IP-Adressverwaltung: Zertifikate, Routing-Sicherheit und IP-Sperren
Die Einführung von Zertifikaten für IP-Adressen und AS-Nummern soll das Routing sicherer machen. Doch der IP-Adressverwaltung als Wächter der Zertifikate könnte dies auch Forderungen von Behörden nach Sperrung von IP-Adressbereichen einbringen.
Die für 2009 geplante Einführung von Zertifikaten für IP-Adressen und AS-Nummern soll das Routing sicherer machen und Attacken wie die Umleitung von Datenverkehr verhindern. Doch das von der IP-Adressregistry RIPE NCC erprobte System könnte andere Interessierte auf den Plan rufen. Die neue Rolle des RIPE NCC, des operativen Arms der Regional Internet Registry (RIR) RIPE, als Aussteller und Wächter der Zertifikate könnte Regierungen veranlassen, bei den Adressverwaltern anzuklopfen und zur Sperrung von IP-Adressbereichen aufzufordern, warnte Malcolm Hutty beim RIPE-Treffen in Dubai. Wenn RIPE NCC zentral die Zertifikate widerrufen könne, erhalte es erstmals die Möglichkeit, das Routing von Adressbereichen zu verhindern, meinte Hutty, der bis vor Kurzem Leiter einer Arbeitsgruppe zur künftigen Zusammenarbeit mit Regierungen war.
Bislang konnten vergleichbare Anfragen damit beschieden werden, dass eine Löschung der Einträge in der RIPE-Datenbank nicht automatisch eine Änderung fürs Routing und die Erreichbarkeit der entsprechenden Adressen bedeute, sagte Daniel Karrenberg, Chefwissenschaftler beim RIPE NCC. Man habe die Regierungen darauf hingewiesen, dass das RIPE NCC keinen Einfluss auf das Routing habe und sie an die Provider verwiesen. "Im übrigen haben wir jeweils gesagt: 'Bringt uns einen Gerichtsbeschluss'", betonte Karrenberg. Für die Adressverwalter sind wegen des Sitzortes in Amsterdam die niederländischen Behörden zuständig.
Mit der auf eine Public Key Infrastructure (PKI) gestützten Zertifizierung der IP-Adressbereiche verbinden die Adressverwalter nun aber gerade die Hoffnung, dass nicht zertifizierte Ressourcen als unsicher von den Providern nicht mehr geroutet werden, und das möglichst rasch und automatisch. Wie schnell die Provider Updates in der RIPE-Datenbank umsetzen, ob innerhalb weniger Minuten oder nach einem Tag, hänge von der jeweiligen Implementierung beim einzelnen Unternehmen ab, sagte Rüdiger Volk, Routing-Experte bei der Deutschen Telekom. "Aber der Widerruf eines Zertifikats wird einen unmittelbaren Effekt haben", räumte auch Volk ein.
"Wir werden ein größeres Ziel", konstatierte Karrenberg: Die Sorge über das mögliche Eingreifen von Behörden in das IP-Routing sei berechtigt; es gebe sie nicht nur auf Seiten der Provider, sondern auch aus dem Umfeld von Regierungen. "Manche Regierungen finden das toll, andere sehen das mit Sorge", meinte Karrenberg. Hutty hatte auch darauf hingewiesen, dass die Adressverwalter zwischen die Mühlen verschiedener Jurisdiktionen geraten könnten, wenn sie dem Ansinnen von Adresssperrungen gegen Provider in anderen Ländern nachgeben. RIPE NCC versorgt Provider und Unternehmen in rund 70 Ländern mit Adressen und Nummern von Autonomous Systems (AS).
Bei aller Sorge vor der Begehrlichkeit der Behörden könne das RIPE aber nicht darauf verzichten, die Ressourcen und damit die Routen besser abzusichern, kommentierte Karrenberg. Volk und andere Teilnehmer des RIPE-Treffens bestätigten das: "Die Absicherung wird sogar noch wichtiger, wenn mehr Bewegung ins Adresssystem kommt", sagte Volk mit Blick auf die künftig möglichen Transfers von Adressblöcken. Hutty empfahl als Gegenmaßnahme unter anderem, statt einer zentralen Datenbank ein System mit verteilten Datenbanken vorzusehen. Das könnte die von Seiten der Regierungen befürchteten "Attacken auf das System" ein bisschen schwieriger machen, bestätigten die Experten. (Monika Ermert) / (jk)
