Stellen Sie sich das Internet als eine riesige, geschäftige Stadt vor, in der jedes Gerät eine einzigartige Adresse hat, wie eine Hausnummer. In der älteren Version dieser Stadt (IPv4) waren die Straßen überfüllt, und es war einfach, die Straßen hinunterzugehen, an jede Tür zu klopfen und zu sehen, wer zu Hause war. Aber in der neuen, massiven Erweiterung der Stadt (IPv6) sind die Straßen so lang und die Hausnummern so zufällig und ständig wechselnd, dass es fast unmöglich ist, jemanden allein durch Raten zu finden. Man bräuchte eine Karte, die sich jede Sekunde aktualisiert.

Um ihre Uhren zu synchronisieren, fragen die meisten Geräte in dieser Stadt nicht einfach nur nach der Zeit; sie fragen einen zentralen Zeitwächter namens NTP-Pool. Denken Sie an den NTP-Pool als einen riesigen, ehrenamtlich betriebenen Glockenturm, in dem jeder eine Uhr aufstellen und die Zeit für die Nachbarschaft anbieten kann. Weil er so beliebt ist, fragen Millionen von Geräten diese Uhren jeden Tag nach der Zeit. Der Haken dabei? Wenn ein Gerät nach der Zeit fragt, muss es seine „Hausnummer“ (seine IP-Adresse) zeigen, damit die Uhr weiß, wohin sie die Antwort senden soll. Dieses Papier untersucht einen hinterlistigen Trick, bei dem einige Leute diese ehrenamtlichen Uhren nicht nur nutzen, um die Zeit mitzuteilen, sondern um heimlich die Hausnummern all jener aufzuschreiben, die vorbeikommen, und dann diesen Listen zu nutzen, um an Türen zu klopfen, die sie sonst nicht gefunden hätten.

Der Raubüberfall am Glockenturm

In dieser Studie beschlossen die Forscher Erik Rye und Robert Beverly, ein seltsames Phänomen zu untersuchen, das sie „Back-Scanning“ nannten. Sie vermuteten, dass einige der ehrenamtlichen Uhren im NTP-Pool wie Spione agierten. So funktioniert der Trick: Ein Gerät fragt eine Uhr nach der Zeit. Die Uhr sieht die Adresse des Geräts, schreibt sie auf und – anstatt nur die Zeit zurückzusenden – beginnt sie, Sonden (Probes) an diese Adresse zu senden, um zu sehen, welche Dienste dort laufen. Es ist wie ein freundlicher Bäcker, der, nachdem Sie nach der Zeit gefragt haben, heimlich prüft, ob Ihr Haus eine verschlossene Tür, eine Sicherheitskamera oder einen versteckten Tresor hat, nur weil Sie in seinen Laden getreten sind.

Um diese Spione zu entlarven, bauten die Forscher eine clevere Falle auf. Sie erstellten einen speziellen „Prober“-Computer, der tausende Anfragen an die NTP-Pool-Uhren sendete. Aber hier liegt die Magie: Jede einzelne Anfrage kam von einer brandneuen, gefälschten, nur einmal verwendeten Hausnummer (einem sogenannten „Nonce“). Diese Nummern waren zufällig und wurden nie wieder verwendet. Die Forscher warteten dann ab, um zu sehen, ob jemand an die Türen dieser gefälschten Häuser klopfen würde.

Wenn eine Uhr nur ihre Arbeit tat, würde sie die Zeit antworten und die gefälschte Hausnummer vergessen. Aber wenn eine Uhr ein Spion war, würde sie die gefälschte Nummer aufschreiben und später eine Sonde an diese Adresse senden. Da das gefälschte Haus gar nicht existierte, war der einzige Weg, wie eine Sonde es erreichen konnte, dass die Uhr (oder jemand, der mit ihr verbunden war) die Nummer gespeichert hatte und aktiv danach suchte.

Was sie fanden

Im Laufe eines Jahres schickten die Forscher etwa 2,45 Millionen dieser gefälschten Anfragen an 2.335 verschiedene NTP-Server. Sie fanden heraus, dass 22 dieser Server tatsächlich als Spione agierten. Diese 22 Server waren in vier deutliche Verhaltens-„Cluster“ gruppiert:

1. Die Leichten Klopfenden (The Light Touchers): Eine Gruppe von Servern sendete meistens nur einen einzelnen „Ping“ (eine einfache Prüfung, ob das Gerät lebt) an die gefälschten Adressen. Sie waren neugierig, aber gruben nicht tief.
2. Die Schwergewichtigen (The Heavy Hitters): Die aktivste Gruppe, die die Forscher als Cluster 2 bezeichneten, war eine massive Operation. Sie nutzten 8 NTP-Server, um Adressen zu sammeln, starteten dann aber eine riesige Scanning-Kampagne unter Verwendung von über 3.000 verschiedenen IP-Adressen, um an Türen zu klopfen. Sie prüften nicht nur, ob die Tür offen war; sie probierten 572 verschiedene Arten von Schlössern (TCP-Ports) und 9 verschiedene Arten von Schlüsseln (UDP-Ports) aus. Sie suchten nach spezifischen Dingen wie Webservern, Fernsteuerungswerkzeugen und Datenbanken.
3. Die einsamen Wölfe (The Lone Wolves): Zwei andere Gruppen waren viel kleiner, mit jeweils nur einem Server, aber auch sie scannten. Einer sendete Pings, und der andere versuchte, einen spezifischen Android-Debugging-Port aufzurufen.

Den Forschern fiel etwas Interessantes bezüglich des Timings auf. Für die „Leichten Klopfenden“ dauerte es im Durchschnitt etwa 14 Stunden, bis sie nach dem Sehen einer neuen Adresse mit dem Scannen begannen. Die „Schwergewichtigen“ brauchten etwas länger, etwa 22 Stunden, aber sobald sie begannen, hörten sie nicht mehr auf. Einige dieser Scans dauerten über einen Monat an und prüften wiederholt dieselben Adressen.

Das „Warum“ und das „Wer“

Die Forscher verfolgten den Besitzer der größten Scanning-Gruppe (Cluster 2). Es stellte sich heraus, dass es sich um eine Cybersicherheits-Versicherungsfirma handelte. Als die Forscher die Firma fragten, war diese aufrichtig: Sie gaben zu, den NTP-Pool speziell dazu zu verwenden, aktive IPv6-Adressen zu ermitteln, um Back-Scanning zu betreiben. Sie behaupteten, dies aus „defensiven Zwecken“ zu tun, insbesondere um das Risiko für ihre Versicherungskunden zu berechnen. Sie argumentierten, dass das Wissen darüber, welche Geräte da draußen sind, ihnen hilft, die Bedrohungslage zu verstehen.

Die Forscher wiesen jedoch auf ein großes Problem hin: Die Menschen, deren Geräte gescannt wurden, wussten nicht, dass dies geschah. Die meisten dieser Geräte sind kleine, eingebettete Gadgets (wie intelligente Thermostate oder IoT-Sensoren), die einfach automatisch den NTP-Pool nach der Zeit fragen. Sie haben niemals zugestimmt, gescannt zu werden. Zudem nutzte die Scanning-Firma eine Mischung aus Cloud-Servern, die schwer zu identifizieren waren. Während die Firma zugab, dass etwa 40 % ihrer Scanning-Infrastruktur keine Identifikationsdatensätze (rDNS) aufwies, und behauptete, diese spezifischen Einträge korrigiert zu haben, fügte sie keine Identifikationsdatensätze zu ihren NTP-Servern hinzu. Zudem hosten weder ihre NTP-Server noch ihre Scanning-Server eine Webseite, die erklärt, wer sie sind oder wie man sich abmeldet (Opt-out), obwohl ein Redirect auf deren Domain einige Informationen bereitstellt.

Die Folgen

Diese Entdeckung verdeutlichte eine „Grauzone“ der Internetethik. Während es normalerweise kein Verbrechen ist, an eine Tür zu klopfen, um zu sehen, ob jemand zu Hause ist, ist es ethisch fragwürdig, dies heimlich durch einen Trick zu tun, um Adressen zu finden, die eigentlich verborgen bleiben sollten. Die Forscher wiesen nicht nur auf das Problem hin; sie begannen auch mit den NTP-Pool-Administratoren zusammenzuarbeiten, um es zu beheben.

Sie arbeiten derzeit an einem System, um ihre Erkennungsmethode direkt in das Scoring-System des NTP-Pools zu integrieren. Sollte ein freiwilliger Uhrenserver in Zukunft beim „Back-Scanning“ erwischt werden, wird das System seinen Score automatisch senken, was bedeutet, dass er weniger Traffic erhält und schließlich aus dem Pool fliegt. Die Forscher haben auch eine Liste der böswilligen Akteure an den NTP-Pool übermittelt, und die beteiligte Versicherungsfirma erklärte sich bereit, ihre Operationen transparenter zu gestalten, indem sie die fehlenden Identifikationsdatensätze auf ihren Scanning-Servern korrigiert; die NTP-Server selbst bleiben jedoch unidentifiziert.

Das Fazit

Dieses Papier zeigt, dass es selbst in einer Welt, in der das Finden von Geräten eigentlich schwierig sein sollte, Wege gibt, das System zu überlisten. Durch den Vertrauensvorschuss, den ein ehrenhafter Zeitdienst genießt, konnten einige Akteure eine Karte der unzugänglichsten Geräte des Internets erstellen. Die Studie legt nahe, dass diese Scans zwar für die Sicherheit oder Versicherung gedacht sein mögen, aber die Zustimmung der Gerätebesitzer umgehen. Die Lösung besteht nicht darin, den NTP-Pool abzuschalten, sondern ihn intelligenter zu machen, um sicherzustellen, dass die ehrenamtlichen Uhren genau das bleiben – Uhren – und keine geheimen Spione.