Die sichere Alternative zum Border Gateway Protocol SCION: Das sichere Internet der Zukunft

Anbieter zum Thema

Detecon International GmbH

Swisscom AG

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Datensicherheit ist das A und O im Internet - vor allem, wenn es um den Austausch besonders sensibler Informationen wie Gesundheitsdaten geht. Das Internetprotokoll SCION kann hier Abhilfe schaffen.

"Die Bedrohungslage im Cyber-Raum ist so hoch wie nie zuvor". Zu diesem Schluss kommt das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem Bericht 2023. Spätestens seit dem Beginn des russischen Angriffskrieges gegen die Ukraine ist zumindest das Bewusstsein dafür gewachsen, dass die Grundarchitektur des Internets einige empfindliche Schwachstellen aufweist und über diese sehr leicht angreifbar ist. Dennoch werden namhafte Unternehmen täglich von Hackern angegriffen. Besonders gefährlich wird es, wenn es um den Austausch sensibler Informationen wie Gesundheits- oder Bankdaten geht.

Das Problem: Die Grundlagen des Internets stammen noch aus dem letzten Jahrhundert. Es wurde im Geiste der damaligen Zeit entwickelt und seither nicht grundlegend überarbeitet. Insbesondere das essenzielle Routing Protokoll (Border Gateway Protocol – BGP) bietet Angriffspunkte für verschiedene Angriffsszenarien. Die ETH Zürich hat deshalb bereits vor einigen Jahren mit SCION (Scalability, Control, and Isolation on Next-Generation Networks) eine sichere, flexible und kostengünstige Alternative zum BGP entwickelt, die viele Angriffspunkte adressiert und so den Datenaustausch über das Internet deutlich sicherer macht. In einem Pilotprojekt haben Detecon Alpine, Anapaya Systems und Swisscom die Implementierung und die Schutzmöglichkeiten dieses Protokolls getestet und vielversprechende Ergebnisse erzielt.

Schwächen des etablierten BGP- und IP-Ansatzes im Internet-Routing

Das BGP in Verbindung mit dem Internet Protocol (IP) ist der etablierte Ansatz für das Routing zwischen verschiedenen Netzwerken, wie wir es kennen. Jedes Netzwerk wird dabei als autonomes System (AS) bezeichnet, und der Router eines Netzes ermöglicht seinen Clients die Kommunikation mit anderen Netzen über eine eindeutige AS-Nummer (ASN).

Jedoch bietet BGP kaum Schutz gegen verschiedene Angriffsarten. So kann ein fremder Router durch sogenanntes BGP-Hijacking unberechtigterweise vorgeben, für eine bestimmte ASN zuständig zu sein. Das führt dazu, dass der Datenverkehr, der für Webseiten wie etwa Google bestimmt ist, auf unerwünschte Wege umgeleitet wird. Angreifer können so Daten abfangen oder den Nutzern manipulierte Webseiten anzeigen.

Im Laufe der Zeit wurden zwar Erweiterungen für BGP entwickelt, um die Sicherheit zu erhöhen. Diese verlangsamen das Protokoll allerdings erheblich. Deshalb werden sie oft nicht genutzt, wodurch die Netze anfällig für Angriffe bleiben.

Herausforderung: Sicherheit in der vernetzten Welt

Private und öffentliche Organisationen sind jedoch auf zuverlässige Datenübertragungswege angewiesen. Diese über private Netze zu realisieren ist zwar sicher, aber auch teuer und unflexibel. Nutzt man hingegen das günstigere und flexiblere Internet können Angriffe wie BGP-Hijacking oder DDoS-Attacken die Verfügbarkeit und Performance kritischer Systeme beeinträchtigen. Um diesen Herausforderungen zu begegnen, ist eine sichere Internetarchitektur notwendig. SCION adressiert diese Anforderungen, indem es sichere Kommunikationswege für Organisationen schafft und gleichzeitig die Flexibilität und Offenheit des öffentlichen Internets bewahrt.

SCION wurde ursprünglich von Prof. Adrian Perrig an der ETH Zürich entwickelt. Im Rahmen einer erfolgreichen Pilotphase, wurde eine sichere Internetverbindung zwischen den Schweizer Botschaften in Berlin und Seoul sowie dem Eidgenössischen Departement für auswärtige Angelegenheiten in Bern hergestellt. Seitdem hat sich SCION einen festen Platz im Lösungsspektrum für sichere Kommunikation erschlossen. Die Ergebnisse bestätigen, was SCION verspricht: mehr Sicherheit, höhere Zuverlässigkeit und Pfadkontrolle für Endsysteme, die bisher nur über teure dedizierte Netze verfügbar waren.

Mehr Verlässlichkeit und Kontrolle

Das Protokoll ermöglicht es Unternehmen, geschützte Communities zu bilden, in denen sich streng vertrauliche Daten sicher austauschen lassen, ohne dass Unbefugte darauf zugreifen können: Durch eine geschickte Wahl des Pfades besteht die Möglichkeit, ein Geo Fencing zu aktivieren, das den Datenverkehr auf ein bestimmtes geografisches Gebiet beschränkt. Außerdem lassen sich die Verbindungen so konfigurieren, dass die Resilienz eines Netzes deutlich erhöht wird. Dies geschieht durch die – im Vergleich zu BGP – kürzen Umschaltzeiten zwischen verfügbaren Pfaden im Netz. Damit erhöht SCION nicht nur die Sicherheit und Geschwindigkeit im Netz, sondern auch die Verfügbarkeit von Applikationen, die ein SCION basiertes Netz nutzen. Und da ein solches SCION-Netzwerk im Internet nicht sichtbar ist, ist ein DDOS-Schutz inhärenter Bestandteil der Lösung: Was man nicht sehen kann, ist nur schwer angreifbar.

Skalierbarkeit über ISDs

Ein zentrales Konzept von SCION ist die Einführung so genannter Isolation Domains (ISD). Eine ISD besteht aus mehreren Netzwerken, sogenannten Autonomous Systems (AS), die zusammen eine gemeinsame Vertrauensbasis bilden. Innerhalb einer ISD verwenden die Netze eine gemeinsame Zertifizierungsstelle, um den Datenverkehr kryptographisch zu signieren. Anhand dieser Signaturen kann der Empfänger eines Pakets überprüfen, ob das Paket den vorgesehenen Weg genommen hat und ob es unterwegs verändert wurde. Diese Vertrauensbasis, auch Root of Trust genannt, wird innerhalb jeder ISD aufgebaut und benötigt keine globale vertrauenswürdige Instanz.

Neben der Pfadkontrolle bietet SCION auch die Möglichkeit, mehrere Pfade gleichzeitig zu verwenden. Dieses Multipathing hat mehrere Vorteile. Zum einen können vorhandene Bandbreitenressourcen im Internet besser genutzt werden. Zum anderen erlaubt das Protokoll ein sehr schnelles Umschalten bei Ausfall einzelner Pfade.

Einsatz in der Praxis

SCION bietet eine Reihe von Vorteilen wie Effizienz, Flexibilität, Verfügbarkeit und Sicherheit gegen Angriffe, die auf einem Netzwerkverbund wie dem Internet basieren. Die Sicherheit eines öffentlichen SCION Netzwerkes entspricht annähernd der eines privaten Netzes und dank der eingebauten DDoS-Abwehrmechanismen ist die Wirtschaftlichkeit ein zusätzlicher Vorteil.

Das Protokoll wird heute vor allem zur sicheren Vernetzung von Schweizer Banken eingesetzt (Swiss Secure Finance Network). Neben dem Bankensektor können aber auch viele andere kritische Infrastrukturen von den Vorteilen von SCION profitieren: zum Beispiel im Energie- oder Transport-, oder Gesundheitswesen. Und auch die Gaming- und VR/AR-Industrie würde von der latenzarmen Kommunikation profitieren. Darüber hinaus unterstützt SCION die ESG-Bemühungen (Environmental, Social and Corporate Governance) eines Unternehmens, mit der Funktion, den CO2-Fußabdruck eines Pfades abzuschätzen und diesen durch entsprechende Pfadwahl zu reduzieren.

Zukunftsweisende Lösung, die es zu fördern gilt

Das SCION-Protokoll bietet eine zukunftsweisende Lösung für den sicheren und flexiblen Datenaustausch innerhalb geschlossener Interessengruppen. Die erfolgreiche Implementierung zeigt, dass SCION eine zuverlässige Alternative zu herkömmlichen privaten Netzwerken darstellt. Durch die Förderung sicherer Kommunikationswege stärkt das Internetprotokoll die Cybersicherheit und ermöglicht es Organisationen, sensible Daten sicher zu übertragen und ihre Geschäftskontinuität zu gewährleisten. Natürlich erhöht SCION die Komplexität der bestehenden Internetinfrastruktur. Umso mehr hängt der Erfolg von einer schnellen und breiten Akzeptanz ab. Denn nur durch eine umfassende, weltweite Verbreitung können die Vorteile der Technologie voll zum Tragen kommen.

Über die Autoren

Dr. Ralf Helbig ist Managing Director der Detecon (Schweiz) AG sowie der Detecon Consulting Austria GmbH. Nach seiner Habilitation in Unternehmensführung und Prozessmanagement an der Universität Bonn, wo er heute als Privatdozent für Unternehmensführung und Geschäftsprozessmanagement tätig ist, kam er zu Detecon. Seitdem bringt er seine Expertise in Digital- und IT-Strategie-Projekten vor allem in den Branchen Pharma, Telekommunikation, Transport und Logistik einbringen.

Stefan Berg ist verantwortlich für das Security Consulting bei Swisscom und war in früheren Funktionen für die Implementierung von SCION im B2B Wireline Portfolio sowie für die Weiterentwicklung der Swisscom Strategie für Geschäftskunden zuständig.

(ID:50209573)