Anfrage zur Implementierung von RPKI und BGP-Sicherheit (AS3209)

[KlausKleb]

Sehr geehrtes Vodafone-Team,

ich bin Kunde Ihres Unternehmens und habe festgestellt, dass das von Ihnen betriebene autonome System (AS3209) derzeit keine vollständige RPKI-Validierung bei der Annahme von BGP-Routen durchführt. Laut öffentlich zugänglichen Tests (z. B. isbgpsafeyet.com) werden zwar gültige RPKI-Präfixe akzeptiert, jedoch auch ungültige Präfixe nicht abgelehnt, was ein erhebliches Sicherheitsrisiko darstellt.

Die fehlende Validierung von RPKI kann dazu führen, dass manipulierte oder fehlkonfigurierte Routen akzeptiert werden. Das birgt unter anderem folgende Risiken:

• Umleitung von Internetverkehr (BGP Hijacking)

• mögliche Überwachung oder Datenverlust

• verminderte Netzstabilität und Performance

Ich möchte Sie daher bitten, mir mitzuteilen:

1. Ob Vodafone plant, vollständige RPKI-Validierung (Reject policy) zu implementieren.

2. Falls ja, wann mit der Umsetzung zu rechnen ist.

3. Falls nein, warum auf diese wichtige Sicherheitsmaßnahme verzichtet wird.

Für eine Rückmeldung und eine Stellungnahme zu diesem Thema wäre ich Ihnen sehr dankbar.

[reneromann]

Und du erhoffst dir in einem reinen Kunden-helfen-Kunden-Forum darauf wirklich eine Antwort?

Mal davon abgesehen, das BGP bei Endkundenanschlüssen immer deaktiviert ist -- und dort, wo BGP zum Einsatz kommt, du auch entsprechende Ansprechpartner hättest, bei denen du nachfragen könntest.

[KlausKleb]

Dass man entsprechende Ansprechpartner hätte, wäre ja schön aber die Realität sieht leider anders aus: Man erreicht niemanden wirklich. Es gibt keine einfache E-Mail-Adresse, die man nutzen könnte, die Kontaktformulare auf der Website lassen sich nicht absenden (es kommt ständig eine Fehlermeldung, ich würde angeblich irgendetwas blockieren), der Chat wird von einer KI betrieben, die nur Standardantworten gibt und wenn man telefonisch jemanden erreicht, wird man direkt weitergeleitet oder bekommt ein "Wir melden uns" zu hören, aber es kommt nie eine Rückmeldung.

Deshalb: Nein, man hat eben keine funktionierenden Ansprechpartner und ob man so eine Frage hier im Forum stellt oder irgendwo anders, ist am Ende egal, weil es schlichtweg keine andere Möglichkeit gibt.

[KlausKleb]

Wenn das wirklich nur "höher gelagert" und für Endkunden komplett irrelevant wäre wozu dann überhaupt der Sicherheitstest? Und warum gibt es Warnmeldungen, dass BGP nicht sicher konfiguriert sei? Offenbar besteht ja doch ein gewisses Risiko, sonst gäbe es keinen Anlass für so eine Prüfung oder Warnung.

[KlausKleb]

Ein „nicht safe“-Ergebnis im ISBGPSafe-Test zeigt eher ein Problem im Netz des Providers oder dessen Peering-Partnern. Es zeigt, dass der Provider seine Netzwerkinfrastruktur besser absichern sollte. Eine unsichere BGP-Konfiguration kann indirekt Auswirkungen haben, z. B. durch:

• Routing-Umleitungen (Traffic hijacking)

• Paketverlust oder langsame Verbindungen

• Im schlimmsten Fall Angriffe wie BGP Hijacking, die deine Verbindung beeinträchtigen können.

[reneromann · Accepted solution]

---

@KlausKleb  schrieb:

Wenn das wirklich nur "höher gelagert" und für Endkunden komplett irrelevant wäre wozu dann überhaupt der Sicherheitstest? Und warum gibt es Warnmeldungen, dass BGP nicht sicher konfiguriert sei? Offenbar besteht ja doch ein gewisses Risiko, sonst gäbe es keinen Anlass für so eine Prüfung oder Warnung.

---

Weil es auch IT-Administratoren auf höheren Ebenen gibt, die damit ihre Netze absichern...

Das hat aber nichts mit Endkundenanschlüssen zu tun.

Und wenn du keinen Business-Ansprechpartner hast, dann wirst du höchstwahrscheinlich nicht mit BGP in Berührung kommen -- und die KI-generierten Posts, die nur zeigen, dass du keine Ahnung davon hast, helfen da auch nicht weiter.

Wie gesagt: BGP ist für Endkundenanschlüsse -egal ob in Business- oder in Privatkundentarifen- deaktiviert. Du kannst das Routing von Vodafone nicht beeinflussen - und diejenigen, die mit Vodafone per BGP über Routing sprechen, machen dies nicht über den "normalen" Endkundensupport, sondern haben dafür spezielle Ansprechpartner bei Vodafone in der Netzinfrastruktur.

Daher wirst du auch vom "normalen" Endkundensupport keinerlei Antwort erhalten - weil die damit nichts zu tun haben.

[KlausKleb]

Mir ist bewusst, dass BGP auf Endkundenanschlüssen nicht direkt genutzt wird. Es geht mir auch nicht darum, als Endkunde aktiv BGP zu betreiben, sondern um die Sicherheit auf Seiten des Netzbetreibers, also Vodafone in diesem Fall.

Gerade weil Endkunden keinen Einfluss auf das Routing haben, ist es umso wichtiger, dass der Betreiber selbst seine Routing-Policies – z. B. durch RPKI mit Reject-Policy ordentlich absichert, um potenzielle Angriffe wie BGP Hijacking zu vermeiden. Solche Angriffe treffen nämlich nicht nur Peering-Partner, sondern können auch indirekt Kunden betreffen, z. B. durch:

• Traffic-Umleitungen (z. B. über unsichere oder staatlich kontrollierte Netze)

• Verbindungsabbrüche

• Performanceprobleme oder

• sogar Datenverluste.

Meine Anfrage bezieht sich also explizit auf die Netzarchitektur von Vodafone selbst und zwar auf der Ebene, auf der BGP betrieben wird. Dass ich als Endkunde keinen direkten Ansprechpartner finde, ist genau das Problem. Die üblichen Wege (Kontaktformular, Hotline, Chatbot) haben bisher keine zielführende Reaktion gebracht, daher auch der Weg über dieses Forum.

Die Frage ist daher ganz einfach:
Wird Vodafone in absehbarer Zeit eine vollständige RPKI-Validierung mit Reject implementieren ja oder nein?
Und wenn nein warum nicht, obwohl alle Best-Practice-Empfehlungen (z. B. von RIPE, MANRS etc.) seit Jahren genau dazu raten?

Dass BGP nicht „neu“ ist, ist mir klar. Laut bgp.tools ist AS3209 bereits seit 23 Jahren aktiv was nicht unbedingt für eine modernisierte Sicherheitsarchitektur spricht, wenn bis heute keine Reject-Policy existiert.

Insofern: Auch wenn das Forum eigentlich nicht für solche Themen gedacht ist

[reneromann]

Lass es einfach mit den ChatGPT-Antworten.

Du zeigst nur, dass du davon keine Ahnung hast -- und dir wird hier, aufgrund deiner Ahnungslosigkeit, niemand fachliche Antworten geben, weil du die sowieso nicht verstehen würdest.

[RED_DUSTin]

Die Lösung wurde von @reneromann sehr gut erklärt. Von daher mache ich an der Stelle jetzt zu.

Liebe Grüße

RED_DUSTin