Cloudflares Website „Is BGP Safe Yet“ nennt ISPs, die Routenfilterung auslassen

Anfang April 2020 schickte ein Fehler im Border Gateway Protocol den Datenverkehr zu großen Websites wie Google und Facebook für über eine Stunde auf einen Umweg durch einen russischen Telekommunikationsanbieter – kein Hack, sondern erneut ein Versagen des vertrauensbasierten Routings. BGP-Leaks passieren ständig versehentlich, doch das Protokoll kann auch für Spionage oder Abfangen missbraucht werden; im selben Monat gingen US-Behörden gegen China Telecom vor wegen Aktivitäten, zu denen auch BGP-Angriffe gehörten. Cloudflare wird beschuldigt, wenn irgendwo etwas kaputtgeht, und konnte das Protokoll selbst nicht reparieren – deshalb sagte CEO Matthew Prince, es sei Zeit, mit dem Nennen und Anprangern zu beginnen.

Die Website, die das Unternehmen startete, Is BGP Safe Yet, testet die eigene Verbindung des Besuchers: Sie bietet eine legitime Route und eine ungültige an und lädt über jede eine Seite. Ein ISP, der die kryptografischen Prüfungen und Routenfilter eingerichtet hat, erkennt die gefälschte Route und lädt nur die echte Seite; ein ISP, der beide akzeptiert, fällt sichtbar durch. Cloudflare schätzte, dass etwa die Hälfte des Internets bereits geschützt war – dank Schwergewichten wie AT&T, dem schwedischen Anbieter Telia und Japans NTT – genug, dass selbst Nutzer bei ungeschützten ISPs während eines Vorfalls oft funktionierende Alternativen behalten.

Das Design setzt zugleich auf zwei Hebel: Verbraucher erhalten eine Ein-Klick-Möglichkeit, etwas zu prüfen, das sie nie sehen konnten, und Branchenakteure erhalten eine einfache Möglichkeit, zu sehen und gesehen zu werden. Cloudflare räumte Grenzen ein – einige Router-Hersteller unterstützten die Schutzmaßnahmen noch immer nicht –, hoffte aber, dass öffentlicher Druck beide Seiten in Bewegung bringt.

Protokollhygiene für Außenstehende testbar machen: eine gültige und eine ungültige Route bereitstellen und den Browser des Besuchers selbst offenlegen lassen, ob sein ISP filtert.

BGP ist ein über 40 Jahre altes, vertrauensbasiertes Protokoll; kein einzelner Teilnehmer, nicht einmal Cloudflare, kann es allein absichern – die Verbreitung muss breit sein, um zu wirken.

Nicht-Anwender waren unsichtbar: Nichts sagte einem Verbraucher, dass sein ISP derjenige war, der gekaperte Routen akzeptierte.

Ein Test pro Verbindung verwandelt einen abstrakten Infrastrukturstandard in ein Reputationsurteil, das einzelne ISPs benennt.

Die Sicherheit verbessert sich für alle mit wachsender Abdeckung, sodass das Anprangern von Nachzüglern den Wert der frühen Anwender vervielfacht.

Man kann voneinander abhängige Anwender nicht zwingen, ein gemeinsames System abzusichern, aber man kann ihre Nicht-Anwendung für ihre Kunden sichtbar machen.

Die Website ging am 17. April 2020 online, wobei Cloudflare AT&T, Telia und NTT zu denen zählte, die bereits Routen filterten; Hersteller von Backbone-Ausrüstung, die keine Unterstützung für die Schutzmaßnahmen eingebaut hatten, blieben die andere Hälfte des Rückstands.