Politische Konsequenzen des sicheren Routings umstritten

Ab Januar 2011 wollen alle IP-Adressvergabestellen Zertifikate für IP-Adressen standardmäßig anbieten. Das dafür geplante System stand am Rande des Internet Governance Forum zur Diskussion.

In Pocket speichern vorlesen Druckansicht 28 Kommentare lesen
Lesezeit: 3 Min.
Von
  • Monika Ermert

Einen heftigen Schlagabtausch haben sich technische Experten, Wissenschaftler und ein Vertreter der Europäischen Kommission über die möglichen politischen Implikationen von Zertifikaten für IP-Adressen geliefert. Ab Januar 2011 wollen alle IP-Adressvergabestellen (RIRs) die Zertifikate standardmäßig anbieten. Das Resource PKI (RPKI) genannte System erlaube praktisch keine Veränderung, sagten RIR-Vertreter auf einer von ihnen und dem Internet Governance Project (IGP) organisierten Diskussion beim 5. Internet Governance Forum IGF in Wilna.

Mit RPKI sollen Netzbetreiber und Provider überprüfen können, ob Routen von der richtigen Adresse kommen. Das Hijacken von Routen wie im Fall der Umleitung von YouTube-Routen auf Pakistan Telecom im Jahr 2008 könne damit verhindert werden, erläuterte John Curran, CEO des nordamerikanischen ARIN. Bislang müssten Netzbetreiber announcierte Routen einfach hinnehmen. Mit der Möglichkeit, die von den RIRs jeweils zu den Adressen ausgegebenen Zertifkate zu überprüfen, könnten "böse Routen" künftig erkannt und verworfen werden. Die Nutzung der Zertifkate und der Einsatz fürs Routing sei vollkommen freiwillig. Am Routing ändere sich eigentlich nichts, sagten unisono Curran, Andrei Robachevsky, CTO von RIPE, BIND-Guru Paul Vixie und andere technische Experten.

Brendon Kuerbis vom IGP verwies demgegenüber auf eine mögliche Machtverschiebung (PDF Dokument) von den bisherigen "Herren der Routen", den Providern und Netzbetreibern, hin zu den RIRs. Konsequent umgesetzt könnten nämlich nicht-zertifizierte Adressen als "ungültig" aus dem Routing herausfallen. Die RIRs hätten damit erstmals eine praktische Möglichkeit, eine Delegation von Adressraum nicht nur zu widerrufen, sondern das auch durchzusetzen. Bisher hätten die RIRs auf Anfragen von Strafverfolgern, ob sie eine Adresse widerrufen könnten, darauf verweisen können, das ändere nichts daran, dass die Adresse geroutet wird, erläuterte Malcolm Hutty, Präsident von EuroISPA. Mit einem perfekten RPKI-System werde das anders.

Kuerbis räumte ein, dass die bei der Internet Engineering Task Force (IETF) aktive Arbeitsgruppe dieses Problem sehr wohl gesehen habe. Entwickler Steven Kent von Bolt, Beranek und Newman (BBN), Autor zahlreicher Standardentwürfe (RFCs), verwies auf eine Protokollentwicklung, die jedem einzelnen künftig erlauben soll, unabhängig von widerrufenen Zertifikaten eigene Routing-Präferenzen festzuschreiben. Überdies stehe es Providern grundsätzlich frei, das System nicht zu implementieren, versicherten die RIRs.

Andrea Glorioso, Vertreter der EU-Kommission, zeigte sich dazu skeptisch. Netzwerkeffekte könnten leicht dazu führen, dass kleinere Provider "stark ermuntert" würden, die Zertifkate einzusetzen. Glorioso zog die Parallele zur kryptographischen Absicherung im Domain Name System mittels DNSSEC unter einer zentralen, in den USA angesiedelten Wurzel, der IANA. Er fragte, ob es erstrebenswert sei, auch für das Routing auf ein solches zentralisiertes System zu setzen.

Eine Möglichkeit, die IANA-Frage zu lösen, könnte die Herauslösung der IP-Adressvergabe aus IANA sein. Diese bereits nicht mehr ganz neue Idee wird in Wilna angesichts des im kommenden Jahr auslaufenden IANA-Vertrag wieder diskutiert. Für Kuerbis zeigt die RPKI-Entwicklung durchaus, dass US-Behörden ihre Forschungsmittel strategisch einsetzten. Die National Security Agency und das Verteidigungsministerium seien Geldgeber vieler Routing-Security-Entwickler. (anw)