Für die spanische Mobilfunktochter von Orange begann das Jahr mit einem Schrecken und für die meisten Kunden landesweit mit einem dreistündigen Internetausfall: Ein Unbefugter hatte sich im Namen von Orange auf der Administrationswebseite des RIPE NCC angemeldet. Das RIPE NCC verwaltet nicht nur die IP-Adressräume von Europa über den Nahen Osten bis nach Zentralasien, sondern bietet auch digitale Zertifikate an, mit denen das Routing im Internet abgesichert werden kann. Genau diese Zertifikate (genauer: Route Origin Authorisations, ROA) hat der Angreifer ändern lassen und damit dafür gesorgt, dass die Router anderer Internetprovider denen von Orange nicht mehr vertrauten.
Da der Angreifer mit Screenshots bei Twitter/X angegeben hat, ist auch bekannt geworden, dass die Ursache für den großen Ausfall mit einem sehr einfachen Passwort („ripeadmin“) zusammenhing und die Administrationswebseite auch keinen zweiten Faktor für so weitreichende Änderungen benötigte. Hier hätten beide Seiten besser agieren können: die Nutzer bei Orange, indem sie auch für externe Dienste sichere Passwörter wählen und die angebotene Zwei-Faktor-Anmeldung aktivieren. Und der Anwendungsanbieter RIPE NCC, der so triviale Passworte abweisen und die Zwei-Faktor-Anmeldung verpflichtend machen sollte.
Tatsächlich sind Vorgaben für Passwörter bei Onlinediensten nicht immer so streng, wie man es von internen Anwendungen kennt. Suood Alroomi und Frank Li vom Georgia Institute of Technology haben letztes Jahr einen großen Scan von 20.000 Webanwendungen durchgeführt und beim Anlegen von Nutzerkonten ausprobiert, wie schwach ein Passwort sein konnte. Ein erschreckendes Ergebnis: Die Hälfte der getesteten Seiten akzeptierte sehr schwache Passwörter wie „123456“ oder „password“. Mit verschiedenen Stichproben haben sie dabei auch gezeigt, dass populäre Seiten häufiger mit strengeren Regeln aufwarteten als solche, die weiter hinten in den Rankings der Top-1-Million liegen.
Aber war nun das triviale Passwort die Ursache für den Ausfall? In diesem Fall hätte der Angreifer nicht viele Versuche beim Raten benötigt. Aber nach den von ihm geposteten Screenshots zu urteilen, brauchte er gar nicht erst zu raten, da scheinbar die Racoon-Malware auf einem System lief und dort unter anderem die RIPE-Zugangsdaten abgegriffen wurden.
Wie sieht es bei Ihnen aus? Gibt es eine Übersicht über alle Zugangsdaten für externe Dienste – vom Social-Media-Account über Dienstleister-Weboberflächen bis zum ELSTER-Steuerkonto? Entsprechen die Passwörter Ihren Anforderungen und sind sie sicher abgelegt? In Pentests finden wir gelegentlich immer noch gemeinsam gepflegte Excel-Tabellen mit solchen Zugangsdaten.
Mehr Details zum Orange-Ausfall: https://doublepulsar.com/how-50-of-telco-orange-spains-traffic-got-hijacked-a-weak-password-d7cde085b0c5
Der wissenschaftliche Artikel zur Verbreitung von Passwort-Vorgaben: https://dl.acm.org/doi/abs/10.1145/3576915.3623156