{"id":35550,"date":"2019-10-31T22:04:58","date_gmt":"2019-10-31T19:04:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/pochemu-internet-do-sih-por-onlajn\/"},"modified":"2019-10-31T22:04:58","modified_gmt":"2019-10-31T19:04:58","slug":"pochemu-internet-do-sih-por-onlajn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/pochemu-internet-do-sih-por-onlajn","title":{"rendered":"Warum ist das Internet weiterhin online?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Das Internet erscheint als eine starke, unabh\u00e4ngige und unzerst\u00f6rbare Struktur. In der Theorie reicht die Stabilit\u00e4t des Netzwerks aus, um eine atomare Explosion zu \u00fcberstehen. In der Realit\u00e4t kann das Internet jedoch durch einen einfachen kleinen Router zusammenbrechen. Das liegt daran, dass das Internet ein Konglomerat aus Widerspr\u00fcchen, Verwundbarkeiten, Fehlern und Katzenvideos ist. Die Grundlage des Internets, das BGP-Protokoll, birgt viele Probleme. Es ist erstaunlich, dass es \u00fcberhaupt noch funktioniert. Neben den Fehlern im Internet selbst wird es von allen m\u00f6glichen Akteuren angegriffen: gro\u00dfen Internetanbietern, Konzernen, Staaten und DDoS-Attacken. Was kann man dagegen tun und wie damit leben?<\/p>\n

\"Warum
\n
\nDie Antwort kennt Alexey Uchakin<\/b> (Night_Snake<\/a><\/noindex>) \u2013 der Leiter eines Netzwerktechnik-Teams bei IQ Option. Seine Hauptaufgabe ist die Verf\u00fcgbarkeit der Plattform f\u00fcr die Benutzer. In der Aufzeichnung von A\u043b\u0435\u043a\u0441\u0435\u044f's Pr\u00e4sentation auf\u00a0Saint HighLoad++ 2019<\/a><\/noindex> werden wir \u00fcber BGP, DDoS-Attacken, den Schalter vom Internet, die Fehler der Anbieter, Dezentralisierung und F\u00e4lle sprechen, in denen ein kleiner Router das Internet zum Schlafen geschickt hat. Am Ende \u2013 ein paar Ratschl\u00e4ge, wie man all das \u00fcberstehen kann.
\n<\/a><\/noindex>
\n

\r\n \"Video\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Der Tag, an dem das Internet zusammenbrach<\/h2>\n

\nIch werde nur einige Vorf\u00e4lle anf\u00fchren, bei denen die Konnektivit\u00e4t im Internet gest\u00f6rt war. Das wird ausreichen, um ein umfassendes Bild zu erhalten.<\/p>\n

\u201eDer Vorfall mit AS7007\u201c<\/b>. Zum ersten Mal brach das Internet im April 1997 zusammen. In der Software eines Routers aus dem autonomen System 7007 gab es einen Fehler. Irgendwann k\u00fcndigte der Router seinen internen Routing-Tabelle den Nachbarn an und schickte die H\u00e4lfte des Netzwerks in ein black hole.<\/p>\n

\u201ePakistan gegen YouTube\u201c<\/b>. Im Jahr 2008 beschlossen mutige Jungs aus Pakistan, YouTube bei sich zu blockieren. Sie haben das so gut gemacht, dass die halbe Welt ohne Katzen auskommen musste.<\/p>\n

\u201eDie \u00dcbernahme der Pr\u00e4fixe VISA, MasterCard und Symantec durch Rostelecom\u201c<\/b>. Im Jahr 2017 begann Rostelecom versehentlich, die Pr\u00e4fixe von VISA, MasterCard und Symantec anzuk\u00fcndigen. Infolgedessen wurde der Finanzverkehr \u00fcber Kan\u00e4le geleitet, die der Anbieter kontrolliert. Der Leak dauerte nicht lange, aber es war unangenehm f\u00fcr die Finanzunternehmen.<\/p>\n

\u201eGoogle gegen Japan\u201c<\/b>. Im August 2017 begann Google, in einem Teil seiner Uplink-Verbindungen Pr\u00e4fixe gro\u00dfer japanischer Anbieter NTT und KDDI anzuk\u00fcndigen. Der Verkehr wurde f\u00e4lschlicherweise als Transitverkehr an Google gesendet. Da Google kein Anbieter ist und keinen Transitverkehr weiterleitet, blieb ein erheblicher Teil Japans ohne Internet.<\/p>\n

\u201eDV LINK \u00fcbernahm die Pr\u00e4fixe von Google, Apple, Facebook, Microsoft\u201c<\/b>. Im Jahr 2017 begann der russische Anbieter DV LINK aus unerfindlichen Gr\u00fcnden, die Netzwerke von Google, Apple, Facebook, Microsoft und einigen anderen gro\u00dfen Akteuren anzuk\u00fcndigen.<\/p>\n

\u201eeNet aus den USA erfasste die Pr\u00e4fixe AWS Route53 und MyEtherwallet\u201c<\/b>. Im Jahr 2018 k\u00fcndigte ein Anbieter aus Ohio oder einer seiner Kunden die Netzwerke von Amazon Route53 und der Krypto-Wallet MyEtherwallet an. Der Angriff war erfolgreich: Selbst trotz des selbstsignierten Zertifikats, dessen Warnung beim Besuch der MyEtherwallet-Website f\u00fcr den Nutzer erschien, wurden viele Wallets gehackt und ein Teil der Kryptow\u00e4hrung gestohlen.<\/p>\n

Im Jahr 2017 gab es mehr als 14.000 solcher Vorf\u00e4lle! Das Netzwerk ist nach wie vor dezentralisiert, daher bricht nicht alles und nicht bei jedem zusammen. Aber Vorf\u00e4lle treten zu Tausenden auf, und alle stehen im Zusammenhang mit dem BGP-Protokoll, auf dem das Internet basiert.<\/p>\n

BGP und seine Probleme<\/h2>\n

\nProtokoll BGP \u2013 Border Gateway Protocol<\/b>, das erstmals 1989 von zwei Ingenieuren von IBM und Cisco Systems auf drei \u201eServietten\u201c \u2013 DIN A4-Bl\u00e4ttern \u2013 beschrieben wurde. Diese \u201eServietten\u201c<\/a><\/noindex> liegen bis heute als Reliquie der Netzwerk-Welt im Hauptsitz von Cisco Systems in San Francisco.<\/p>\n

Das Protokoll basiert auf der Interaktion autonomer Systeme<\/b>\u00a0\u2013 Autonomous Systems oder kurz AS. Ein autonomes System ist einfach eine gewisse ID, hinter der im \u00f6ffentlichen Register IP-Netzwerke vermerkt sind. Ein Router mit dieser ID kann diese Netzwerke in die Welt anmelden. Dementsprechend kann jede Route im Internet als ein Vektor dargestellt werden, den man nennt AS Path<\/b>. Der Vektor besteht aus den Nummern der autonomen Systeme, die durchlaufen werden m\u00fcssen, um das Zielnetzwerk zu erreichen.<\/p>\n

Beispielsweise gibt es ein Netzwerk aus einer gewissen Anzahl von autonomen Systemen. Man muss von System AS65001 zu System AS65003 gelangen. Der Weg von einem System wird auf dem Diagramm als AS Path dargestellt. Er besteht aus zwei autonomen Systemen: 65002 und 65003. F\u00fcr jede Zieladresse gibt es einen AS Path-Vektor, der aus den Nummern der autonomen Systeme besteht, die wir durchlaufen m\u00fcssen.<\/p>\n

\"Warum
\n
\nWas sind also die Probleme von BGP?<\/p>\n

BGP ist ein Vertrauensprotokoll<\/h3>\n

\nDas BGP-Protokoll basiert auf Vertrauen. Das bedeutet, dass wir standardm\u00e4\u00dfig unserem Nachbarn vertrauen. Dies ist eine Eigenschaft vieler Protokolle, die in der Fr\u00fchzeit des Internets entwickelt wurden. Lassen Sie uns kl\u00e4ren, was \u201evertrauen\u201c bedeutet.<\/p>\n

Es gibt keine Authentifizierung des Nachbarn<\/b>. Formal gibt es MD5, aber MD5 ist 2019 \u2013 naja, so lala\u2026<\/p>\n

Keine Filterung<\/b>. BGP hat Filter, und sie sind beschrieben, aber sie werden entweder nicht verwendet oder falsch angewendet. Sp\u00e4ter erkl\u00e4re ich, warum.<\/p>\n

Sehr einfach, die Nachbarschaft einzurichten<\/b>. Die Konfiguration der Nachbarschaft im BGP-Protokoll auf fast jedem Router erfordert nur ein paar Zeilen Konfiguration.<\/p>\n

Es sind keine Verwaltungsrechte f\u00fcr BGP erforderlich<\/b>. Es sind keine Pr\u00fcfungen erforderlich, die Ihre Qualifikation best\u00e4tigen. Niemand wird Ihnen die Rechte wegen der BGP-Einrichtung im betrunkenen Zustand entziehen.<\/p>\n

Zwei Hauptprobleme<\/h3>\n

\nPrefix-Hijacks<\/b>. Ein Prefix-Hijack ist die Ank\u00fcndigung eines Netzwerks, das Ihnen nicht geh\u00f6rt, wie im Fall von MyEtherwallet. Wir haben einige Pr\u00e4fixe entf\u00fchrt, mit dem Anbieter verhandelt oder ihn gehackt, und \u00fcber ihn k\u00fcndigen wir diese Netzwerke an.<\/p>\n

Route-Leaks<\/b>. Mit Leaks ist es etwas komplizierter. Ein Leak ist eine \u00c4nderung des AS-Pfades<\/b>. Im besten Fall f\u00fchrt eine \u00c4nderung zu h\u00f6heren Latenzen, da eine l\u00e4ngere oder weniger effiziente Verbindung genutzt werden muss. Im schlimmsten Fall wiederholt sich der Vorfall mit Google und Japan.<\/p>\n

Google selbst ist kein Betreiber und auch keine Transit-Autonomous-System. Aber als es sein Netzwerk den japanischen Provider anzeigte, wurde der Datenverkehr \u00fcber Google im AS-Pfad als vorrangig angesehen. Der Datenverkehr wurde dorthin geleitet und fiel einfach aus, weil die Routing-Einstellungen innerhalb von Google komplizierter sind als nur Filter an der Grenze.<\/p>\n

Warum funktionieren die Filter nicht?<\/h3>\n

\nNiemand k\u00fcmmert sich<\/b>. Das ist der Hauptgrund \u2013 es ist allen egal. Ein Admin eines kleinen Providers oder einer Firma, die sich \u00fcber BGP mit einem Provider verbunden hat, hat MikroTik genommen, BGP auf ihm konfiguriert und wei\u00df nicht einmal, dass man dort Filter einstellen kann.<\/p>\n

Konfigurationsfehler<\/b>. Irgendetwas wurde debuggt, ein Fehler in der Maske gemacht, das richtige Netzwerk nicht eingestellt \u2013 und schon wieder ein Fehler.<\/p>\n

Keine technischen M\u00f6glichkeiten<\/b>. Zum Beispiel haben Telekommunikationsanbieter viele Kunden. Es w\u00e4re sinnvoll, die Filter f\u00fcr jeden Kunden automatisch zu aktualisieren \u2013 darauf zu achten, dass er ein neues Netzwerk hat, das er an jemanden vermietet hat. Das zu \u00fcberwachen ist schwierig, und von Hand ist es noch schwieriger. Deshalb werden einfach entspannte Filter gesetzt oder die Filter werden ganz weggelassen.<\/p>\n

Ausnahmen<\/b>. Es gibt Ausnahmen f\u00fcr bevorzugte und gro\u00dfe Kunden. Besonders im Falle von Inter-Operator-Schnittstellen. Zum Beispiel haben TransTeleCom und Rostelecom viele Netzwerke und eine Schnittstelle zwischen ihnen. Wenn die Schnittstelle ausf\u00e4llt, wird es f\u00fcr niemanden gut sein, weshalb die Filter entspannt oder ganz entfernt werden.<\/p>\n

Veraltete oder ungenaue Informationen im IRR<\/b>. Die Filter basieren auf Informationen, die aufgezeichnet sind in\u00a0IRR \u2014 Internet Routing Registry<\/b>. Es sind die Register regionaler Internet-Registrare. In den Registern gibt es oft veraltete oder nicht aktuelle Informationen, oder alles zusammen.<\/p>\n

Wer sind diese Registrare?<\/h3>\n

\"Warum
\n
\nAlle Adressen im Internet geh\u00f6ren Organisationen IANA \u2014 Internet Assigned Numbers Authority<\/b>. Wenn Sie von jemandem ein IP-Netzwerk kaufen, erwerben Sie nicht die Adressen, sondern das Recht, sie zu nutzen. Adressen sind eine immaterielle Ressource, und nach allgemeiner Vereinbarung geh\u00f6ren sie alle der IANA.<\/p>\n

Das System funktioniert so. IANA delegiert die Verwaltung von IP-Adressen und autonomen Systemnummern an f\u00fcnf regionale Registratoren. Diese vergeben autonome Systeme LIR \u2014 lokale Internet-Registrare<\/b>. Danach vergeben LIR IP-Adressen an Endnutzer.<\/p>\n

Ein Nachteil des Systems besteht darin, dass jeder der regionalen Registratoren seine eigenen Register auf seine Weise f\u00fchrt. Jeder hat seine eigenen Vorstellungen davon, welche Informationen in den Registern enthalten sein sollten, wer sie pr\u00fcfen darf oder nicht. Das Ergebnis ist das Chaos, das wir jetzt haben.<\/p>\n

Wie kann man sonst gegen diese Probleme angehen?<\/h3>\n

\nIRR \u2014 mittelm\u00e4\u00dfige Qualit\u00e4t<\/b>. Mit IRR ist alles klar \u2014 dort ist es schlecht.<\/p>\n

BGP-Communities<\/b>. Dies ist ein gewisses Attribut, das im Protokoll beschrieben ist. Wir k\u00f6nnen beispielsweise eine spezielle Community auf unsere Ank\u00fcndigung legen, damit der Nachbar unsere Netzwerke nicht an seine Nachbarn weitergibt. Wenn wir eine P2P-Verbindung haben, tauschen wir nur unsere eigenen Netzwerke aus. Um zu verhindern, dass Routen versehentlich in andere Netzwerke gelangen, h\u00e4ngen wir eine Community-Anzeige an.<\/p>\n

Communities sind nicht transitiv<\/b>. Das ist immer ein Vertrag zwischen zwei Parteien, und das ist ihr Nachteil. Wir k\u00f6nnen keine Community aufh\u00e4ngen, mit der Ausnahme einer, die von allen standardm\u00e4\u00dfig akzeptiert wird. Wir k\u00f6nnen uns nicht sicher sein, dass diese Community von allen akzeptiert und richtig interpretiert wird. Daher wird es im besten Fall so sein, dass, wenn Sie sich mit Ihrem Uplink einigen, dieser versteht, was Sie \u00fcber die Community von ihm wollen. Aber sein Nachbar k\u00f6nnte es nicht verstehen, oder der Betreiber k\u00f6nnte einfach Ihr Tag l\u00f6schen, und Sie erreichen nicht das, was Sie wollten.<\/p>\n

RPKI + ROA l\u00f6st nur einen kleinen Teil der Probleme<\/b>. RPKI \u2014 das ist Resource Public Key Infrastructure\u00a0<\/b> \u2014 ein spezielles Framework zur Unterzeichnung von Routing-Informationen. Es ist eine gute Idee, LIRs und deren Kunden zu zwingen, eine aktuelle Datenbank des IP-Adressraums zu f\u00fchren. Aber es gibt ein Problem damit.<\/p>\n

RPKI ist auch ein hierarchisches System f\u00fcr \u00f6ffentliche Schl\u00fcssel. IANA hat einen Schl\u00fcssel, von dem die RIR-Schl\u00fcssel erstellt werden, und von diesen die LIR-Schl\u00fcssel? mit denen sie ihren Adressraum mit Hilfe von ROAs \u2013 Route Origin Authorisations \u2013 signieren:<\/p>\n

\u2014 Ich versichere, dass dieses Pr\u00e4fix im Namen dieses Autonomen Systems angek\u00fcndigt wird.<\/i><\/p>\n

Neben ROA gibt es auch andere Objekte, aber dazu sp\u00e4ter mehr. Es scheint, dass es eine gute und n\u00fctzliche Sache ist. Aber sie sch\u00fctzt uns nicht vor Lecks im Sinne von \u201e\u00fcberhaupt nicht\u201c und l\u00f6st nicht alle Probleme mit der Umleitung von Pr\u00e4fixen. Deshalb sind die Spieler nicht besonders begeistert, es einzuf\u00fchren. Obwohl bereits gro\u00dfe Anbieter wie AT&T und gro\u00dfe IX-Betreiber Zusicherungen gegeben haben, dass Pr\u00e4fixe mit einer ung\u00fcltigen ROA-Datenbank verworfen werden. <\/p>\n

Vielleicht werden sie das tun, aber zurzeit haben wir eine riesige Menge an Pr\u00e4fixen, die \u00fcberhaupt nicht signiert sind. Einerseits ist unklar, ob sie g\u00fcltig angek\u00fcndigt werden. Andererseits k\u00f6nnen wir sie nicht standardm\u00e4\u00dfig verwerfen, weil wir uns nicht sicher sind, ob das richtig ist oder nicht.<\/p>\n

Was gibt es sonst noch?<\/h3>\n

\nBGPSec<\/b>. Das ist eine coole Sache, die Akademiker f\u00fcr das Netzwerk der rosa Einh\u00f6rner erfunden haben. Sie sagten:<\/p>\n

\u2014 Wir haben RPKI + ROA \u2013 einen Mechanismus zur Best\u00e4tigung der Signatur des Adressraums. Lass uns ein separates BGP-Attribut einf\u00fchren und es BGPSec Path nennen. Jeder Router wird die Ank\u00fcndigungen, die er seinen Nachbarn meldet, mit seiner eigenen Signatur signieren. So erhalten wir einen vertrauensw\u00fcrdigen Pfad aus einer Kette von signierten Ank\u00fcndigungen und k\u00f6nnen ihn \u00fcberpr\u00fcfen.<\/i><\/p>\n

In der Theorie ist es gut, in der Praxis gibt es viele Probleme. BGPSec st\u00f6rt viele bestehende BGP-Mechanismen zur Auswahl des Next-Hop und zur Verwaltung des eingehenden\/ausgehenden Datenverkehrs direkt auf dem Router. BGPSec funktioniert nicht, solange es nicht von 95 % der Teilnehmer des gesamten Marktes implementiert wird, was an sich schon eine Utopie ist.<\/p>\n

BGPSec hat massive Probleme mit der Leistung. Auf aktueller Hardware liegt die Geschwindigkeit zur \u00dcberpr\u00fcfung von Ank\u00fcndigungen bei etwa 50 Pr\u00e4fixen pro Sekunde. Zum Vergleich: Die aktuelle Tabelle des Internets mit 700.000 Pr\u00e4fixen w\u00fcrde 5 Stunden ben\u00f6tigen, in denen sich noch 10 Mal etwas \u00e4ndern k\u00f6nnte.<\/p>\n

BGP Open Policy (Rollenspezifisches BGP)<\/b>. Ein frischer Vorschlag auf Basis des Modells Gao-Rekford.<\/b>Das sind zwei Wissenschaftler, die sich mit der Untersuchung von BGP besch\u00e4ftigen.<\/p>\n

Das Modell von Gao-Rekford besagt Folgendes. Um es vereinfacht auszudr\u00fccken, gibt es beim BGP eine kleine Anzahl von Interaktionstypen:<\/p>\n