Hele verdens nettrafik kan aflyttes

To sikkerhedseksperter har demonstreret at internet-trafik kan aflyttes og manipuleres uden at hverken afsender eller modtager aner uråd. Men denne gang er der ikke tale om en softwarefejl eller et sikkerhedshul i traditionel forstand. Det nye angreb udnytter en funktion i nettets routing-protokol Border Gateway Protocol (BGP), som bygger på, at systemet altid har tillid til andre routere på nettet. Og det kan misbruges til at sende falske adresseoplysninger og opsnappe den trafik, der er rettet mod fremmede ip-adresser.

En artikel hos Wired News beskriver detaljerne i det nye angreb. Ifølge de to sikkerhedseksperter Anton Kapela fra 5Nines Data og Alex Pilosov fra Pilosoft skulle det være muligt at aflytte ukrypteret internettrafik overalt i verden. Svagheden blev demonstreret på Defcon-konferencen i Las Vegas i denne måned.

BGP-routere kommunikerer indbyrdes for at finde den hurtigste vej for en datapakke. Når en internet-bruger forsøger at kontakte en webadresse eller sende en e-mail, skal domænenavnet først oversættes til en ip-adresse. Herefter konsulteres så internet-udbyderens egen BGP-tabel over ip-adresser, som bygger på meldinger fra andre udbydere og netværk over, hvilke adresser de kan levere trafik til.

Men der er intet som forhindrer, at et netværk kan deklarere at det kan levere trafik til ip-adresser, som det slet ikke har kontakt med. Det vil så medføre, at trafikken sendes til det forkerte netværk. Dette kaldes også for et »IP Hijack« og det er ikke en nyhed i sig selv. Men den slags bliver normalt hurtigt opdaget - som det skete tidligere i år, hvor Pakistan Telecom kom til at sætte sig på ip-adressen for Youtube. Trafikken strandede herefter i Pakistan.

Det nye er, at Kapela og Pilosov har udviklet en metode til at viderelede trafikken til den korrekte destination. En angriber vil så være i stand til at aflytte trafikken - og manipulere den - uden at internet-brugeren opdager noget.

Og det er ikke uden videre muligt at lukke hullet, fordi der ikke er tale om en klassisk softwarefejl. Det vil kræve, at hele router-systemet bliver ændret, så routere skal certiceres inden de kan modtage trafik. De nuværende routere mangler hukommelse og regnekraft til at generere og validere signaturer.

Indtil dette problem bliver rettet er den eneste måde at beskytte sin trafik at bruge stærk kryptering.