Switch: Scion – eine State-of-the-Art Internet-Architektur?

4. März 2022, 10:37
  • kolumne
  • switch
  • netzwerk
image
Daniel Bertolo

Scion bietet mehr Sicherheit, Zuverlässigkeit und Kontrolle bei der Datenübertragung im Netz. Die sichere Internetarchitektur ist aber noch kein Allheilmittel gegen alle Probleme des Internets.

Die Digitalisierung verlangt heute nach sicheren Netzwerken, die sich gut kontrollieren lassen. Das Fundament des Internets allerdings stammt aus dem letzten Jahrhundert. Es wurde ohne besondere Sicherheitsmechanismen entwickelt und seither kaum überarbeitet. Das macht es angreifbar. Cyberkriminelle nutzen die Schwachstellen heutzutage derart aus, dass die Verhinderung und Beseitigung von Cybergefahren in Unternehmen mittlerweile dominante IT-Aufgaben sind. Diese Beobachtung betrifft neben den vielen Sicherheitsrisiken auch Aspekte des Transportnetzwerks. Es ist also Zeit für Weiterentwicklung. Scion – Scalability, Control, and Isolation On Next-Generation Networks – ist ein solches Upgrade. Es kombiniert die Faktoren Sicherheit, Zuverlässigkeit und Kontrolle privater Netzwerke mit der Flexibilität des öffentlichen Internets. Die Technologie wird seit über zehn Jahren an der ETH in Zürich entwickelt. Switch begleitet die Entwicklung schon seit 2015.

Das Internet, wie es sein sollte

Scion verspricht viel: mehr Sicherheit, höhere Zuverlässigkeit und Pfadkontrolle bei den Endsystemen. Um diese Verbesserungen richtig einordnen zu können, lohnt sich eine Vertiefung in die Materie. Als wichtigstes Grundkonzept gilt es zu verstehen, was Scion an sich ist: ein Inter-Domain Routing-Protokoll. Es verbindet Netzwerke (Autonomous Systems; AS) im Internet untereinander und ist als Ablösung des Border Gateway Protocol (BGP) gedacht. BGP ist heute das Standardprotokoll, das ISPs im Internet nutzen, um gegenseitig Routinginformationen auszutauschen. Innerhalb eines AS bietet Scion kein Routingprotokoll an. Hier nutzen die ISPs weiterhin die angestammten Protokolle wie OSPF oder IS-IS.
Neben dem eigentlichen Scion-Protokoll wurden viele weitere Systeme entwickelt, die zusätzliche Features versprechen. Dazu gehören unter anderem Lightning Filter als Firewall-System oder Colibri, das mit globalen Bandbreitenreservationen ein faireres Internet verspricht.
Es gibt viele neuartige und äusserst spannende Internetkonzepte. Aber den meisten davon fehlt eine langfristig mögliche Koexistenz mit dem bestehenden Internet. Es ist illusorisch, das bestehende Internet abzuschalten und stattdessen ein neues Konzept zu starten. Hier bietet Scion entscheidende Vorteile. Es kann das bestehende Internet als Transportmedium nutzen. Im einfachsten Fall als Overlay-Netzwerk zum IP-Netzwerk. Mit wachsender Verbreitung können dann immer grössere Teile der Pfade mit Scion-Verbindungen realisiert werden. Als weiterer konzeptioneller Vorteil muss man Scion zugutehalten, dass seit Beginn der Entwicklung ein Augenmerk darauf gelegt wurde, dass alle Akteure von Vorteilen profitieren können.

Mehr Sicherheit und Vertrauen

Eines der wichtigen Grundkonzepte von Scion ist die Einführung von sogenannten Isolation Domains (ISD). Eine ISD besteht aus mehreren Netzwerken (AS) und bildet eine gemeinsame Vertrauensbasis. Die Netzwerke einer ISD nutzen eine gemeinsame Certificate Authority, um den Datenverkehr kryptographisch zu signieren. Anhand dieser Signaturen kann der Empfänger eines Pakets prüfen, ob das Paket den korrekten Pfad genommen hat und ob es unterwegs verändert wurde. Diese Root of Trust wird innerhalb jeder ISD geformt und bedarf keiner global vertrauenswürdigen Stelle.

Mehr Kontrolle und neue Möglichkeiten

Eine weitere Aufgabe einer ISD ist es, Informationen über verfügbare Pfade an die Netzwerke der ISD zu propagieren. Diese Pfadinformationen erlauben es den Endsystemen, bereits beim Senden festzulegen, auf welchem Pfad das Paket transportiert werden soll. War es bisher Aufgabe der ISPs, den Verkehr nach ihren Vorstellungen optimal zu routen, so verschiebt sich mit Scion diese Kontrolle zu den Endsystemen und Applikationen. Zusätzlich zu diesem Paradigmenwechsel bietet die Pfadkontrolle die Möglichkeit, einen Pfad nach gewissen Kriterien auszuwählen. Zurzeit können Pfade nach Latenz, Bandbreite oder nach CO2-Ausstoss ausgewählt werden. Voraussetzung dafür ist allerdings, dass die jeweiligen Applikationen die Scion Protokollsprache sprechen. Bis dahin ist es allerdings noch ein weiter Weg.
Neben der Pfadkontrolle bietet Scion auch die Möglichkeit, mehrere Pfade gleichzeitig zu nutzen. Dieses Multipathing bringt einige Vorteile mit sich. Einerseits können vorhandene Bandbreiten-Ressourcen im Internet besser genutzt werden. Andererseits erlaubt das Protokoll auch eine sehr schnelle Umschaltung bei Ausfällen einzelner Pfade.
Scion bietet aber nicht nur neue Funktionalität, sondern auch mehr Sicherheit. Beispielsweise Schutz vor gewissen DDoS-Angriffen. Das Source-basierte Routing in Kombination mit der kryptographischen Signatur verunmöglicht es bereits durch das Design, eine Absenderadresse zu fälschen. Damit werden die weit verbreiteten Amplification-Angriffe bereits im Ansatz unterbunden.

Ein langer Weg

Scion ist aber nicht einfach das Allheilmittel gegen alle Probleme des Internets. Die Technologie kämpft mit den üblichen Problemen innovativer Ideen: Verbreitung, Know-how und Standardisierung. Zudem führt Scion zunächst zusätzliche Komplexität ein in eine heute unverzichtbare Basisinfrastruktur. Diese neu geschaffenen Risiken gilt es sorgfältig gegen die gewonnenen Vorteile abzuwägen. Sie wurden in den letzten Jahren von den Entwicklern rund um Adrian Perrig von der ETH Zürich adressiert.
Zurzeit gilt es für Scion, eine möglichst rasche Verbreitung zu finden. Denn nur mit einer grossen, globalen Verbreitung kommen die Vorteile von Scion für eine breite Nutzerbasis richtig zum Tragen. Und erst mit den Vorteilen werden auch die nötigen Anwendungsszenarien offensichtlich. Diesem Huhn-Ei-Problem gilt es nun entgegenzuwirken. Im Hochschulnetzwerk von Switch bieten wir beispielsweise den angeschlossenen Organisationen seit letztem Jahr Scion als Dienstleistung zum bestehenden Netzwerkanschluss an. Dabei haben wir die Einstiegshürden möglichst tief angesetzt, um der Verbreitung Anschub zu leisten. Bis dahin bleibt Scion eine valable Option für geschlossene Nutzergruppen, die aus einer heterogenen Basis bestehen. Dies ist beispielsweise beim Secure Swiss Finance Network (SSFN) der Fall.
Allen Schwierigkeiten zum Trotz bin ich der Meinung, dass Scion das Potential hat, diese Hürden zu überwinden. Es gibt viele gute Gründe, Scion zu testen und die Möglichkeiten auszuloten. Und damit werden auch neue, sinnvolle Anwendungsfälle zutage treten.

Über den Autor:

Nach dem Informatikstudium an der Hochschule Rapperswil stiess Daniel Bertolo im Jahr 2007 zu SWITCH. Er leitet das Team, das für den Betrieb und die Weiterentwicklung des Hochschulnetzwerks verantwortlich ist.

Über die Kolumne #Security:

Die Kolumne von Switch über Sicherheit erscheint 6 mal jährlich. Die Autoren äussern unabhängig ihre Meinung, die sich nicht mit der Redaktionsmeinung von inside-it.ch decken muss.

Loading

Mehr zum Thema

image

10?! Myke Näf, Doodle-Gründer

Der Gründer und ehemalige CEO von Doodle, Myke Näf, ist heute Managing Partner von Übermorgen Ventures, einer Schweizer Investmentgesellschaft. In unseren 10 Fragen verrät er seine 6 Tipps für junge Talente und welche Jobs er meidet.

publiziert am 28.11.2022
image

IT-Woche: Hire und Feier

Können die Entlassungen bei Big Tech helfen, den hiesigen Fachkräftemangel zu lösen? Das wäre ein Grund, zu feiern.

publiziert am 25.11.2022
image

Soko Maier: Does one size fit all?

Ein agiles Vorgehen wird in Softwareprojekten oft als Wunderwaffe für das Erreichen komplexer Projektziele angepriesen. Agil wird's schon richten. Aber ist das wirklich so?

publiziert am 24.11.2022
image

IT-Woche: Tour de Suisse (mit einem Abstecher)

Auf der Fahrt von Bern via St. Gallen nach Bremen und zurück besuchen wir Bossinfo, Abacus, Abraxas, Igel und Swisscom.

publiziert am 18.11.2022