sehr eindrücklich mit einem Video.
91. Treffen der IETF: Das Kapern von BGP-Routen verhindern
Aucun commentaire:
Enregistrer un commentaire