Stel je het internet voor als een enorme, bruisende stad waar elk apparaat een uniek adres heeft, zoals een huisnummer. In de oudere versie van deze stad (IPv4) waren de straten druk, en was het makkelijk voor iemand om door elke blok te lopen, aan elke deur te kloppen en te zien wie er thuis was. Maar in de nieuwe, enorme uitbreiding van de stad (IPv6) zijn de straten zo lang en de huisnummers zo willekeurig en constant veranderend dat het bijna onmogelijk is om iemand te vinden door simpelweg te gokken. Je zou een kaart nodig hebben die elke seconde wordt bijgewerkt.

Om hun klokken synchroon te houden, vragen de meeste apparaten in deze stad niet gewoon de tijd, maar vragen ze het aan een centrale tijdhouder genaamd de NTP Pool. Denk aan de NTP Pool als een enorme, door vrijwilligers gerunde klokkentoren waar iedereen een klok kan neerzetten en de tijd aan de buurt kan aanbieden. Omdat het zo populair is, vragen miljoenen apparaten elke dag deze klokken om de tijd. Het nadeel? Wanneer een apparaat om de tijd vraagt, moet het zijn "huisnummer" (zijn IP-adres) laten zien, zodat de klok weet waar hij het antwoord naartoe moet sturen. Deze paper onderzoekt een sluwe truc waarbij sommige mensen deze vrijwillige klokken niet alleen gebruiken om de tijd aan te geven, maar ook om stiekem de huisnummers van iedereen die langs komt op te schrijven, en die lijst vervolgens te gebruiken om aan te kloppen bij deuren die ze anders niet hadden gevonden.

De Klokkentoren-overval

In dit onderzoek besloten de onderzoekers Erik Rye en Robert Beverly een vreemd fenomeen te onderzoeken dat zij "back-scanning" noemden. Ze vermoedden dat sommige van de vrijwillige klokken in de NTP Pool als spionnen optraden. Zo werkt de truc: een apparaat vraagt een klok om de tijd. De klok ziet het adres van het apparaat, schrijft het op, en in plaats van alleen de tijd terug te sturen, begint probes naar dat adres te sturen om te zien welke services daar draaien. Het is als een vriendelijke bakker die, nadat je om de tijd vraagt, stiekem begint te controleren of jouw huis een vergrendelde deur, een beveiligingscamera of een verborgen kluis heeft, enkel en alleen omdat je zijn winkel bent binnengekomen.

Om deze spionnen te vangen, zetten de onderzoekers een slimme val op. Ze creëerden een speciale "prober"-computer die duizenden verzoeken naar de NTP Pool-klokken stuurde. Maar hier is de magie: elk verzoek kwam van een nieuw, nep, eenmalig huisnummer (een "nonce"). Deze nummers waren willekeurig en werden nooit meer gebruikt. De onderzoekers wachtten vervolgens af om te zien of er iemand aan de deur zou kloppen van deze nep-huizen.

Als een klok gewoon zijn werk deed, zou hij de tijd beantwoorden en het nep-huisnummer vergeten. Maar als een klok een spion was, zou hij dat nep-nummer opschrijven en later een probe naar dat nummer sturen. Omdat het nep-huis eigenlijk niet bestond, was de enige manier waarop een probe dat huis kon bereiken, dat de klok (of iemand die met de klok verbonden is) het nummer had opgeslagen en er actief naar op zoek was.

Wat ze vonden

Gedurende een jaar stuurden de onderzoekers ongeveer 2,45 miljoen van deze nep-verzoeken naar 2.335 verschillende NTP-servers. Ze ontdekten dat 22 van die servers inderdaad als spionnen optraden. Deze 22 servers waren gegroepeerd in vier duidelijke "clusters" van gedrag:

1. De Lichtaanrakers: Eén groep servers stuurde voornamelijk een enkele "ping" (een basiscontrole om te zien of het apparaat leeft) naar de nep-adressen. Ze waren nieuwsgierig, maar gingen niet diep de diepte in.
2. De Zwaargewichten: De meest actieve groep, die de onderzoekers Cluster 2 noemden, was een massale operatie. Ze gebruikten 8 NTP-servers om adressen te verzamelen, maar lanceerden vervolgens een enorme scan-campagne met meer dan 3.000 verschillende IP-adressen om aan de deuren te kloppen. Ze controleerden niet alleen of de deur open stond; ze probeerden 572 verschillende soorten sloten (TCP-poorten) en 9 verschillende soorten sleutels (UDP-poorten). Ze zochten naar specifieke zaken zoals webservers, afstandsbedieningstools en databases.
3. De Eenzame Wolven: Twee andere groepen waren veel kleiner, met slechts één server per groep, maar ze scanden nog steeds. De een stuurde pings, en de ander probeerde toegang te krijgen tot een specificieke Android-debug-poort.

De onderzoekers merkten iets interessants op over de timing. Voor de "Lichtaanrakers" duurde het gemiddeld 14 uur voordat ze begonnen met scannen nadat ze een nieuw adres hadden gezien. De "Zwaargewichten" deden er iets langer over, ongeveer 22 uur, maar zodra ze begonnen, stopten ze niet meer. Sommige van deze scans gingen meer dan een maand door, waarbij dezelfde adressen herhaaldelijk werden gecontroleerd.

Het "Waarom" en de "Wie"

De onderzoekers spoorden de eigenaar op van de grootste scangroep (Cluster 2). Het bleek een cybersecurity-verzekeringsfirma te zijn. Toen de onderzoekers hen er naar vroegen, waren ze eerlijk: ze gaven toe dat ze de NTP Pool specifiek gebruikten om actieve IPv6-adressen te achterhalen met het oog op "back-scanning". Ze beweerden dat ze dit deden voor "defensieve doeleinden", specifiek om het risico voor hun verzekeringsklanten te berekenen. Ze voerden aan dat weten welke apparaten er zijn, hels bij het begrijpen van het dreigingslandschap.

De onderzoekers wezen echter op een groot probleem: de mensen van wie de apparaten werden gescand, wisten niet dat dit gebeurde. De meeste van deze apparaten zijn kleine, ingebedde gadgets (zoals slimme thermostaten of IoT-sensoren) die automatisch de NTP Pool om de tijd vragen. Ze hebben nooit ingestemd om gescand te worden. Bovendien gebruikte de scannende firma een mix van cloudservers die moeilijk te identificeren waren. Hoewel de firma toegaf dat ongeveer 40% van hun scanning-infrastructuur geen identificatiegegevens (rDNS) miste en beweerde dat ze die specifieke vermeldingen hadden gecorrigeerd, voegden ze geen identificatiegegevens toe aan hun NTP-servers. Daarnaast hosten noch hun NTP-servers, noch hun scanning-servers een webpagina om uit te leggen wie ze zijn of hoe men zich kan afmelden, hoewel een redirect op hun domein wel wat informatie biedt.

De Nasleep

Deze ontdekking bracht een "grijs gebied" in de internetethiek aan het licht. Hoewel aan de deur kloppen om te zien of er iemand thuis is meestal geen misdaad is, is het ethisch twijfelachtig om dit stiekem te doen via een truc om adressen te vinden die bedoeld waren om verborgen te blijven. De onderzoekers wezen niet alleen op het probleem; ze begonnen ook samen te werken met de beheerders van de NTP Pool om het op te lossen.

Ze bouwen momenteel een systeem om hun detectiemethode direct te integreren in het scoringssysteem van de NTP Pool. In de toekomst, als een vrijwillige klokserver wordt betrapt op "back-scanning", zal het systeem automatisch de score verlagen, wat betekent dat de server minder verkeer krijgt en uiteindelijk uit de pool wordt gezet. De onderzoekers hebben ook een lijst met de slechte actoren gedeeld met de NTP Pool, en de betrokken verzekeringsfirma stemde ermee in om hun operaties transparanter te maken door de ontbrekende identificatiegegevens op hun scanning-servers te corrigeren, hoewel de NTP-servers zelf onbekend blijven.

De Les

Deze paper laat zien dat zelfs in een wereld waar het vinden van apparaten moeilijk zou moeten zijn, er slimme manieren zijn om het systeem te omzeilen. Door het vertrouwen te gebruiken dat in een vrijwillige tijdhoudingsdienst wordt gesteld, waren sommige entiteiten in staat om een kaart te maken van de meest ongrijpbare apparaten op het internet. De studie suggereert dat hoewel deze scans misschien bedoeld zijn voor veiligheid of verzekeringen, ze de toestemming van de apparaateigenaren omzeilen. De oplossing is niet om de NTP Pool af te sluiten, maar om hem slimmer te maken, zodat de vrijwillige klokken ook echt gewoon klokken blijven — en geen geheime spionnen.