ASN-Hijacking: Warum Geolokalisierung hinterherhinkt
ASN-Hijacking, genauer BGP-Route-Hijacking, liegt vor, wenn ein Netzwerk IP-Präfixe announct, die es nicht originieren darf, oder sie so announct, dass andere Netzwerke Traffic zu ihm leiten. Da IP-Geolokalisierungs- und ASN-Datensätze auf periodischen Snapshots beruhen, zeigen sie einen Hijack in der Regel nicht, während er stattfindet.
Wie ein BGP-Hijack funktioniert
Jedes Netzwerk im Internet wird durch eine Autonomous System Number (ASN) identifiziert und nutzt das Border Gateway Protocol (BGP), um seinen Nachbarn mitzuteilen, welche Präfixe es erreichen kann. BGP wurde auf Vertrauen aufgebaut: Ein Nachbar, der eine Announcement erhält, kann standardmäßig nicht selbst prüfen, ob das announcende Netzwerk das Präfix wirklich besitzt. Router wählen dann den besten Pfad anhand von Regeln wie dem kürzesten AS-Pfad und vor allem dem Longest Prefix Match.
Genau diese letzte Regel nutzen Angreifer und Fehlkonfigurationen aus. Announct ein legitimes Netzwerk ein /22 und jemand anderes ein spezifischeres /24 darin, bevorzugen Router, die das /24 akzeptieren, diese Route, weil die spezifischere gewinnt. Der Traffic für diese 256 Adressen fließt dann zum falschen Netzwerk. Varianten sind das direkte Originieren eines fremden Präfixes, das Fälschen eines Teils des AS-Pfads und das Leaken von Routen, die intern hätten bleiben sollen. Viele reale Vorfälle sind Versehen, etwa wenn ein Kunde seine vollständige Tabelle an einen Upstream leakt, doch die Wirkung auf den Traffic ist dieselbe.
Was mit dem Traffic passiert
Ein Angreifer, der Traffic anzieht, kann ihn verwerfen (Blackhole), inspizieren oder an das echte Ziel weiterreichen, sodass Nutzer nur eine leichte Verzögerung bemerken. Verschlüsselung begrenzt den Schaden bei Inhalten, die per TLS geschützt sind. Allerdings wurden Hijacks auch eingesetzt, um Zertifikate zu erhalten, indem der Traffic der Domainvalidierung abgefangen wurde, sowie zum Abfangen von DNS. Die Dauer reicht von Minuten bis zu Stunden, weshalb die Erkennungsgeschwindigkeit entscheidend ist.
Warum Geolokalisierungs- und ASN-Datensätze hinterherhinken
Geolokalisierungs- und ASN-zu-Präfix-Datensätze werden aus Registerdaten, Routing-Snapshots und weiteren Quellen zusammengestellt und als Versionen veröffentlicht. Sie beantworten die Frage „Wer hält diese Range normalerweise?“ und nicht „Wer announct sie in dieser Minute?“. Bei ipto werden die IP- und ASN-Datensätze täglich aktualisiert und die Threat-Feeds alle 6 Stunden. Ein Hijack, der eine Stunde dauert, hat daher meist zwischen zwei Aktualisierungen begonnen und geendet. Während des Vorfalls zeigt die Abfrage einer betroffenen Adresse höchstwahrscheinlich weiterhin den legitimen Inhaber, und das ist die richtige Antwort auf die Frage, für die der Datensatz gedacht ist.
Zwei weitere Effekte verstärken die Verzögerung. Registereinträge ändern sich langsam, ein Adressblock wechselt also nicht wegen eines Routing-Ereignisses die Organisation. Und eine Geolokalisierungsdatenbank, die aus einem Präfix eine Stadt ableitet, leitet diese nicht bei jeder Routenänderung neu ab. Die stabilen Daten sind eher als Basislinie nützlich: Sie zeigen, wer ein Präfix originieren sollte, und genau damit vergleichen Sie Live-Routing-Daten.
So prüfen Sie verdächtiges Routing
- Den erwarteten Origin kennen. Die ASN-Abfrage zeigt den registrierten Inhaber, die Organisation, das Land und die Anzahl der Ranges einer AS-Nummer, und das IP-Range-Verzeichnis lässt Sie durchsuchen, welche Netzwerke einen bestimmten /8- oder /16-Block halten.
- Die Registrierung prüfen. Die IP-Whois-Abfrage liefert den Registereintrag per RDAP, einschließlich des Abuse-Kontakts, den Sie benachrichtigen würden.
- Den Route Origin validieren. Die RPKI-Abfrage prüft live über RIPEstat, ob die aktuell für eine IP announcete Route durch eine gültige Route Origin Authorization abgedeckt ist. Gemeldet wird das Ergebnis valid, invalid oder not covered.
Interpretieren Sie das RPKI-Ergebnis sorgfältig. „Invalid“ bedeutet, dass die Origin-AS oder die Präfixlänge nicht dem entspricht, was der Inhaber autorisiert hat, und das verdient eine Untersuchung. „Not covered“ heißt nur, dass keine ROA existiert, was häufig vorkommt und kein Beweis für einen Hijack ist. RPKI schützt außerdem nicht vor jedem Angriff, etwa vor gefälschten AS-Pfaden, die den korrekten Origin beibehalten. Betreiber, die ROAs veröffentlichen und danach filtern, verringern die Angriffsfläche, und Monitoring-Dienste, die bei unerwarteten Origins für Ihre Präfixe alarmieren, melden schneller als jede Aktualisierung eines Datensatzes.
Was das für Anwendungen bedeutet
Wenn Ihre Anwendung ASN- oder Geodaten für Entscheidungen wie Betrugsbewertung oder Regionsregeln nutzt, behandeln Sie sie als sich langsam ändernden Kontext und nicht als Beweis dafür, wo eine Verbindung physisch endet. Die ipto-IP-Abfrage liefert asn und org-Felder, das Antwortformat steht in der API-Dokumentation. Eine plötzliche Änderung des Netzwerks, aus dem sich ein bekannter Kunde verbindet, ist ein nützliches Signal, doch ein Hijack ist nur eine von vielen möglichen Erklärungen, und die meisten solchen Änderungen sind banal: ein neuer ISP, ein Mobilfunk-Handover oder ein VPN.