Orange España, der zweitgrößte Mobilfunkanbieter Spaniens, erlebte am Mittwoch einen ernsten Ausfall, nachdem eine unbekannte Partei Zugriff auf das Konto zur Verwaltung der globalen Routing-Tabelle mit einem 'absurd schwachen' Passwort erhalten hatte. Ab 9:28 UTC loggte sich eine Person mit dem Nickname Snow in das Orange-Konto bei RIPE NCC ein, wobei sie das Passwort ripeadmin verwendete. RIPE NCC ist für die Verwaltung und Verteilung von IP-Adressen zuständig und betreut 75 Länder in Europa, dem Nahen Osten und Zentralasien.
Snow fügte zunächst neue ROAs (Route Origin Authorizations) zur globalen Routing-Tabelle hinzu, die zunächst keinen Ausfall verursachten. Doch später fügte Snow ROAs mit 'falschen Quellen' hinzu, was zu einer erheblichen Reduktion der gültigen Routen von Orange führte, was wiederum einen Ausfall im Dienste zur Folge hatte. Das Problem wurde durch die Nutzung des RPKI-Systems (Resource Public Key Infrastructure), das darauf ausgelegt ist, unbefugte Routenübernahmen zu verhindern, verschärft, was das Netzwerk von Orange effektiv funktionsunfähig machte.
Das Unternehmen Hudson Rock entdeckte, dass Zugangsdaten in Online-Shops verkauft wurden, die durch Malware, die seit September auf dem Computer von Orange installiert war, gestohlen wurden. Die Forscher wiesen auch auf Tausende weiterer Zugangsdaten hin, die Konten bei RIPE schützen und auf solchen Marktplätzen verfügbar sind.
Dieser Vorfall verdeutlicht die Fragilität des BGP-Systems und zeigt ernsthafte Sicherheitsprobleme bei Orange auf. Die Verwendung eines schwachen Passworts und das Fehlen einer Zwei-Faktor-Authentifizierung sowie das unentdeckte Vorhandensein von Malware auf dem Computer eines Mitarbeiters über einen Zeitraum von vier Monaten sind schwerwiegende Versäumnisse, die in einer Organisation mit einem so großen Umfang wie Orange niemals hätten passieren dürfen. Die Forscher hoffen, dass dieser Vorfall anderen Dienstanbietern als Warnsignal dienen und sie dazu anregen wird, ihre Sicherheitsmaßnahmen zu verstärken.
Quelle: linux.org.ru
