Das Internet der bereits gefährlichen Dinge
Zusammenfassung
Brian Krebs verbindet im Januar 2015 neue Zahlen von Arbor Networks zu DDoS-Angriffen mit den Attacken auf die eigene Seite. Die größten Angriffe der Monate davor nutzten SSDP, ein Protokoll, über das UPnP-Geräte ab Werk Anfragen aus dem Internet beantworten. Für Brian Krebs liegt die Gefahr nicht in einem künftigen Internet der Dinge, sondern in den Geräten, die schon heute erreichbar sind.
Wie Verstärkung funktioniert
UDP prüft die Absenderadresse nicht. Ein Angreifer schickt kleine Anfragen mit der Adresse des Opfers als Absender an viele offene Dienste, und deren größere Antworten treffen das Opfer. Die US-Behörde CISA nennt in ihrem Hinweis TA14-017A als Verstärkungsfaktor für DNS 28 bis 54, für SSDP 30,8 und für NTP 556,9.
Akamai zählte 2014 rund 4,1 Millionen über das Internet erreichbare UPnP-Geräte, die sich so missbrauchen ließen, etwa 38 Prozent von elf Millionen. Betroffen ist Hardware von Spielkonsolen bis zu Routern und Modems, deren Netzwerkfunktionen ab Werk eingeschaltet sind.
Was danach kam
Im September 2016 traf ein Angriff von rund 620 Gbit/s die Seite von Brian Krebs, diesmal ohne Reflexion, direkt von gekaperten Routern, Kameras und Videorekordern. Das Botnetz Mirai bestätigte die Warnung von 2015 schneller und heftiger als erwartet.
Ideen
- Ab Werk aktivierte Netzwerkfunktionen machen Heimgeräte zu Angriffsverstärkern.
- SSDP antwortet auf kleine Anfragen mit deutlich größeren Paketen.
- Gefälschte Absenderadressen lenken die Antworten auf das Opfer.
- DDoS-Mietdienste machen große Angriffe für jeden bezahlbar.
- Viele Ziele sind Spieler und Spieleserver, nicht Unternehmen.
- Brian Krebs fordert eine koordinierte, internationale Antwort wie bei Impfprogrammen.
Einsichten
- Die Gefahr kommt von schlecht konfigurierten Altgeräten, nicht von künftigen Produkten.
- Wer Geräte ausliefert, entscheidet mit Voreinstellungen über fremde Angriffsflächen.
- Messdaten eines einzelnen Opfers bestätigen Branchentrends anschaulich.
Zitate
- The real threat is from The Internet of Things We Already Have That Need Fixing Today. (Brian Krebs)
Fakten
- Im Dezember 2014 verzeichnete Prolexic 26 einzelne Angriffe auf KrebsOnSecurity.
- Der größte im Arbor-Bericht gemeldete Angriff erreichte 400 Gbit/s.
- Akamai fand 4,1 Millionen über das Internet erreichbare, missbrauchbare UPnP-Geräte.
- CISA beziffert den Verstärkungsfaktor von SSDP auf 30,8.
Referenzen
- Brian Krebs: The Internet of Dangerous Things
- SSDP und UPnP: im Beitrag beschriebene Verstärkungsfläche.
- Arbor Networks und Akamai: Quellen der damaligen Messdaten.
- CISA: TA14-017A UDP-Based Amplification Attacks
Bemerkungen
- Brian Krebs warnte damit mehr als anderthalb Jahre, bevor Mirai die eigene Seite mit rund 620 Gbit/s traf.
Empfehlungen
- Schalte UPnP am Router aus, wenn kein Gerät es wirklich braucht.
- Prüfe, ob eigene Geräte SSDP, DNS oder NTP ins Internet beantworten.
- Filtere als Netzbetreiber gefälschte Absenderadressen nach BCP 38.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.