{"id":35550,"date":"2019-10-31T22:04:58","date_gmt":"2019-10-31T19:04:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/pochemu-internet-do-sih-por-onlajn\/"},"modified":"2019-10-31T22:04:58","modified_gmt":"2019-10-31T19:04:58","slug":"pochemu-internet-do-sih-por-onlajn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/pochemu-internet-do-sih-por-onlajn","title":{"rendered":"Warum ist das Internet noch online?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Das Internet scheint eine starke, unabh\u00e4ngige und unzerst\u00f6rbare Struktur zu sein. Theoretisch w\u00e4re die Robustheit des Netzwerks ausreichend, um eine nukleare Explosion zu \u00fcberstehen. In der Realit\u00e4t kann das Internet jedoch durch einen kleinen Router lahmgelegt werden. Das liegt daran, dass das Internet ein Geflecht aus Widerspr\u00fcchen, Schwachstellen, Fehlern und Katzenvideos ist. Der Kern des Internets, das BGP-Protokoll, birgt zahlreiche Probleme. Es ist erstaunlich, dass es \u00fcberhaupt noch funktioniert. Neben den Fehlern im Internet selbst wird es auch von allen m\u00f6glichen Leuten angegriffen: gro\u00dfe Internetanbieter, Unternehmen, Staaten und DDoS-Attacken. Was kann man dagegen tun und wie kann man damit leben?<\/p>\n

\"Warum
\n
\nDie Antwort kennt Alexey Uchakov<\/b> (Night_Snake<\/a><\/noindex>) \u2013 der Leiter des Netzengineering-Teams bei IQ Option. Seine Hauptaufgabe ist die Sicherstellung der Verf\u00fcgbarkeit der Plattform f\u00fcr die Nutzer. In der Aufzeichnung von Alexeys Vortrag auf\u00a0Saint HighLoad++ 2019<\/a><\/noindex> reden wir \u00fcber BGP, DDoS-Attacken, den Schalter f\u00fcrs Internet, Providerfehler, Dezentralisierung und F\u00e4lle, in denen ein kleiner Router das Internet in die Knie gezwungen hat. Am Ende gibt es einige Tipps, wie man all dies \u00fcberstehen kann.
\n<\/a><\/noindex>
\n

\r\n \"Video\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Der Tag, an dem das Internet kaputtging<\/h2>\n

\nIch werde nur einige Vorf\u00e4lle anf\u00fchren, bei denen die Konnektivit\u00e4t im Internet gest\u00f6rt war. Das wird ausreichen, um ein umfassendes Bild zu vermitteln.<\/p>\n

\u00abVorfall mit AS7007\u00bb<\/b>. Das erste Mal brach das Internet im April 1997 zusammen. In der Software eines Routers des autonomen Systems 7007 war ein Fehler. Irgendwann k\u00fcndigte der Router seine interne Routingtabelle den Nachbarn an und schickte die H\u00e4lfte des Netzwerks in ein Blackhole.<\/p>\n

\u00abPakistan gegen YouTube\u00bb<\/b>. Im Jahr 2008 beschlossen die tapferen Jungs aus Pakistan, YouTube zu blockieren. Sie haben das so gut gemacht, dass die halbe Welt ohne Katzenvideos dasteht.<\/p>\n

\u00abDie \u00dcbernahme der Pr\u00e4fixe von VISA, MasterCard und Symantec durch Rostelekom\u00bb<\/b>. Im Jahr 2017 begann Rostelekom versehentlich, die Pr\u00e4fixe von VISA, MasterCard und Symantec anzuk\u00fcndigen. Infolgedessen wurde der Finanzverkehr \u00fcber Kan\u00e4le geleitet, die der Provider kontrollierte. Die Leckage dauerte nicht lange, aber f\u00fcr die Finanzunternehmen war es unangenehm.<\/p>\n

\u00abGoogle gegen Japan\u00bb<\/b>. Im August 2017 begann Google in Teilen seiner Upstream-Verbindungen, die Pr\u00e4fixe der gro\u00dfen japanischen Anbieter NTT und KDDI anzuk\u00fcndigen. Der Verkehr wurde \u00fcber Google als Transitverkehr leitet, vermutlich aus Versehen. Da Google kein Provider ist und Transitverkehr nicht weiterleitet, blieb ein erheblicher Teil Japans ohne Internet.<\/p>\n

\u00abDV LINK \u00fcbernahm die Pr\u00e4fixe von Google, Apple, Facebook, Microsoft\u00bb<\/b>. Im Jahr 2017 begann der russische Provider DV LINK seltsamerweise, Netzwerke von Google, Apple, Facebook, Microsoft und einigen anderen gro\u00dfen Akteuren anzuk\u00fcndigen.<\/p>\n

\u201eeNet aus den USA \u00fcbernahm die Pr\u00e4fixe von AWS Route53 und MyEtherwallet\u201c<\/b>. Im Jahr 2018 k\u00fcndigte ein Provider aus Ohio oder dessen Kunde die Netzwerke von Amazon Route53 und dem Krypto-Wallet MyEtherwallet an. Der Angriff war erfolgreich: Trotz des selbstsignierten Zertifikats, das beim Besuch der MyEtherwallet-Seite eine Warnung anzeigte, wurden viele Wallets kompromittiert und ein Teil der Kryptow\u00e4hrung gestohlen.<\/p>\n

Allein im Jahr 2017 gab es \u00fcber 14.000 solcher Vorf\u00e4lle! Das Netzwerk ist immer noch dezentralisiert, weshalb nicht alles und nicht jeder betroffen ist. Aber die Vorf\u00e4lle h\u00e4ufen sich in Tausenden, und sie alle stehen im Zusammenhang mit dem BGP-Protokoll, auf dem das Internet basiert.<\/p>\n

BGP und seine Probleme<\/h2>\n

\nProtokoll BGP \u2013 Border Gateway Protocol<\/b>, wurde erstmals 1989 von zwei Ingenieuren von IBM und Cisco Systems auf drei \u201eServietten\u201c \u2013 Blatt Papier im A4-Format \u2013 beschrieben. Diese \u201eServietten\u201c<\/a><\/noindex> liegen bis heute als Relikt der Netzwerkwelt im Hauptsitz von Cisco Systems in San Francisco.<\/p>\n

Im Kern des Protokolls steht die Interaktion autonomer Systeme<\/b>\u00a0\u2014 Autonome Systeme, kurz AS. Ein autonomes System ist einfach eine bestimmte ID, die in einem \u00f6ffentlichen Register f\u00fcr IP-Netze verankert ist. Ein Router mit dieser ID kann diese Netze der Welt bekanntgeben. Entsprechend l\u00e4sst sich jeder Internetweg als ein Vektor darstellen, der als AS-Pfad<\/b>. Der Vektor besteht aus den Nummern der autonomen Systeme, die durchlaufen werden m\u00fcssen, um das Zielnetz zu erreichen.<\/p>\n

Zum Beispiel gibt es ein Netz aus mehreren autonomen Systemen. Man m\u00f6chte von dem System AS65001 zu dem System AS65003 gelangen. Der Weg von einem System wird auf dem Diagramm als AS-Pfad dargestellt. Dieser besteht aus zwei autonomen Systemen: 65002 und 65003. F\u00fcr jede Zieladresse gibt es einen AS-Pfad-Vektor, der aus den Nummern der autonomen Systeme besteht, die wir durchlaufen m\u00fcssen.<\/p>\n

\"Warum
\n
\nWas sind also die Probleme von BGP?<\/p>\n

BGP ist ein Vertrauensprotokoll.<\/h3>\n

\nDer BGP-Protokoll ist trust-based. Das bedeutet, dass wir standardm\u00e4\u00dfig unserem Nachbarn vertrauen. Diese Eigenschaft gilt f\u00fcr viele Protokolle, die in den Anfangstagen des Internets entwickelt wurden. Lassen Sie uns kl\u00e4ren, was \"vertrauen\" bedeutet.<\/p>\n

Es gibt keine Authentifizierung des Nachbarn<\/b>. Formal gibt es MD5, aber MD5 im Jahr 2019 \u2014 naja...<\/p>\n

Es gibt keine Filterung<\/b>BGP hat Filter, die zwar beschrieben sind, jedoch entweder nicht verwendet oder falsch genutzt werden. Ich werde sp\u00e4ter erkl\u00e4ren, warum.<\/p>\n

Es ist sehr einfach, Nachbarschaften einzurichten.<\/b>Die Konfiguration einer Nachbarschaft im BGP-Protokoll erfolgt fast auf jedem Router mit ein paar Zeilen an Einstellungen.<\/p>\n

Es sind keine speziellen Berechtigungen f\u00fcr die Verwaltung von BGP erforderlich.<\/b>Es ist keine Pr\u00fcfung erforderlich, um Ihre Qualifikation nachzuweisen. Niemand wird Ihnen die Berechtigung f\u00fcr die Konfiguration von BGP entziehen, selbst wenn Sie es im angetrunkenen Zustand tun.<\/p>\n

Zwei Hauptprobleme.<\/h3>\n

\nPrefix-Hijacking.<\/b>Beim Hijacking wird ein Netzwerk angek\u00fcndigt, das Ihnen nicht geh\u00f6rt, wie im Fall von MyEtherwallet. Wir haben einige Prefixe \u00fcbernommen, uns mit dem Anbieter geeinigt oder ihn gehackt, und k\u00fcndigen \u00fcber ihn diese Netzwerke an.<\/p>\n

Route-Leaks.<\/b>Mit Leaks ist es etwas komplizierter. Ein Leak bedeutet eine \u00c4nderung des AS-Pfades.<\/b>Im besten Fall f\u00fchrt die \u00c4nderung zu einer h\u00f6heren Latenz, da ein l\u00e4ngerer oder weniger leistungsstarker Link genutzt werden muss. Im schlimmsten Fall wiederholt sich der Fall von Google und Japan.<\/p>\n

Google ist weder Betreiber noch ein transitives autonomes System. Als er jedoch seinem Netzwerkprovider von den japanischen Betreibern informierte, wurde der Verkehr \u00fcber Google im AS-Path als priorisierter angesehen. Der Verkehr wurde dorthin geleitet und fiel einfach aus, weil die Routing-Einstellungen innerhalb von Google komplexer sind als nur Filter an der Grenze.<\/p>\n

Warum funktionieren die Filter nicht?<\/h3>\n

\nEs interessiert niemanden.<\/b>. Das ist der Hauptgrund \u2013 es ist allen egal. Ein Administrator eines kleinen Providers oder eines Unternehmens, das \u00fcber BGP mit einem Provider verbunden ist, hat vielleicht MikroTik verwendet, um BGP einzurichten, und wei\u00df nicht einmal, dass man dort Filter konfigurieren kann.<\/p>\n

Konfigurationsfehler<\/b>. Irgendetwas wurde debuggt, ein Fehler in der Maske, das falsche Netz wurde eingerichtet \u2013 und da ist sie wieder, die Fehlermeldung.<\/p>\n

Es gibt keine technischen M\u00f6glichkeiten<\/b>. Zum Beispiel haben Kommunikationsprovider viele Kunden. Intelligenterweise sollten die Filter f\u00fcr jeden Kunden automatisch aktualisiert werden \u2013 man muss darauf achten, dass er ein neues Netz hat, dass er sein Netz jemandem vermietet hat. Daran zu arbeiten ist kompliziert, und von Hand ist es noch schwieriger. Deshalb werden einfach entspannte Filter eingesetzt oder es werden gar keine Filter eingerichtet.<\/p>\n

Ausnahmen<\/b>. Es gibt Ausnahmen f\u00fcr bevorzugte und gro\u00dfe Kunden. Besonders im Falle von Interoperabilit\u00e4tsverbindungen. Zum Beispiel haben TransTeleCom und Rostelecom eine Vielzahl von Netzen und zwischen ihnen eine Verbindung. Wenn die Verbindung ausf\u00e4llt, wird es f\u00fcr niemanden gut sein, daher werden die Filter gelockert oder ganz entfernt.<\/p>\n

Veraltete oder nicht aktuelle Informationen im IRR<\/b>. Die Filter basieren auf Informationen, die im\u00a0IRR \u2013 Internet Routing Registry<\/b>. Das sind Register der regionalen Internet-Registratoren. Oft sind in den Registern veraltete oder nicht aktuelle Informationen enthalten, oder alles zusammen.<\/p>\n

Wer sind diese Registratoren?<\/h3>\n

\"Warum
\n
\nAlle Adressen im Internet geh\u00f6ren der Organisation IANA \u2013 Internet Assigned Numbers Authority<\/b>. Wenn Sie von jemandem ein IP-Netz kaufen, erwerben Sie nicht die Adressen, sondern das Recht zu deren Nutzung. Adressen sind eine immaterielle Ressource, und laut allgemeiner Vereinbarung geh\u00f6ren sie alle der IANA-Agentur.<\/p>\n

Das System funktioniert so. IANA delegiert die Verwaltung der IP-Adressen und autonomen Systemnummern an f\u00fcnf regionale Registratoren. Diese vergeben autonome Systeme LIR \u2013 lokalen Internet-Registratoren<\/b>. Die LIR weisen dann IP-Adressen an Endbenutzer zu.<\/p>\n

Das Problem des Systems ist, dass jeder regionale Registrar seine eigenen Verzeichnisse auf eigene Art und Weise f\u00fchrt. Jeder hat seine eigene Meinung dar\u00fcber, welche Informationen in den Verzeichnissen enthalten sein sollten und wer sie \u00fcberpr\u00fcfen darf oder nicht. Das Resultat ist das Chaos, das wir derzeit haben.<\/p>\n

Wie kann man noch gegen diese Probleme angehen?<\/h3>\n

\nIRR - m\u00e4\u00dfige Qualit\u00e4t<\/b>. Bei IRR ist es klar - dort l\u00e4uft alles schlecht.<\/p>\n

BGP-Communities<\/b>. Das ist ein gewisses Attribut, das im Protokoll beschrieben ist. Wir k\u00f6nnen beispielsweise eine spezielle Community an unsere Ank\u00fcndigung anh\u00e4ngen, damit Nachbarn unsere Netze nicht an ihre Nachbarn weitergeben. Wenn wir eine P2P-Verbindung haben, tauschen wir nur unsere eigenen Netze aus. Um zu verhindern, dass die Route versehentlich in andere Netze geht, h\u00e4ngen wir eine Community an.<\/p>\n

Communities sind nicht transitiv<\/b>. Es ist immer ein Vertrag zwischen zwei Parteien, und das ist ihr Mangel. Wir k\u00f6nnen keine Community aufdr\u00e4ngen, au\u00dfer einer, die standardm\u00e4\u00dfig von allen akzeptiert wird. Wir k\u00f6nnen uns nicht sicher sein, dass diese Community alle akzeptiert und richtig interpretiert. Daher, im besten Fall, wenn Sie sich mit Ihrem Uplink einigen, versteht er, was Sie von ihm in Bezug auf die Community m\u00f6chten. Aber vielleicht versteht sein Nachbar es nicht, oder der Betreiber wird einfach Ihr Tag entfernt, und Sie erreichen nicht, was Sie wollten.<\/p>\n

RPKI + ROA l\u00f6st nur einen kleinen Teil der Probleme<\/b>. RPKI ist Resource Public Key Infrastructure\u00a0<\/b> \u2014 ein spezielles Framework zur Signierung von Routing-Informationen. Eine gute Idee, um LIRs und deren Kunden zu zwingen, eine aktuelle Datenbank des Adressraums zu f\u00fchren. Aber es gibt ein Problem damit.<\/p>\n

RPKI ist auch ein hierarchisches System \u00f6ffentlicher Schl\u00fcssel. IANA hat einen Schl\u00fcssel, von dem die RIR-Schl\u00fcssel abgeleitet werden, und von diesen die LIR-Schl\u00fcssel, mit denen sie ihren Adressraum mithilfe von ROAs - Route Origin Authorisations - signieren:<\/p>\n

\u2014 Ich garantiere, dass dieses Pr\u00e4fix im Namen dieser autonomen Systeme angek\u00fcndigt wird.<\/i><\/p>\n

Neben ROA gibt es auch andere Objekte, aber dar\u00fcber sp\u00e4ter. Es scheint, dass es sich um eine gute und n\u00fctzliche Sache handelt. Aber sie sch\u00fctzt uns \u00fcberhaupt nicht vor Lecks und l\u00f6st nicht alle Probleme mit Prefix-\u00dcbernahmen. Deshalb sind die Akteure nicht wirklich eilig, sie zu implementieren. Obwohl gro\u00dfe Spieler wie AT&T und gro\u00dfe IXs bereits zugesichert haben, dass Prefixe mit ung\u00fcltigem ROA-Eintrag verworfen werden. <\/p>\n

M\u00f6glicherweise werden sie das tun, aber im Moment haben wir eine enorme Anzahl an Prefixen, die \u00fcberhaupt nicht signiert sind. Einerseits ist unklar, ob sie g\u00fcltig angek\u00fcndigt werden. Andererseits k\u00f6nnen wir sie standardm\u00e4\u00dfig nicht verwerfen, weil wir uns nicht sicher sind, ob das richtig ist oder nicht.<\/p>\n

Was gibt es noch?<\/h3>\n

\nBGPSec<\/b>. Das ist eine coole Sache, die Akademiker f\u00fcr das Netzwerk der rosa Ponys erfunden haben. Sie sagten:<\/p>\n

\u2014 Wir haben RPKI + ROA \u2013 einen Mechanismus zur Best\u00e4tigung der Signatur des Adressraums. Lassen Sie uns einen separaten BGP-Attribut einf\u00fchren und es BGPSec Path nennen. Jeder Router wird seine eigenen Ank\u00fcndigungen mit seiner Signatur signieren, die er seinen Nachbarn ank\u00fcndigt. So erhalten wir einen vertrauensw\u00fcrdigen Pfad aus einer Kette von signierten Ank\u00fcndigungen und k\u00f6nnen ihn \u00fcberpr\u00fcfen.<\/i><\/p>\n

In der Theorie klingt es gut, aber in der Praxis gibt es viele Probleme. BGPSec bricht viele bestehende BGP-Mechanismen zur Auswahl des Next-Hops und zur Verwaltung des eingehenden\/ausgehenden Datenverkehrs direkt auf dem Router. BGPSec funktioniert nicht, solange es nicht von 95 % der Marktteilnehmer implementiert wird, was an sich schon utopisch ist.<\/p>\n

BGPSec hat massive Leistungsprobleme. Auf der aktuellen Hardware betr\u00e4gt die \u00dcberpr\u00fcfungsgeschwindigkeit von Ank\u00fcndigungen etwa 50 Pr\u00e4fixe pro Sekunde. Zum Vergleich: Die aktuelle Internet-Tabelle mit 700.000 Pr\u00e4fixen w\u00fcrde 5 Stunden dauern, in denen sich in der Zwischenzeit 10 weitere \u00e4ndern k\u00f6nnten.<\/p>\n

BGP Open Policy (rollenbasierter BGP)<\/b>. Ein neues Angebot basierend auf dem Modell Gao-Rexford<\/b>. Dies sind zwei Wissenschaftler, die BGP-Forschung betreiben.<\/p>\n

Das Gao-Rexford-Modell funktioniert folgenderma\u00dfen. Vereinfacht gesagt, bei BGP gibt es eine kleine Anzahl von Interaktionstypen:<\/p>\n