Hoe kan een kleine internetprovider (ISP) in Pennsylvania ervoor zorgen dat miljoenen websites wereldwijd offline gaan? Dat gebeurde op 24 juni, 2019 toen gebruikers over de hele wereld geen toegang hadden tot een groot deel van het internet. De hoofdoorzaak was een storing door Cloudflare, een van de toonaangevende contenthosts op het internet waarop de getroffen websites vertrouwden.

Cloudflare herleidde het probleem tot een regionale ISP in Pennsylvania die per ongeluk aan de rest van het internet adverteerde dat de best beschikbare routes naar Cloudflare via hun kleine netwerk waren. Dit veroorzaakte een enorme hoeveelheid wereldwijd verkeer naar de ISP, die hun beperkte capaciteit overweldigde en zo de toegang van Cloudfare tot de rest van het internet stopte. Zoals Cloudflare opmerkte, het was het internetequivalent van het routeren van een hele snelweg door een buurtstraat.

Dit incident heeft de schokkende kwetsbaarheid van internet aan het licht gebracht. Alleen al in 2017 waren er ongeveer 14, 000 van dit soort incidenten. Aangezien het van cruciaal belang is voor een groot deel van het economische en sociale leven in de wereld, zou het net niet zo ontworpen moeten zijn dat het niet alleen kleine haperingen maar ook grote rampen kan weerstaan, en om te voorkomen dat kleine problemen veel grotere worden? Bestuursorganen zoals het EU-agentschap voor netwerk- en informatiebeveiliging (ENISA) waarschuwen al lang voor het risico van dergelijke cascade-incidenten die leiden tot systemische internetstoringen. Toch blijft het internet zorgwekkend kwetsbaar.

Als een wegennet, het internet heeft zijn eigen snelwegen en kruispunten die bestaan ​​uit kabels en routers. Het navigatiesysteem dat de gegevensstroom rond het netwerk beheert, wordt het Border Gateway Protocol (BGP) genoemd. Toen u deze website bezocht, BGP bepaalde het pad waarlangs de gegevens van de site naar uw apparaat zouden worden verzonden.

Het probleem is dat BGP alleen is ontworpen als een tijdelijke oplossing, een "goed genoeg" oplossing toen het internet eind jaren tachtig snel groeide. Het bleek toen goed genoeg om het internet te helpen zijn explosieve expansie te ondersteunen en werd al snel onderdeel van elke backbone-router die de gegevensstroom langs de belangrijkste paden van het internet beheert. Maar het is niet gebouwd met veiligheid in het achterhoofd, en mechanismen om ervoor te zorgen dat de paden die BGP naar beneden stuurt geldig zijn, zijn nooit toegevoegd. Als resultaat, routeringsfouten blijven onopgemerkt totdat ze congestie en uitval veroorzaken.

Nog erger, iedereen die toegang heeft tot een backbone-router (en dat is triviaal voor iemand met de juiste kennis en budget) kan neproutes maken om legitiem dataverkeer te kapen, diensten verstoren en communicatie afluisteren. Dit betekent dat het moderne internet werkt met een onveilig protocol dat dagelijks wordt gebruikt om communicatie van overheden in gevaar te brengen, financiële instellingen, wapenfabrikanten en cryptocurrencies, vaak als onderdeel van politiek gemotiveerde cyberoorlogvoering.

Deze problemen zijn in ieder geval sinds 1998 bekend, toen een groep hackers aan het Amerikaanse Congres demonstreerde hoe gemakkelijk het was om internetcommunicatie in gevaar te brengen. Nog, er is weinig veranderd. Het inzetten van de nodige cryptografische oplossingen bleek net zo moeilijk als het wisselen van de motoren van een vliegtuig tijdens de vlucht.

In een echt luchtvaartprobleem, zoals de recente problemen met Boeing's 737 MAX-vliegtuigen, regelgevers hebben de bevoegdheid om een ​​hele vloot aan de grond te houden totdat deze is vastgesteld. Maar internet heeft geen gecentraliseerde autoriteit. Verschillende delen van de infrastructuur zijn eigendom van en worden beheerd door verschillende entiteiten, inclusief bedrijven, overheden en universiteiten.

De strijd tussen deze verschillende spelers, die vaak tegenstrijdige belangen hebben, betekent dat ze geen prikkels hebben om hun eigen deel van het internet veiliger te maken. Een organisatie zou de aanzienlijke implementatiekosten en operationele risico's moeten dragen die gepaard gaan met een overstap naar een nieuwe technologie, maar het zou geen voordelen opleveren tenzij een kritische massa van andere netwerken hetzelfde deed.

De meest pragmatische oplossing zou zijn om beveiligingsprotocollen te ontwikkelen die geen wereldwijde coördinatie nodig hebben. Maar pogingen om dit te doen worden ook belemmerd door het gedecentraliseerde eigendom van internet. Operators hebben beperkte kennis van wat er buiten hun netwerken gebeurt vanwege de wens van bedrijven om hun bedrijfsvoering geheim te houden.

Als resultaat, vandaag heeft niemand een volledig beeld van de meest kritieke communicatie-infrastructuur van onze samenleving. Dit belemmert pogingen om het gedrag van internet onder stress te modelleren, waardoor het moeilijker wordt om betrouwbare oplossingen te ontwerpen en te evalueren.

Verbetering van de beveiliging

De directe implicaties van deze sombere situatie voor de nationale veiligheid hebben ertoe geleid dat overheidsinstanties hun activiteiten hebben geïntensiveerd om hun kritieke internetinfrastructuur te beschermen. Bijvoorbeeld, het UK National Cyber ​​Security Centre (NCSC) heeft onlangs het Active Cyber ​​Defense (ACD)-programma gelanceerd, waardoor de veiligheid van internetroutering een van de topprioriteiten is.

Als onderdeel van dit programma, mijn eigen onderzoek omvat het in kaart brengen van het internet op een ongekend detailniveau. Het doel is om verborgen locaties te verlichten waar de infrastructuur bijzonder vatbaar is voor aanvallen en verantwoordelijk is voor trapsgewijze storingen.

Tegelijkertijd, nieuwe initiatieven proberen beveiliging een meer routinematige overweging te maken voor mensen die werken voor organisaties die de internetinfrastructuur beheren.

Naarmate we economisch afhankelijker worden van internet, de kosten van uitval zullen verder oplopen. En de komst van cryptocurrencies, waarvan de transacties fundamenteel kwetsbaar zijn voor BGP-kapingaanvallen, zou het oplossen van dit probleem eindelijk een prioriteit kunnen maken voor internetinfrastructuurbedrijven.

Het is niet overdreven om te zeggen dat het internet op dit moment een cyber Wild West is. Maar na twee decennia van vruchteloze inspanningen, er is een kans dat de outlaw-dagen langzaam ten einde lopen.

Dit artikel is opnieuw gepubliceerd vanuit The Conversation onder een Creative Commons-licentie. Lees het originele artikel.