Leslie Nobile brachte ein Schloss für WHOIS mit. Wer hatte den Schlüssel?

Zusammenfassung

• Leslie Nobile, Leiterin der ARIN-Registrierungsdienste, schilderte am 23. Oktober 2003 in Chicago unbefugte Änderungen an WHOIS-Einträgen. Ein Angreifer konnte dadurch wie ein berechtigter Ansprechpartner für IP-Adressen oder autonome Systemnummern aussehen, besonders bei alten Blöcken mit verwaisten Kontakten.
• Von April bis Oktober eröffnete ARIN 110 gemeldete oder selbst entdeckte Fälle: 84 waren abgeschlossen, 15 noch in Untersuchung und bei 11 gab es keine Hinweise auf eine Entführung. Die Präsentation beschrieb mögliche spätere Routenankündigungen als Teil eines typischen Vorgehens, lieferte dafür aber keine Fallzahl.
• ARIN verfolgte und untersuchte Fälle und hatte einen Datenbankstatus zum Sperren von Einträgen entwickelt. Stärkere Identitätsnachweise, ein öffentliches Änderungsprotokoll und eine eigene Datenbank für historische Ressourcen standen als weitere Möglichkeiten zur Diskussion. Im Saal ging es sofort um Rechte, Gebühren und die Beweislast alter Inhaber.

Das Schloss war schon da

Im Oktober 2003 berichtete Leslie Nobile, dass ARIN einen neuen Status für Datenbankeinträge entwickelt hatte. Damit ließen sich umstrittene oder gefährdete Datensätze sperren. Der Punkt steht in ihrer Originalpräsentation bei ARIN XII unter den Maßnahmen, an denen die Organisation bereits arbeitete. Ein Schloss in einer Nummernregistratur klingt zunächst nach einer guten Nachricht. Interessant wird es bei der Frage, wer nach der Sperre wieder eine Änderung beantragen darf.

Nobile leitete ARINs Registration Services. Sie brachte dem Treffen am 23. Oktober in Chicago Berichte über die Entführung von IP-Adressraum mit. ARIN definierte das Problem präzise: Menschen zielten vor allem auf ältere Adressblöcke und veränderten WHOIS-Registrierungsdaten ohne Erlaubnis. Der öffentliche Datensatz zeigte anschließend Falsches und verlieh dem Täter den Anschein von Zuständigkeit. Betroffen sein konnten sowohl IP-Adressen als auch AS-Nummern.

Der Unterschied zwischen einem Registereintrag und der tatsächlichen Berechtigung ist im Betrieb leicht zu übersehen. Ein Netzbetreiber sucht einen Kontakt für eine Störung. Ein Registrar prüft, wer eine Änderung verlangen darf. Ein anderer Dienstleister will wissen, welcher Organisation ein Block zugeordnet ist. Steht der falsche Name im WHOIS, wird aus einer Täuschung in der Datenbank eine Auskunft, auf die weitere Menschen reagieren. Genau diesen Weg zeigte Nobile ihrem Publikum.

ARIN zählte die Kosten auf: fehlgeleitete Netzbetreiber, beschädigte WHOIS-Daten, Haftungsfragen, zusätzliche Arbeit, langsamere Antworten sowie Personal- und Anwaltskosten. Jede verdächtige Änderung zwang Mitarbeitende, eine Frage neu zu beantworten, die das Register eigentlich rasch klären sollte. Die Sperre konnte Zeit für diese Prüfung kaufen. Eine gute Sperrentscheidung brauchte wiederum einen Weg zur richtigen Person.

Ein Verdacht ist ein Fall, kein Urteil

Die Zahl auf Nobiles Folien war 110. Zwischen April und Oktober 2003 hatte ARIN so viele gemeldete oder selbst entdeckte Fälle eröffnet. Zum Zeitpunkt des Vortrags waren 84 abgeschlossen, 15 noch in Untersuchung und bei 11 fand sich kein Hinweis auf eine Entführung. Die drei Werte ergeben zusammen 110. Diese Einordnung verhindert, dass die Fallliste im Nachhinein zu einer Liste von 110 erwiesenen Angriffen wird.

Ein zweites Diagramm beschrieb einen typischen Weg. Ein alter Block ist möglicherweise nicht geroutet, seine Kontaktperson nicht mehr erreichbar. Der Angreifer recherchiert den dazugehörigen Domainnamen, registriert eine abgelaufene oder ähnliche Domain und ändert dann nach und nach Kontakt-, Organisations- und Netzwerkinformationen. Am Ende kann eine Ankündigung des Netzes stehen. Das Bild erklärt eine Methode. Die Statusliste sagt nichts darüber, welche der 110 Akten jeden dieser Schritte enthielt; eine Gesamtzahl erfolgreicher Routenankündigungen fehlt.

In einer getrennten Aufstellung standen 45 historische Class-C-, 48 Class-B- und ein Class-A-Eintrag sowie vier direkte Zuweisungen und eine Weiterzuweisung. Das sind Kategorien von Datensätzen, während die Tabelle mit 84, 15 und 11 die Bearbeitungsstände der Fälle angibt. Die alten Einträge dominierten den Bildausschnitt. Das Alter einer Zuweisung beweist jedoch weder, dass sie verwaist ist, noch, wer heute ihre Änderung rechtmäßig beantragen kann.

Viele solcher Blöcke waren vergeben worden, bevor es ARIN gab. Ein Inhaber konnte die Ressource weiterhin rechtmäßig nutzen und dennoch über eine alte Mailadresse oder eine längst umbenannte Organisation im WHOIS erscheinen. Der Angriff nutzte diese Lücke aus. Eine Domain, die abläuft, ist als Kontaktbeweis schwach. Eine Berechtigung, die Jahrzehnte zurückreicht, lässt sich mit dem heutigen Formular unter Umständen ebenfalls schwer belegen. Genau deshalb war die Frage nach dem Schlüssel für gesperrte Einträge so schwierig.

Aktuelle Arbeit und Vorschläge auf Papier

Nobile trennte im Vortrag die Liste gegenwärtiger Tätigkeiten von möglichen weiteren Schritten. ARIN sagte, es habe Muster unbefugter Änderungen erkannt, untersuche jeden gemeldeten oder entdeckten Fall, dokumentiere und verfolge die Akten, arbeite mit Strafverfolgungsbehörden sowie anderen Regionalregistern zusammen und passe Verfahren an. Der neue sperrende Datenbankstatus gehörte zu dieser Liste.

Die Organisation übergab allerdings nur ausgewählte Vorfälle an die Strafverfolgung und hielt Einzelheiten der Untersuchungen von einer allgemeinen Veröffentlichung zurück. Die Öffentlichkeit bekam Fallzahlen und ein Angriffsmodell. Über Verfahren ließ sich so sprechen, ohne die Namen und Unterlagen einzelner betroffener Inhaber auszubreiten.

Auf den Folien mit der Überschrift „Possible Actions“ folgten weitere Ideen: zusätzliche Nachweise wie Steuernummern oder besiegelte Gesellschaftsdokumente, rechtliche Maßnahmen, Änderungen am Registrierungsvertrag, ein öffentliches WHOIS-Änderungsprotokoll, bessere Validierungssoftware, regelmäßige Prüfung der Datensätze und strengere Authentifizierung. Ein „Registry of Legacy Resources“ wurde ebenfalls vorgeschlagen. Darin könnten ältere Einträge getrennt geführt und Änderungen etwa an Nameservern oder Kontakten unter eigenen Bedingungen geprüft werden.

Jede dieser Ideen hätte eine weitere Entscheidung erfordert; die Folien meldeten hier einen Beratungsstand.

Das Änderungsprotokoll hätte einem Netzbetreiber geholfen, einen neuen Kontakt in seiner zeitlichen Folge zu sehen. Die Sperre konnte riskante Updates anhalten. Strengere Nachweise sollten einen Täuscher herausfiltern. Aber ein Einzelinhaber besitzt womöglich keine Gesellschaftspapiere, und ein langjähriger Nutzer möchte nicht plötzlich einen Vertrag oder eine Gebühr akzeptieren. Sicherheitswerkzeuge werden an der Stelle politisch, an der sie bestimmen, welche echten Menschen mit ihrem eigenen Datensatz arbeiten können.

Der Einwand aus dem Publikum

Die Sitzungsniederschrift zeigt, wie schnell das Publikum diesen Konflikt erkannte. Ein Teilnehmer wies darauf hin, dass natürliche Personen einen alten Adressblock besitzen konnten. Eine Urkunde mit erhobenem Firmensiegel hätten sie nicht; eine persönliche Identifikationsnummer wollten sie vielleicht ebenso wenig an ARIN schicken. Wer einen betrügerischen Antrag mit einer Firmenregel abwehrt, muss für rechtmäßige Einzelinhaber eine andere Nachweismöglichkeit finden.

Andere sprachen über die Finanzierung der alten Einträge. Eine getrennte Datenbank könnte die Belastung der heute zahlenden Mitglieder ändern. Jemand wollte, dass ARIN zuerst mit den Altinhabern Kontakt aufnimmt und die Sicherheitsprobleme erklärt. Ein weiterer Teilnehmer forderte ein sichtbares WHOIS-Protokoll, damit ISPs die Verlässlichkeit eines aktuellen Eintrags besser abschätzen können. Ein Inhaber historischer Ressourcen hielt neuen Gebühren entgegen, dass er den entsprechenden Vertrag mit ARIN nie geschlossen habe. Das waren Einwände gegen konkrete Lasten, nicht gegen die Untersuchung des Missbrauchs.

Für Nobile hatte die Debatte eine Dienststellenadresse. ARIN beschrieb ihre Abteilung im Jahresbericht 2004 als zuständig für Nummernressourcen, Register- und Routingverzeichnisse, Reverse-DNS-Einträge und den Helpdesk. Der Bericht für 2003 verzeichnet ihren Vortrag über die Entführungen. Jede neue Nachweisregel würde an dem Schreibtisch greifen, an dem eine Änderung tatsächlich eingeht.

Der unmittelbare Rat an Betreiber war unspektakulär und genau deshalb wirksam: eigene und kundenseitige Organisations- und Ressourcenangaben aktuell halten; stärkere Authentifizierung nutzen, wenn sie verfügbar ist. Eine tote Kontaktadresse macht es schwerer, einen echten Inhaber rechtzeitig zu erreichen. Sie kann zugleich einem Fremden den ersten glaubhaften Auftritt verschaffen.

Nobiles 110 eröffnete Fälle zeigten, wie groß die Aufgabe in nur sieben Monaten geworden war. Elf davon boten keinen Hinweis auf eine Entführung. Diese Sorgfalt bei der Einordnung passt zum Thema: Ein Register gewinnt Vertrauen, indem es jeden Eintrag nach seiner wirklichen Evidenz behandelt. Die Debatte über Schloss, Historie und gesonderte Altbestände zeigte, wie viele weitere Entscheidungen zwischen einem verdächtigen Update und einem verlässlich korrigierten Datensatz liegen.