18 minutters mareridt: Nettrafik fra Pentagon og NASA sendt til Kina

I 18 minutter (i april) var der noget måske suspekt med routing over kinerserne.

Alle de øvrige minutter var der i høj grad noget suspekt, da al 'vores' trafik blev routed gennem USoA.

Er der nogle, der kan give et bud på, hvor langt vi er fra et 100 % end-to-end krypteret internet?

Det virker ikke ansvarligt at vores data bliver sendt i clear-text gennem hvem-ved-hvilken dataloggende stat... inkl. USA og Danmark.

Du bestemmer jo selv, om du vil sende data i klar-tekst over nettet. SSH, SSL, DNSSEC, digital signatur osv. er allerede opfundet.

Internettets opbygning giver ikke mulighed for at styre, hvilken rute pakkerne skal tage over nettet. Det sørger routerne selv for via BGP. Som udgangpunkt må man derfor affinde sig med, at de pakker man sender afsted kan havne hvor som helst og læses af hvem som helst.

Jeg har svært ved at tro, at det amerikanske militær sender noget som helst fortroligt over nettet uden en kryptering, der kan modstå man-in-the-middle angreb. Forklar mig hvad problemet er, ud over Kineserne Kommer(TM).

Du bestemmer jo selv, om du vil sende data i klar-tekst over nettet. SSH, SSL, DNSSEC, digital signatur osv. er allerede opfundet.

Den eneste måde, du selv kan bestemme på, er ved at undgå services, som ikke krypterer. Ikke alt er krypteret, og det vil også være ret skidt for nettet, hvis det var, for så kan vi godt smide caching proxies og lignende væk.

Det er noget vroevl at bebrejde Kina noget for denne her haendelse. Jeg kan nemt forestille mig hvordan en stor ISP kan komme til at annoncere forkerte router ved en fejltagelse.

Istedet skulle man bebrejde den/de amerikanske ISP'er for at have daarlig sikkerhed i forbindelse med deres routing. Hvis en amerikansk ISP er dum nok til at sige: "Hovsa, nu er den optimale route til Senatet via Kina!" og sende deres traffik den vej er der jo noget helt galt. En ISP boer implementere tilstraekkelig med saakaldt "BGP route filtering" saa de ikke bare tror paa hvilke som helst "route announcements" de faar fra deres peering partnere. For store peering partnere er det meget svaert at administrativt lave en liste med hvilke router der er Ok og derfor undlader mange ISP'er simpelthen at goere noget effektivt ved dette problem. Derfor kan en fejl i Kina pludselig afbryde intern traffik i USA og andre lande.

Noget lignende skete i 2009 da Tyrkiet blokerede Youtube. Det blev gjort ved at implementere en "null route" for Youtube, hvilket vil sige at en eller anden router annoncerer en god route for Youtube for deraefter at smide data pakkerne i "skraldespanden" naar de modtages. Uheldigvis blev denne route ogsaa accepteret udenfor Tyrkiet hvorefter store dele af Internettet routede Youtube traffik til Tyrkiet.

Man burde goere noget ved dette problem. Det vil kraeve vilje (lovgiving?) og bedre vaerktoejer til at administrere router.

Venlig hilsen Steen Larsen

Den eneste måde, du selv kan bestemme på, er ved at undgå services, som ikke krypterer. Ikke alt er krypteret, og det vil også være ret skidt for nettet, hvis det var, for så kan vi godt smide caching proxies og lignende væk.

Caching proxies osv. virker jo kun under forudsætning af, at data ikke er fortrolige. Så snart du har et login på en hjemmeside, giver de fleste caching-mekanismer op.

Vi ved forhåbentlig alle, at det at taste passwords og andet fortroligt på en HTTP-side er så godt som at give oplysningerne til nogen, som måtte lytte med på trafikken. Vi ved forhåbentlig også, at vi kun skal sende fortrolige data pr. email, hvis emailen er krypteret.

Hvis du ikke vil have, at andre kommer i besiddelse af dine fortrolige oplysninger, så lad være med at sende dem klar-tekst over en ikke-krypteret protokol. Så enkelt er det. Det har ikke noget med kineserne at gøre.

Hele historien er vist lidt overdrevet. Man kunne jo starte med at læse rapporten.

For det første er der ikke tale om om trafik, men om hijacking af 'routes'. Routes kan lede til trafik, men de er ikke lig med hinanden og uden helt specielle omstændigheder, vil hijacking af routes ikke lede til funktionelle forbindelser, hvor trafikken kan overvåges og koder/password stjæles.

For der andet er der ikke tale om 15% af Internettets trafik ..... men snarere anslået et par gigabits .... altså kun et par promille ..... Internettes samlede trafik er nok (uden at have checket det) nogle hundrede eller flere tusinde terabits. Hvis Kina hijackede 15%, ville søkablerne fra US og Europa blive mættet mange mange mange gange.

For det tredje, kun de færreste ISP'er, og kun for de færreste IP-grupper, kan sige, at IP-gruppe X tilhørende netværk Y, som jeg normalt ser bag netværk Z bag netværk Q, ser jeg nu bag netværk P, det vil jeg ikke følge. Altså

Jeg så:

X tilhørende Y bag Z bag Q som er forbundet til mig.

Nu ser jeg:

X tilhørende Y bag P som er forbundet til mig.

Jo man kan sagtens lægge en masse regler ind, så den nye route ignoreres, men sådan er nettet altså ikke struktureret ..... og derfor virker det faktisk det meste af tiden. Hvis reglerne laves meget mere rigide end de bruges i dag, vil vi se mange flere netværk, der ikke kan nås i timevis om ikke dage eller ugevis.

Når det er sagt, vil visse amerikanske myndigheder nok nu stille krav til bestemte operatører om, at trafik til visse netværk ikke må sendes via visse netværk .... men det sker faktisk allerede.

Hvis trafikken skulle gå gennem Kina, og ikke bare ende i Kina (i et routing black hole), vil dette dels kræve en helt speciel opsætning (i Kina) og dels have efterladt sig spor så tydelige som en smoking gun. Noget andet er, hvis dette var planlagt og målet var mere indirekte (se hvem der sender til hvem) eller hele hændelsen var for at kunne sniffe en ganske lille del af trafikken, som så blev tilbagesendt via et specifikt setup, så afsenderen ville have en ongoing session uden at vide det ... ja så er det svært at efterforske. Men det er jo konspirationsteori .... som da 3 søkabler i mellemøsten gik ned nogenlunde samtidig ledende trafikken over et 4. kabel :)

Men skulle Kina gå efter ganske specifikke trafiksessioner over kommercielle ISP'er, så er det altså lettere at bestikke en teleteknikker.

Men alt det her minder mere om at teste fjendens beredskab ... som man nu gjorde med i den kolde krigs tid, at flyve helt op til fjendens område for at se, hvilke styrker, der blev scramblet og sendt i luften.

Men det er jo også bare spekulationer.

mvh. Peter Maersk-Moller