[ziesell]

Border Gateway Protocol: Der Klebstoff des Internets hat eine Schwachstelle

Durch eine neu entdeckte Schwachstelle im Border Gateway Protocol können Angreifer potenziell Teile des Internets abschotten.



Ein unter dem Pseudonym Benjojo bekannter Sicherheitsforscher hat eine Schwachstelle im Border Gateway Protocol (BGP) aufgedeckt, das für das Routing zwischen Netzen verschiedener Internetdienstanbieter (ISP) verantwortlich ist. In einem Blogbeitrag bezeichnete der Forscher BGP als das "wichtigste Routing-Protokoll der Welt" sowie als "Klebstoff, der das Internet zusammenhält".

Durch die darin entdeckte Sicherheitslücke sei es Angreifern möglich, ein Fehlverhalten auszulösen, das sich wie ein Computerwurm im Netzwerk ausbreite. Der Grund dafür liege in den sogenannten BGP-Updates, durch die am Datenverkehr beteiligte Router dem Netzwerk mitteilen, welche Datenpakete sie weiterleiten können und welche nicht.

In diesen Updatepaketen seien verschiedene Attribute enthalten, wobei aufgrund verschiedener Systemversionen nicht jeder Router alle davon verarbeiten könne, erklärte der Forscher. Durch ein Transistive genanntes Bit werde den Routern mitgeteilt, das jeweilige Attribut einfach unverarbeitet an die nachfolgenden Router weiterzuleiten, sofern sie es nicht selber behandeln können.

Manipulierte BGP-Attribute kappen Netzwerkverbindungen im Internet

Zwar habe dieser Mechanismus die Einführung neuer BGP-Funktionen überhaupt erst ermöglicht, jedoch scheine dies zugleich "eine unglaublich schlechte Idee zu sein", da sich dadurch "möglicherweise unbekannte Informationen blind durch Systeme verbreiten, die die Auswirkungen dessen, was sie weiterleiten, nicht verstehen".

Problematisch sei dies vor allem in Bezug auf die Fehlerbehandlung, wenn sich ein Attribut nicht dekodieren lasse. Die Reaktion darauf unterscheide sich je nach BGP-Implementierung der jeweiligen Routerhersteller. Da nicht alle BGP-Implementierungen dieselben Attribute unterstützten, könne ein Attribut, das dem einen Router unbekannt sei, einen anderen dazu veranlassen, die Verbindungen zu bestimmten Zielen im Netzwerk zu terminieren.

Dadurch sei es Angreifern etwa möglich, ein BGP-Update zu entwerfen, das sich unbeschadet durch das Internet verbreite, bis es einen bestimmten Anbieter erreiche und dessen Netz vollständig vom Internet trenne. Selbst der Neustart einer Sitzung helfe nur bedingt, da der Zielrouter die Verbindung sofort erneut kappe, sobald er die manipulierte Nutzlast wieder empfange. "Dies kann zu längeren Internet- oder Peering-Ausfällen führen", so Benjojo.

Reaktion der Routerhersteller war ernüchternd

Enttäuscht zeigte sich der Forscher hinsichtlich der Reaktion der jeweiligen Routerhersteller wie Nokia, ******* oder Juniper, zu denen er Kontakt aufnahm, um sie über die Schwachstelle zu informieren. Die Unternehmen seien zum Großteil schwer erreichbar oder gar nicht an einer Problemlösung interessiert gewesen. Folglich habe er auch keinen Grund gesehen, "eine verantwortungsvolle Offenlegung vorzunehmen". Auch andere Entdecker von Sicherheitslücken mahnte er diesbezüglich, es sei "keine effektive Lösung, die Anbieter zu kontaktieren".

Später habe er sich direkt an einige Kunden der Hersteller gewandt und ihnen empfohlen, die Konfiguration ihrer Router anzupassen, erklärte Benjojo. Dies habe sich als "wesentlich effektiver" erwiesen – der Forscher habe mehrere ISPs, ein großes CDN (Content Delivery Network) und zwei Tier-1-Netzwerke dazu bewegen können, ihre Router vor potenziellen Angriffen zu schützen. Wie weit das Problem tatsächlich noch verbreitet ist, geht aus seinem Bericht allerdings nicht hervor.

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]