Security als Dienstleistung des Zugangsnetzbetreibers-ein ungewöhnlicher Ansatz mit hoher Tragweite Security as Service of the Access Network Operator-a disruptive Approach with high Potential

Abstract

Kurzfassung Sobald man ein Gerät mit dem Internet verbindet ist dieses innerhalb weniger Minuten Ziel verschiedener Cyberattacken. Das Internet ist ein rechtsfreier Raum, unter anderem aufgrund fehlender bzw. nicht umgesetzter Mechanismen zur Ve-rifizierung von Absenderadressen. Dieser Beitrag präsentiert dafür einen neuen, Hardware-basierten Ansatz. Basierend auf einer Analyse bisheriger Hürden bei der Einführung wird ein mögliches Rollout-Szenario und ein Business Case vorgestellt, welcher es einem Zugangsnetzbetreiber ermöglicht, die Verifizierung der Absenderadresse als neuen Dienst für interessierte Nutzer anzubieten. Abstract A device connected to the internet, becomes a victim for cyber attackers within minutes. Most of internet service providers don't enable source address verification, so end users have no possibility to control where a packet comes from. The following work presents a hardware based approach for source address verification. We analyse the limiting factors for access network providers to enable address verification and roll-out a solution to sell this feature on top of existing services. 1 Einführung Der Ansatz, der zu diesem Dienst geführt hat ist eigent-lich gar nicht so ungewöhnlich. Im Faxdienst gibt es die Überprüfung der Absenderadresse schon lange. Bei die-sem Dienst wird die Absenderadresse der Pakete überprüft. Anders als beim Faxdienst werden hier Pakete mit falscher Absenderadresse verworfen. Es gibt keine Korrektur der Absenderadresse. Als Arbeitsname wird der neue Internet Dienst mit S.A.VE. bezeichnet, für Source Address Verification. Für den S.A.VE. Dienst werden speziell gekenn-zeichnete IPv6 Pakete verwendet. Der Empfänger eines S.A.VE. Paketes kann sich auf die korrekte Absenderadres-se verlassen und weiß genau von wem es abgesandt wur-de. Damit sind anonyme Hacker, Spam IP Spoofing, und Distributed Denial of Service (DDoS) außen vor. Der Auf-wand für die Einführung eines solchen Dienstes kommt ei-nem zunächst immens vor. Es müsste erstmal allen Teil-nehmer eine eindeutige Adresse zugewiesen werden, und die SAVE Pakete müssten in einem eigenen, abgeschotte-ten Netz übertragen werden. Wer überprüft die Absender-adresse? Wer baut das SAVE Netz auf? Wie ist das mit den Endgeräten? Usw. Im Folgenden wird gezeigt, dass diese Probleme lösbar sind. 2 Stand der Technik 2.1 Verifizierung der Absenderadresse Diese Verifizierung der Absenderadresse von IP Paketen wird heute bereits in den IETF Empfehlungen BCP38 [1] empfohlen. Aus gewichtigen Gründen ist diese aber de-facto wirkungslos: • BCP38 ist freiwillig. Nicht alle ISP befolgen diese Empfehlung, da die Umsetzung mit zusätzlichen Kos-ten verbunden ist. Dies wird in einem Dokument der Internet Society [2] beschrieben. • Das Dokument weist darauf hin, dass heute 45 In-ternet Service Provider (ISP) weltweit eine entspre-chende Absichtserklärung [3] unterschrieben haben. Die Zahl ist verschwindend gering, bei geschätzt weit über 1000 ISPs weltweit. Wenn nur ein einziger ISP sich daran nicht hält, können anonyme Hacker mit ge-fälschten Absenderadressen ins Netz, und der gesamte Aufwand ist wirkungslos. • Mit dem SAVI Framework in RFC7039 [4]-[6] wird empfohlen, die IP Adressen feingranular zu überprü-fen. Dieser RFC ist aber auch nicht bindend, sondern nur informativ. SAVI empfiehlt die IP Adresse möglichst nahe an der Zu-gangsleitung zu prüfen und über einen "Binding Anchor"