Das Border Gateway Protocol (BGP) ist das Routing-Protokoll, mit dem sich Netze im Internet gegenseitig mitteilen, welche IP-Adressbereiche sie erreichen – es entscheidet damit, welchen Weg der Verkehr durchs Internet nimmt.
Wie BGP funktioniert
Das Internet besteht aus Zehntausenden autonomen Systemen (AS) – Netzen von Providern, Cloud-Anbietern, Universitäten und Unternehmen. Jedes AS kündigt seinen Nachbarn die IP-Adresspräfixe an, die ihm gehören, und zwar über TCP-Port 179; Router geben diese Ankündigungen weiter und wählen Pfade nach Richtlinien und Pfadlänge. Die aktuelle Version BGP-4 ist in RFC 4271 definiert. Das Protokoll wurde unter der Annahme gegenseitigen Vertrauens entworfen: Standardmäßig akzeptiert ein Router, was ein Peer ankündigt.
Warum BGP für die Sicherheit wichtig ist
Weil Ankündigungen nicht geprüft werden, können Fehler oder böswillige Aktionen den Verkehr ganzer Dienste umleiten:
- Route Leaks und Hijacks – 2008 kündigte Pakistan Telecom versehentlich das Präfix von YouTube an, als es die Plattform landesweit sperren wollte, und machte YouTube weltweit stundenlang unerreichbar.
- Diebstahl von Kryptowährung – 2018 kaperten Angreifer Adressraum von Amazon Route 53, um das DNS des Dienstes MyEtherWallet umzuleiten und Guthaben aus den Krypto-Wallets der Nutzer zu stehlen.
- Abfangen von Verkehr – ein Hijack kann Verkehr für einen Man-in-the-Middle-Angriff durch das Netz des Angreifers leiten und ihn dann weiterreichen, was kaum auffällt.
- Ausfälle – im Oktober 2021 zog eine fehlerhafte Konfigurationsänderung die BGP-Routen von Facebook zurück; Facebook, Instagram und WhatsApp waren rund sechs Stunden offline.
So lässt sich BGP absichern
- Route Origin Authorisations (ROAs) in RPKI veröffentlichen und Route Origin Validation auf den Routern aktivieren.
- Ankündigungen von Kunden und Peers anhand von IRR-Daten filtern und den MANRS-Leitlinien folgen.
- BGP-Sitzungen mit TCP-AO oder MD5-Authentifizierung und Maximum-Prefix-Limits schützen.
- Die eigenen Präfixe mit BGP-Alerting-Diensten überwachen und stets TLS nutzen, damit umgeleiteter Verkehr nicht lesbar ist.
