Onze 8 belangrijkste inzichten van 2021

Inzichtenoverzicht

Hieronder vind je een overzicht van onze 8 belangrijkste inzichten van 2021, in willekeurige volgorde. Lees natuurlijk bij voorkeur het hele verhaal, of klik op een of meer van de volgende links:

1. Duidelijke richtlijnen voor DNS-lussen helpen DDoS-aanvallen voorkomen;

2. Ook tijdservices lijken te centraliseren;

3. Wetenschappelijk onderzoek kun je combineren met operationele impact;

4. Realistische simulaties zijn een waardevolle tussenstap naar productie;

5. Hoe we op grote schaal malafide websites kunnen vinden met logodetectie;

6. DNS-data kan helpen om datalekken in 6,2 miljoen domeinnamen te voorkomen;

7. Er is toenemende tractie voor onderzoek naar het internet van de toekomst;

8. Soms moet je een project aan de community overdragen.

Ook kun je doorklikken naar onze plannen voor 2022.

Inzicht #1: duidelijke richtlijnen voor DNS-lussen helpen DDoS-aanvallen voorkomen

Een inzicht in 2021 was dat duidelijke richtlijnen in RFC’s voor het afhandelen van zogenaamde ‘DNS-lussen’ door DNS-resolvers helpen om securityincidenten te voorkomen. Dit leerden we naar aanleiding van tsuNAME, de naam die we gaven aan een kwetsbaarheid die voorkomt in sommige DNS-resolvers en die DDoS-aanvallen kan veroorzaken als 2 (of meer) DNS-records naar elkaar verwijzen. Door de kwetsbaarheid blijven deze DNS-resolvers namelijk query’s van clients, stubs en forwarders voor 1 van beide domeinnamen een aantal keer herhalen, totdat ze de lus ontdekken. Hierdoor sturen ze voor iedere query die ze ontvangen een veelvoud aan query’s naar ‘upstream’ autoritatieve servers. Kwaadwillenden kunnen op deze manier eenvoudig grote DDoS-aanvallen lanceren tegen DNS-operators zoals SIDN door 2 naar elkaar verwijzende DNS-records aan te maken en veel verkeer naar een kwetsbare resolver te sturen. We ontdekten tsuNAME in december 2020 toen we een grote hoeveelheid DNS-verkeer van Google Public DNS te verwerken kregen op de nameservers van .nl. De ccTLD van Nieuw-Zeeland (.nz) observeerde 50% meer DNS-query’s als gevolg van dit fenomeen en een andere ccTLD uit de EU zag zelfs een 10-voudige toename. Ons onderzoek maakte duidelijk dat wereldwijd 3.600 resolvers (8.9% van het totaal van ongeveer 41.400 die we hebben gezien) verspreid over 2.652 Autonomous Systems gevoelig waren voor dit probleem. Om het probleem in de toekomst te voorkomen, schreven we een Internet Draft en legden die voor aan de DNS Operations Working Group. Hierin stellen we voor dat resolvers query’s voor domeinnamen met lussen uit hun cache beantwoorden en niet doorsturen naar autoritatieve servers. Ons voorstel is een aanvulling op de richtlijnen voor DNS-lussen in RFC’s 1034, 1035 en 1536. Meer details in ons recente blog hierover. Om de community te waarschuwen voor tsuNAME voerden we ook een responsible disclosure uit (figuur 1). Het was de eerste keer dat we dit proces coördineerden en doorliepen en we leerden bijvoorbeeld dat sommigen blij waren met onze informatie (bijv. TLD-operators die met de gevolgen van tsuNAME te maken hadden gehad) terwijl anderen het zagen als bangmakerij (“fear mongering”).

Figuur 1. Tijdlijn van de responsible disclosure van tsuNAME.

Het belangrijkste voor ons was dat we met de responsible disclosure, providers zoals Cisco en Google en leveranciers van DNS-resolversoftware hielpen het probleem te fixen. Hierdoor werd het internet weer wat veiliger. Ook zijn we blij dat we met onze metingen en analyses hebben kunnen bijdragen aan de kennis over DNS-lussen en de mogelijke gevolgen ervan, wat nog niet eerder gebeurde.

Inzicht #2: ook tijdservices lijken te centraliseren

In 2021 startten we met metingen aan de ‘NTP-pool’, een wereldwijde infrastructuur van meer dan 4.000 tijdservers. De reden is dat er nog maar weinig onderzoek is gedaan naar hoe de NTP-pool werkt en hoe afhankelijk we ervan zijn. Dit ondanks het belang van tijdservices, voor bijvoorbeeld het maken en verifiëren van digitale certificaten, tijd-gebaseerde inlogtoepassingen zoals OAuth en voor bijvoorbeeld DNSSEC. Ons inzicht is dat tijdservices voor sommige landen lijken te centraliseren. Onze metingen lieten namelijk zien dat 23 landen bediend worden door slechts één enkele timeprovider: Cloudflare. Eerder lieten we al zien dat dit soort centralisatie ook in andere delen van de internetinfrastructuur optreedt, zoals in het DNS, bij IXP leveranciers en bij certificate authorities. Een enkele timeprovider vormt mogelijk ook een single point of failure, hoewel dit afhangt van de setup van de timeprovider (bijv. Cloudflare). De timeprovider zou bijvoorbeeld 1 anycast IP-adres kunnen gebruiken voor zijn NTP-servers, waardoor de beschikbaarheids- en precisie-monitor van de NTP-pool in de VS alleen zicht heeft op storingen bij NTP-servers ‘in de buurt’ en niet in andere delen van de wereld. Wij gebruiken ook anycast voor onze eigen tijdservice TimeNL (any.time.nl) en in 2021 voegden we deze service toe aan de NTP-pool (figuur 2). Achter any.time.nl bevinden zich 28 virtuele tijdservers verspreid over de hele wereld, waardoor het gebruik van TimeNL groeide tot ruim boven de 100.000 NTP-verzoeken per seconde, waarvan zo’n 10% uit Nederland. Dat is meer dan het aantal DNS-verzoeken dat SIDN verwerkt voor .nl en benadrukt hoe belangrijk tijdservices zijn.

Figuur 2. 3 van de 9 NTP-servers van TimeNL in de NTP-pool. Any.time.nl is een anycast-server waar weer 28 nodes achter zitten.

Inzicht #3: wetenschappelijk onderzoek kun je combineren met operationele impact

Collega Moritz Müller promoveerde in september cum laude aan de Universiteit Twente op zijn proefschrift ‘Making DNSSEC Future Proof’. Moritz onderzocht de afgelopen 4 jaar wat DNS-operators nodig hebben aan inzichten en tools om met vertrouwen key- en algoritme rollovers voor DNSSEC uit te voeren. Dat is een belangrijke voorwaarde om het DNS ook in de toekomst veilig te houden, bijvoorbeeld als kwantumcomputers hun intrede gaan doen en het hele DNS om moet schakelen naar algoritmes die ‘quantum-safe’ zijn. Ons inzicht op basis van Moritz’ werk is dat wetenschappelijk werk prima samen kan gaan met operationele impact op het DNS. Moritz’ werk kreeg namelijk niet alleen aandacht in wetenschappelijke kring (hij publiceerde 5 artikelen op internationaal hoogstaande conferenties), maar ook in de operationele gemeenschap. Zo gebruikten de operators van .br (Brazilië), .se (Zweden) en .dk (Denemarken) de meettools die hij ontwikkelde om hun DNSSEC key- en algoritme-rollovers uit te voeren. Dit is een unieke combinatie van wetenschap en praktijk en werd mede mogelijk door de rol die SIDN Labs en SIDN spelen in de wereldwijde DNS-community. Moritz voerde zijn onderzoek uit samen met SIDN Labs-collega’s en partners zoals de Universiteit Twente, NLnet Labs en Virginia Tech.

Inzicht #4: realistische simulaties zijn een waardevolle tussenstap naar productie

Het belangrijkste inzicht bij ons werk aan het DDoS-clearinghouse was dat een realistische simulatie (TRL6) een waardevolle tussenstap is naar een pilot (TRL7) of productiedienst (TRL 8/9). Hier hadden we nog geen ervaring mee, omdat we hiervoor van een prototype direct doorgingen naar een pilot (bijv. LEMMINGS) of een productiedienst (bijv. DMAP). Het DDoS-clearinghouse is een systeem dat slachtoffers van een DDoS-aanval in staat stelt geautomatiseerd een ‘fingerprint’ van de aanval naar potentiële slachtoffers te sturen, bijvoorbeeld van een bank naar ISP’s en overheden. Die laatsten weten dan alvast hoe de aanval eruitziet en kunnen hun netwerken hierop aanpassen voor het geval zij het volgende slachtoffer zijn. We ontwikkelden het clearinghouse in het kader van het CONCORDIA-project, samen met onderzoekers van SURF, Universiteit Twente, Universiteit Zürich, FORTH, Telecom Italia en Siemens. We gaan het testen in de Nederlandse Anti-DDoS Coalitie (NL-ADC), die ook de uiteindelijke gebruiker ervan is. We ontwikkelden de simulatie om het DDoS-clearinghouse uitgebreid te kunnen testen in een realistische omgeving, zonder dat de deelnemende partijen daarvoor een datasharing-overeenkomst af hoeven te sluiten (de IP-adressen in een fingerprint zijn persoonsgegevens) of hun productienetwerken op het clearinghouse hoeven aan te sluiten. Dit is belangrijk, omdat we eerder leerden dat deze processen veel tijd kosten, in de orde van maanden. Ze zijn cruciaal voor een productieversie van het clearinghouse (TRL8-9), maar ze kunnen de ontwikkeling en evaluatie ervan flink vertragen. Voor onze simulatie ontwikkelden we een testbed met componenten verspreid over het internet en de deelnemende organisaties (op dit moment SIDN, SURF en FORTH). Iedere deelnemer kan hiermee testverkeer vanaf het internet naar zichzelf sturen, waarna het clearinghouse een fingerprint genereert van dit ‘DDoS-verkeer’ en die doorstuurt naar de andere testbeddeelnemers. Het testverkeer genereren we vanaf 5 verschillende Virtuele Machines (VM’s) die draaien bij een cloudprovider en over de hele wereld zijn verspreid. De IP-adressen van de VM’s zijn geen persoonsgegevens, omdat we weten dat er geen natuurlijke personen achter zitten. We ontwikkelden het testbed in het kader van het CONCORDIA-project samen met collega’s van SURF (figuur 3).

Start video

Figuur 3. Thijs (SIDN Labs) en Remco (SURF) bespreken het DDoS-clearinghousetestbed.

Het testbed speelt als testomgeving ook een belangrijke rol als voorbereiding voor de productieversie van het DDoS-clearinghouse. Die kwam dit jaar ook dichterbij, omdat de partners in de NL-ADC zich committeerden zich aan een jaarlijkse financiële investering. Daarnaast verwierf het initiatief een subsidie van 200K van het Digital Trust Center om het clearinghouse door te ontwikkelen en zette de Europese Commissie het clearinghouse op hun innovatieradar.

Inzicht #5: hoe we op grote schaal malafide websites kunnen vinden met logodetectie

In 2020 startten we met onderzoek naar het herkennen van malafide .nl-websites (bijv. phishingsites of nepwebwinkels) die misbruik maken van gezaghebbende logo’s om onterecht vertrouwen te wekken bij gebruikers. Ons belangrijkste inzicht van 2021 is dat we nu ook weten met welke methode we dit op grote schaal kunnen realiseren. Hiervoor ontwikkelden we LogoMotive, een systeem dat dynamisch een dataset samenstelt met schermafbeeldingen van alle 6,2 miljoen .nl-domeinnamen en daar het populaire YOLO-algoritme (You Only Look Once) op toepast om een logo in de website-afbeeldingen te vinden. LogoMotive geeft anti-abuse-analisten ook inzicht in het misbruik van logo’s via een dashboard. We evalueerden onze methode in 2 pilots, een met de Rijksoverheid (figuur 4) en een met Thuiswinkel Waarborg. We zagen dat het opsporen van logomisbruik in de praktijk bijdraagt aan het proactief opsporen van narigheid en een goede aanvulling is op bestaande systemen zoals abusefeeds.

Figuur 4. Voorbeeld van een phishingwebsite waarop de loginpagina van DigiD is nagemaakt.

In de pilot met de Rijksoverheid vond LogoMotive enkele phishingsites. Sommigen toonden een namaak-DigiD-inlogpagina, terwijl anderen zich richtten op een specifieke afdeling van de overheid. Ook ontdekten we een paar honderd overheidsdomeinnamen waarvan de overheid het bestaan niet kende, bijvoorbeeld omdat er verkeerde houdergegevens gebruikt werden. Onbekende domeinnamen zijn een risico, omdat de overheid die domeinnamen niet monitort op de correcte implementatie van (veiligheid)standaarden of op mogelijke datalekken als gevolg van het opheffen van een domeinnaam (zie Inzicht #6). Onze pilot met Thuiswinkel Waarborg leverde tot nu toe 151 domeinnamen die het Thuiswinkel-keurmerk ten onrechte voeren op hun website en mogelijke nepwebwinkels zijn die consumenten misleiden. Thuiswinkel Waarborg heeft de eigenaren van deze webwinkels allemaal aangeschreven met het verzoek het misleidende logo te verwijderen. Op deze manier wordt de .nl-zone weer een stuk ‘schoner’. LogoMotive integreren we volgend jaar in SIDN Merkbewaking. We gaan daarnaast een peer-reviewed paper publiceren over de pilots en stellen de broncode ter beschikking aan andere TLD-beheerders en wetenschappers. Zo willen we hen helpen malafide domeinnamen te vinden en de technieken daarvoor verder te verbeteren. Ook gaan we aan de slag met onze onderzoeksagenda voor machine learning die we dit jaar mede op basis van LogoMotive ontwikkelden.

Inzicht #6: DNS-data kan helpen om datalekken in 6,2 miljoen domeinnamen te voorkomen

Inzicht nummer 6 is dat de DNS-data die we verwerken op de nameservers van .nl ook nuttig is om datalekken te helpen voorkomen. Dit soort datalekken kan ontstaan als een .nl-domeinnaam van eigenaar wisselt en de nieuwe eigenaar daarna nog e-mails ontvangt die voor de vorige houder bestemd zijn. Dit gebeurde bijvoorbeeld al eens bij de politie en bij Bureau Jeugdzorg, waarbij de oude houder de domeinnaam had laten verlopen en een nieuwe het registreerde om de e-mail voor de vorige houder op te vangen. Mogelijke datalekken kunnen we detecteren op basis van de mail-query’s (MX-query’s) die we nog ontvangen voor opgeheven domeinnamen op de nameservers van .nl. Hiervoor ontwikkelden we in 2021 LEMMINGS, een prototype dat dit soort situaties automatisch probeert te herkennen in de ±2 miljard DNS-verzoeken die we per dag verwerken en opslaan in ENTRADA. Het waarschuwt dan de voormalige houder dat er vermoedelijk nog e-mail binnenkomt op .nl-domeinnamen die ze hebben opgeheven. De toegevoegde waarde en operationele impact van LEMMINGS toetsten we in 2 pilots met registrars Argeweb en OpenProvider. We leerden dat hun gezamenlijk portfolio van 750.000 .nl-domeinnamen (12% van heel .nl) 870 LEMMINGS-meldingen opleverden in 4 maanden tijd, zonder dat dat resulteerde in veel vragen van houders bij de 2 registrars of bij SIDN Support. Dit laatste is vooral belangrijk voor grotere registrars, omdat veel vragen grote drukte en hogere kosten bij hun supportdesk zou veroorzaken.

De teksten voor de waarschuwingsmails en de SIDN-site schreven we samen met de afdelingen Communicatie, Legal en Support. Daarnaast legden we de tekst voor aan het nieuwe SIDN Panel voor feedback van domeinnaamhouders. In 2022 willen we LEMMINGS aanbieden aan alle .nl-registrars zodat we alle domeinnamen in de .nl-zone ermee kunnen beschermen. Daarnaast verkennen we hoe we samen met de registrars door de overheid aangewezen sectorspecifieke CERT's (bijv. voor de zorg) kunnen helpen met LEMMINGS-meldingen.

Inzicht #7: er is toenemende tractie voor onderzoek naar het internet van de toekomst

2021 was het jaar waarin we merkten dat er meer tractie is ontstaan voor onderzoek naar de internetinfrastructuur van de toekomst. Dat is goed nieuws voor 2STiC, het onderzoeksprogramma naar de veiligheid, stabiliteit en transparantie van het internet dat we begin 2019 opzetten samen met 3 universiteiten en 5 internetoperators. Zo kende NWO het project CATRIN in april met 1,9 miljoen euro toe om vanuit Nederland een start te maken met het Responsible Internet, een security-by-design uitbreiding van het internet (of toekomstige netwerken) dat we in 2020 bedachten samen met onze 2STiC-partners. Het heeft als doel de internetinfrastructuur transparanter te maken en gebruikers er meer grip op te geven. Dit draagt daarmee bij aan het verhogen van de digitale autonomie van individuen, organisaties en samenlevingen, wat een urgent maatschappelijk probleem is. Met CATRIN kunnen de universiteiten in het project (Universiteit Twente, Technische Universiteit Eindhoven, Universiteit van Amsterdam en Technische Universiteit Delft) in totaal 7 PhD-studenten aanstellen, waarmee de onderzoeksgemeenschap in Nederland groeit naar 9 PhD-studenten (2 studenten waren al actief in het UPIN-project). Daarbij komen nog hun begeleiders en de experts van de industriepartijen (Waag Society, NLnet Labs, Universiteit Leiden, SIDN, KPN, TRIMM en SURF). De resultaten van CATRIN worden publiek beschikbaar. Een andere indicator is dat de Cyber Security Raad het Responsbile Internet noemde als een manier waar Nederland de komende jaren op in zou moeten zetten om de veiligheid van digitale communicatienetwerken te verhogen. Ook is het een van de concepten die genoemd wordt in het manifest dat wetenschappers schreven over de toekomst van onderzoek op het gebied van computersystemen en -netwerken in Nederland. Tot slot publiceerde nTNO, 3 mobiele operators en de 3 universiteiten het position paper ‘Future Network Services’, dat het vakgebied van vertrouwde open programmeerbare netwerken als doorbraakgebied aanmerkt en zo de relevantie van 2STiC onderstreept. Ook op wetenschappelijk gebied zagen we interesse. Zo waren we medeorganisator van de TAURIN-workshop, waar 20 experts hun lopende werk presenteerden en bespraken. Ook publiceerden we een peer-reviewed artikel op de CoNEXT-conferentie, waarin we onze P4-implementatie van SCION bespraken. SCION zien wij hierbij als een van de mogelijke mechanismes om het Responsbile Internet mee te realiseren, naast open programmeerbare netwerkapparatuur. Voor het vak Advanced Networking aan de Universiteit Twente ontwikkelden we een goed ontvangen interactieve oefening voor studenten om te ervaren hoe een SCION-internet meer controle biedt over netwerkpaden.

Inzicht #8: soms moet je een project aan de community overdragen

Ons laatste inzicht is dat je soms projecten over moet dragen aan de internetgemeenschap. Dat deden we dit jaar voor het eerst voor SPIN, ons opensourcesysteem voor thuisnetwerken en andere ‘edge’-netwerken. SPIN heeft als doel DNS-operators en andere serviceproviders te beschermen tegen DDoS-aanvallen vanaf gehackte IoT-apparaten (zoals de Mirai-aanval op DNS-operator Dyn in 20216) en gebruikers meer inzicht te geven in de services waar hun IoT-apparaten mee praten. We namen het besluit na de release van SPIN 1.0 in oktober, zodat we ons volgend jaar meer kunnen gaan richten op de internetinfrastructuur van de toekomst en op domeinnaamsecurity. Het was een lastig besluit omdat we IoT-transparantie bijvoorbeeld nog steeds als een open probleem zien, maar als relatief klein team moeten we ook keuzes maken. We blijven support leveren op SPIN, voor bijvoorbeeld studenten en onderwijsdoeleinden. Voor versie 1.0 voegden we nieuwe features toe zoals de ‘bridge mode’, waarbij SPIN op een bridge draait in plaats van op een router. Zo kun je SPIN in gebruik nemen zonder apparaten te hoeven her-configureren. Ook verbeterden we de manier waarop SPIN visualiseert met welke services op het internet een IoT-apparaat communiceert. We zetten ook een Mirai-honeypot op, nog voordat Mirai weer actueel werd als gevolg van Log4J.

Tot slot ontwikkelden we een eerste prototype van DNS Resolution Required, een methode die we bedachten om IoT- en andere apparaten beter te beschermen tegen botnets en malware die DNS-beschermingen omzeilen.

Onze plannen voor 2022

In 2022 blijven we doen waar we goed in zijn: het vergroten van onze bijdrage aan internetsecurity door grootschalige internetmetingen en het ontwikkelen van generieke meetmethodes en systemen, toegepast voor specifieke use cases, bijvoorbeeld bij SIDN. Ons werk blijft zich concentreren op het verhogen van de security van de kernsystemen van het internet. Daarnaast verhogen we ten opzichte van 2021 onze inzet op de internetinfrastructuur van de toekomst en domeinnaamsecurity. Ook versterken we de samenwerking met SIDN fonds. Bijvoorbeeld door partijen bij elkaar te brengen rond een specifiek thema, zoals het meten van het cybersecurityniveau van het internet in Nederland. Ten slotte zetten we een klankbordgroep op van experts uit de wetenschap en de industrie om ons van extra feedback op ons werk te voorzien.

Specifieke resultaten die we in 2022 in ieder geval willen opleveren zijn:

• Metingen om de security en evolutie verder in te kaart brengen, bijvoorbeeld in termen van centralisatie, kwetsbaarheden en impact DNS-over-QUIC op .nl.

• Een pilot met het DDoS-clearinghouse als onderdeel van de Nederlandse Anti-DDoS Coalitie; een ‘cookbook’ voor andere coalities; transitie naar productie bij NBIP.

• Een abuse-detectie pilot met andere DNS-operators waarbij we o.b.v. federated learning een gezamenlijk ML-model ontwikkelen voor de detectie van phishingsites.

• Integratie van LogoMotive in SIDN Merkbewaking, om internetgebruikers beter te beschermen tegen malafide sites en Merkbewaking-gebruikers hun merk beter te kunnen laten beschermen.

• Een aantrekkelijke demonstrator van een transparantere netwerkinfrastructuur (routers en paden), bijvoorbeeld om nieuwe pilotpartners te vinden.

• Een internationale workshop op het gebied van een responsible internetinfrastructuur, bijv. bij het Lorentz Center, Dagstuhl of TAURIN2022.

Met dank aan

De ontwikkeling van het DDoS-clearinghouse is medegefinancierd door het onderzoeks- en innovatieprogramma Horizon 2020 van de Europese Unie in het kader van subsidieovereenkomst nr. 830927. Projectwebsite: https://www.concordia-h2020.eu/. De projecten UPIN en CATRIN werden medegefinancierd door de Nederlandse Organisatie voor Wetenschappelijk Onderzoek (NWO).