Als der Twitter-Traffic im Frühjahr 2022 kurzzeitig über Russland geleitet wurde, sorgte das weltweit für Aufsehen. Möglich wurde dies durch eine Sicherheitslücke im Border Gateway Protocol (BGP). Ob das sogenannte BGP-Hijacking absichtlich oder versehentlich erfolgte, ist nicht klar.

Theoretisch wäre es aber durch eine solche Umleitung des Internetverkehrs möglich, Unternehmen oder ganze Länder vom Internet abzuschneiden. Ebenso wäre das Abfangen oder Belauschen der Onlinekommunikation damit erleichtert.

Hinter entsprechenden Angriffen stecken meist Prefix-Hijacks, wie Athene, das Forschungszentrum für Cybersicherheit in Europa, erklärt. Bei diesen werde ein fundamentales Designproblem des Internets ausgenutzt: „Die Festlegung, welche IP-Adresse zu welchem Netz gehört, ist nicht abgesichert.“

Damit ein Netz im Internet nicht einfach IP-Adressblöcke beansprucht, die ihm nicht gehören, hat die zuständige Standardisierungsorganisation Internet Engineering Task Force (IETF) die sogenannte Resource Public Key Infrastructure (RPKI) standardisiert.

Der Sicherheitsmechanismus funktioniert über Zertifikate. Laut Athene haben mittlerweile knapp 40 Prozent aller IP-Blöcke ein RPKI-Zertifikat. Immerhin 27 Prozent der Netze prüfen diese Zertifikate.

Aber: Ein Forschungsteam um Athene-Wissenschaftlerin Haya Shulman hat jetzt auch beim RPKI eine Designschwäche entdeckt, durch die der wichtige Internet-Sicherheitsmechanismus ausgehebelt werden kann. Kann nämlich ein Netz für einen IP-Adressblock kein Zertifikat finden, nimmt es an, dass ein solches schlicht nicht existiert.

Um den Traffic dennoch ordnungsgemäß weiterleiten zu können, ignoriert das Netz für solche IP-Adressblöcke den Sicherheitsmechanismus RPKI einfach. Die Folge: „Die Routing-Entscheidungen basieren wie zuvor rein auf ungesicherten Informationen“, wie es bei Athene heißt.

Was das Ganze zu einem großen Problem macht, ist, dass es dem Athene-Team gelungen ist, genau diese Situation zu schaffen. In Versuchen ließ sich damit RPKI gezielt abschalten, ohne dass das jemandem auffallen könnte, auch nicht dem betroffenen Netz.

Der von Athene Stalloris genannte Angriff kann derweil nur durchgeführt werden, wenn ein sogenannter RPKI-Publication-Point kontrolliert wird. Das sollte aber für staatliche Akteure und organisierte Cyberkriminelle kein Problem sein.

Dem Athene-Team zufolge seien alle führenden Produkte, die von Netzen zur Überprüfung von RPKI-Zertifikaten eingesetzt werden, anfällig für Stalloris (Stand: Anfang 2021). Athene hat die Hersteller nach eigenen Angaben frühzeitig informiert. Inwieweit das Einfallstor geschlossen wurde, ist aber nicht klar.

Die Forscher:innen erklärten, nicht untersucht zu haben, wie viele Betroffene ihre Systeme schon entsprechend upgedatet haben. Google jedenfalls habe seine RPKI-Infrastruktur gegen diese Bedrohung abgesichert, wie das Unternehmen gegenüber The Register mitteilte.