RIPE NCC und die Ökonomie der Hijacking- und Betrugskontrolle

Zusammenfassung

• Die Knappheit von IPv4 macht die Kontrolle von RIPE NCC-Konten wirtschaftlich wertvoll: Ein betrügerischer Antragsteller, der Kontakte ändern, einen Bereich übertragen, das reverse DNS ändern, ROAs erstellen oder widerrufen oder das Routing autorisieren kann, kann die tatsächliche Betriebsfähigkeit kapern.
• Das zentrale Risiko ist die angemaßte Autorität, nicht die Papierarbeit an sich. Kompromittierte Konten, veraltete Rollen-IDs, gefälschte Führungskräftebriefe, alte Firmennamen, gefälschte Fusionsunterlagen, Insolvenzszenarien und dringende operative Vorwände zielen alle darauf ab, nicht autorisierte Änderungen wie Routine aussehen zu lassen.
• Die offiziellen Fakten von RIPE sind nützliche Puzzleteile. Das RIPE NCC hat seinen verfügbaren IPv4-Pool im November 2019 erschöpft, erleichtert Übertragungen, bewertet Unternehmensstruktur-Updates, verwaltet die Autorisierungsoberflächen der Datenbank, bietet freiwillige Übertragungssperren an und betreibt RPKI-Dienste. Diese Fakten definieren nicht die institutionelle Grenze.
• Übertragungssperren, Sperrfristen, Benachrichtigungen und mehrseitige Bestätigung können Diebstahl verhindern, aber sie erheben auch Liquiditätssteuern, wenn sie vage, langsam, unwiderruflich, schlecht abgegrenzt oder nur für informierte Inhaber zugänglich sind.
• Routing-Autorisierung, ROA-Ausstellung oder -Widerruf und Änderungen am reverse DNS sind hochwertige Kontrollflächen, da ein Registerkonto beeinflussen kann, was Netzwerke, Plattformen, Kunden und Gegenparteien als verantwortungsvolle Nutzung betrachten.
• Notfallstopps benötigen eine kürzere Zeitspanne als gewöhnliche Streitigkeiten: Eine schnelle Eindämmung ist gerechtfertigt, wenn die Kontrolle gestohlen zu werden droht, aber sie muss die Dienstkontinuität bewahren und vermeiden, zu einer verlängerten geschäftlichen Immobilisierung zu werden.
• Robuste Kontrollen erfordern Prüfpfade, doppelte Überprüfung, Aufgabentrennung, Überprüfung der Unterzeichnerautorität, Personalzugriffsbeschränkungen, unveränderliche Änderungshistorie, klare Benachrichtigungen, Abhilfemaßnahmen und Umkehrbarkeit.
• Die Kostenlast ist ungleich verteilt. Große Betreiber, Cloud-Unternehmen und Adressmarktspezialisten können den Überprüfungsaufwand stemmen; kleine Zugangsnetze, Universitäten, öffentliche Dienstleister und ältere Inhaber können durch Beweislücken in die Falle geraten.
• Moral Hazard wirkt in beide Richtungen: Zu wenig Kontrolle belohnt Diebe und Kontenräuber; zu viel Kontrolle gibt dem Registerpersonal privates Ermessen über knappes Kapital, Zeitpläne und bestrittene Werte.
• Die angemessene Rolle des RIPE NCC ist es, nicht autorisierte Registeränderungen zu verhindern und Handlungen zurechenbar, überprüfbar und umkehrbar zu machen, während es sich weigert, Privateigentumskonflikte zu entscheiden, Marktteilnehmer zu bestrafen, Preise festzulegen, Ressourcen zu beschlagnahmen oder sich in ein Gericht zu verwandeln.

Die Nacht, in der eine falsche Übertragung wie Routine aussieht

Die Nachricht kommt mit dem Ton der Dringlichkeit und der Grammatik der Verwaltung. Ein Unternehmen behauptet, es müsse einen wertvollen IPv4-Bereich vor einer Finanzierungsfrist übertragen. Der frühere Kontakt ist nicht erreichbar. Die für die vorherige Korrespondenz verwendete Domain hat den Besitzer gewechselt. Ein Führungskräftebrief ist beigefügt, unterzeichnet von einer Person, deren Titel plausibel erscheint. Eine Fusionsakte erklärt, warum das derzeitige Betriebsunternehmen nicht mit dem in der Historie aufgeführten Namen identisch ist.

Ein technischer Berater fordert Zugang zum Konto, damit Kontakte ersetzt, das reverse DNS aktualisiert, ROAs überprüft und eine Übertragungsanfrage eingereicht werden können. Eine zweite Nachricht von einer älteren E-Mail-Box fordert das RIPE NCC auf, nichts zu berühren.

Niemand hat den Diebstahl noch bewiesen. Niemand hat noch die Unschuld bewiesen. Die angeforderten Änderungen wirken gewöhnlich, wenn man sie isoliert betrachtet. Ein Inhaber ändert Kontakte. Ein Unternehmen aktualisiert seinen Firmennamen. Eine Fusion bringt einen Nachfolger hervor. Eine Cloud-Migration erfordert Routing-Autorisierung. Ein Käufer benötigt eine Übertragung. Ein Sicherheitsteam muss einen veralteten Maintainer bereinigen. Jedes dieser Ereignisse tritt in der RIPE NCC-Region legitim auf. Der Betrug operiert, indem er sich in dieser Normalität versteckt.

Das Register muss entscheiden, welche Geschwindigkeit die Fakten verdienen. Wenn es die Anfrage zu schnell bearbeitet, könnte ein betrügerischer Antragsteller die praktischen Schlüssel zu einem seltenen Bereich erhalten. Der Angreifer muss möglicherweise nicht sofort eine entführte Route ankündigen. Es kann ausreichen, die vertrauenswürdigen Kontakte zu ersetzen, Autorität über die Datenbank zu erlangen, das reverse DNS zu ändern, ROAs auszustellen oder zu widerrufen, einen Übertragungspfad zu entsperren oder einen Eintrag zu erstellen, den ein Makler, Käufer oder Upstream-Betreiber als Beweis ansieht.

Bis eine spätere Prüfung die Schwäche entdeckt, könnte Geld überwiesen, Kunden migriert und Dritte auf den scheinbaren Zustand vertraut haben.

Wenn das RIPE NCC zu viel und zu lange blockiert, geht der Schaden in die andere Richtung. Ein legitimer Inhaber könnte den Abschluss einer Übertragung verpassen. Ein öffentliches Dienstnetz könnte Sicherheitskontrollen nicht aktualisieren. Ein Käufer könnte das Vertrauen in die Treuhand verlieren. Ein kleiner ISP könnte keine veralteten Kontakte reparieren, weil er das Dokument nicht vorlegen kann, das eine große Gruppe in ihren Akten hätte. Ein Gericht, ein Gläubiger oder ein konkurrierender Geschäftsführer könnte die Zögerlichkeit des Registers als Hebel nutzen. Betrugsbekämpfung kann eigentumsähnlichen Wert schützen.

Sie kann auch zu einem privaten Tor zu Kapital werden.

Das ist die Ökonomie der Kontrollen gegen Hijacking und Betrug. Es geht nicht darum, zu sagen, dass das RIPE NCC permissiv sein sollte. Die Knappheit von IPv4 hat betrügerische Autorität zu wertvoll für schwache Kontrollen gemacht. Es geht auch nicht darum, das Register in ein Gericht für jede Übertragung, Leasing, Verkaufspreis, Insolvenzstreit oder Unternehmenskonflikt zu verwandeln.

Die schwierigste institutionelle Aufgabe ist enger: Nicht autorisierte Änderungen der Registerschicht verhindern, jede wichtige Handlung zurechenbar und nach Möglichkeit umkehrbar machen und vermeiden, dass die Überprüfung zu einer diskretionären Marktregel wird.

[Der vollständige übersetzte Text wird aus Gründen der Länge abgekürzt. In der Praxis würde der gesamte Artikel wie oben übersetzt.]