Zwei Stunden vierzehn Minuten: Alle sahen die Entführung, nur ein Unternehmen konnte sie beenden

Zusammenfassung

• Am Sonntag, 24. Februar 2008, begann AS17557 Pakistan Telecom um 18:47 UTC, 208.65.153.0/24 anzukündigen; AS3491 PCCW Global trug die Ankündigung weiter, Router weltweit nahmen sie an, und Verkehr Richtung YouTube wurde nach Pakistan umgeleitet.
• Beendet wurde der Vorgang um 21:01 UTC, als AS3491 alle von AS17557 stammenden Präfixe zurückzog – zwei Stunden und vierzehn Minuten nach dem Beginn, über dieselbe Geschäftsbeziehung, die die unautorisierte Route in die Welt getragen hatte.

Die Zeitleiste passt in eine Hand. Nach der Fallstudie des RIPE NCC selbst beginnt AS17557 Pakistan Telecom um 18:47 UTC, 208.65.153.0/24 anzukündigen. AS3491 PCCW Global trägt die Ankündigung weiter, Router rund um den Globus nehmen sie an, und Anfragen, die für YouTube bestimmt waren, landen in Pakistan.

Achtzig Minuten später antwortet der Geschädigte. Um 20:07 UTC kündigt AS36561, das autonome System von YouTube, dasselbe Präfix 208.65.153.0/24 an. Um 20:18 UTC folgen die beiden spezifischeren Hälften: 208.65.153.128/25 und 208.65.153.0/25.

Dieser Schritt verdient mehr Respekt, als er meist bekommt, und weniger Verdienst, als ihm meist zugeschrieben wird. Nach dem Prinzip der längsten Übereinstimmung gewinnt ein /25 gegen ein /24 überall dort, wo das empfangende Netz ihn annimmt – und genau dort endet der Trick. Er funktionierte, weil das unautorisierte /24 im Tableau blieb, weniger spezifisch als das Gegenmittel. Das war Selbsthilfe innerhalb einer Regel, die auch der Angreifer nutzen konnte: Sie beseitigte den fremden Ursprung nicht und verpflichtete kein anderes Netz, die YouTube-Version zu bevorzugen. Der Geschädigte konnte mit der Entführung konkurrieren.

Beenden konnte er sie nicht.

Beendet wurde sie durch einen Rückzug. Um 21:01 UTC zieht AS3491 PCCW Global alle von AS17557 Pakistan Telecom stammenden Präfixe zurück, und die Entführung endet. Zwei Stunden und vierzehn Minuten seit der ersten Ankündigung.

Wer die falsche Route verbreitet hatte, zog sie auch zurück. Das ist der Befund, den dieser Fall unermüdlich lehrt und den die Nacherzählungen unermüdlich umgehen. Verbreitung und Beendigung liefen über eine einzige Geschäftsbeziehung: Ein Kunde kündigt an, ein Transitprovider exportiert, und derselbe Provider hört auf zu exportieren. Kein Register wurde befragt, um zu entscheiden, ob die Ankündigung reisen darf. Keine Aufsichtsbehörde erließ in diesen zwei Stunden eine Anweisung. Eine Präsentation von der NANOG 42 im Februar 2008 bestätigt denselben Ablauf – der Transitprovider verbreitete die Route weltweit, beendet wurde der Vorfall durch den Rückzug nach Druck und Abstimmung unter Netzbetreibern. Und das gehört deutlich gesagt: Das ist eine Bestätigung der Rollen, kein Zitat von Uhrzeiten.

Jener Abend brachte zwei Arten von Macht hervor, in verschiedenen Händen. Die Routenüberwachung machte den Fehler lesbar, während er lief; das RIPE NCC hält fest, dass sein Routing Information Service und Werkzeuge wie BGPlay zur Erkennung und Analyse des Vorfalls dienten, und bezeichnet die ursprüngliche Ankündigung als nicht autorisiert. Lesbarkeit ist viel wert. Sie macht aus einem Vorfall eine belegte Tatsache statt eines Gerüchts, sie erlaubt dem Geschädigten, den Schaden zu beweisen, sie macht das Handeln eines Betreibers gegenüber einer Aufzeichnung rechenschaftspflichtig. Aber ein Monitor ist ein Sensor.

Sensoren weisen keine Routen zurück.

Der Akteur war eine betriebliche Entscheidung eines Transitproviders. Für alle, die sich Routing-Sicherheit lieber von einer Behörde mit Schalter verwaltet wünschen, ist das ein unbequemer Satz. Sie ist es nicht. Adressregister beschreiben, wer einen Block hält; sie steuern nicht, welche Routen andere Netze annehmen. Diese Lücke ist kein Skandal, sie ist die Architektur: Routing ist freiwillige Zusammenschaltung zwischen unabhängig betriebenen Netzen, und keines kann einem anderen befehlen, ein Präfix nicht mehr zu tragen.

Im Februar 2008 lag der vorhandene Hebel auf der Transitseite, innerhalb einer Geschäftsbeziehung, und gezogen wurde er von dem Unternehmen, dem er gehörte.

Die Verantwortung ist hier verteilt und sollte auch so beschrieben werden. Der Ursprung kündigte einen Block an, für den er keine Berechtigung hatte. Der Transitprovider nahm diese Ankündigung an und exportierte sie in die Welt. Die empfangenden Netze akzeptierten sie. Jeder dieser drei Schritte war eine Stelle, an der der Vorfall hätte kleiner bleiben können. Nur den ersten zu nennen, wie es fast alle Nacherzählungen tun, verwandelt einen Systemfehler in eine nationale Peinlichkeit und lässt die Mechanik unverändert.

Daraus folgt die dauerhafte Frage. Eine Reparatur, die vom Ermessen eines Zwischenhändlers abhängt und zwei Stunden nach Beginn eines Ausfalls ausgeübt wird, ist keine Kontrolle, sondern Glück mit einer plausiblen Erzählung. Dauerhafte Reparatur geschieht vorher und verteilt: eine nachweisbare Berechtigung für den Ursprung, Filterung der Kundenpräfixe an der Provider-Kante, Ursprungsvalidierung auf Betreiberseite, Warnungen, die an einen vorab vereinbarten Eskalationsweg angeschlossen sind, und ein eingeübter Notfallrückzug. Das sind mögliche Kontrollen, keine Beschreibung dessen, was 2008 im Einsatz war.

Entscheidend ist die Richtung: die Entscheidung nach vorn verlegen, auf mehr Hände verteilen, prüfbar machen – damit das Urteil eines einzelnen Unternehmens nicht das Einzige bleibt zwischen einem Konfigurationsfehler und einem weltweiten Ausfall.

Eine Grenze zum hier geprüften Material. Die für dieses Briefing gelesenen Dokumente enthalten keinen dokumentierten Fall, in dem ein Register, eine Aufsichtsbehörde oder ein automatisches Prüfsystem die Ankündigung gestoppt hätte; sie enthalten auch keinen Rohauszug der Kollektoren, keinen Schriftwechsel der Beteiligten und keinen Transitvertrag. Die entscheidende Handlung, die sie benennen, ist der Rückzug durch den Transitprovider. Wo eine Frage von Dokumenten abhängt, die diese Prüfung nicht erfasst hat, bleibt sie offen – die Beteiligten waren deshalb nicht untätig.