NTP monlist: Wie Zeitserver DDoS-Angriffe verstärkten

Im Dezember 2013 begannen Angreifer, gewöhnliche Zeitserver für DDoS-Angriffe (Distributed Denial of Service) zu missbrauchen. Solche Angriffe legen ein Ziel lahm, indem sie es mit mehr Datenverkehr überfluten, als seine Internetverbindung verkraftet. Die Angreifer nutzten monlist, einen Diagnosebefehl in ntpd, der Serversoftware des NTP-Projekts. NTP, das Network Time Protocol, sorgt dafür, dass die Uhren von Computern und Netzwerkgeräten übereinstimmen. Eine Messstudie fand verwundbare Server unter 2,2 Millionen Internetadressen und zählte in 15 Wochen 437.000 angegriffene Adressen.

So funktionierte der Angriff

Zeitserver beantworten kurze Anfragen von Geräten, die ihre Uhr stellen wollen. Zur Diagnose führte ntpd außerdem eine Liste der Clients, also der Geräte, die sich zuletzt bei ihm gemeldet hatten. Der Befehl monlist schickte diese Liste mit bis zu 600 Einträgen an jeden, der danach fragte. Laut US-CERT, dem Computer-Notfallteam der US-Regierung, war der Befehl auf älteren Geräten mit NTP standardmäßig eingeschaltet.

NTP nutzt UDP, ein Verfahren, einzelne Datenpakete zu verschicken, ohne vorher eine Verbindung aufzubauen. Deshalb kann der Server nicht prüfen, wer eine Anfrage wirklich geschickt hat. Ein Angreifer trägt die Adresse des Opfers als Absender in die Anfrage ein. Der Server schickt seine Antwort dorthin. Eine monlist-Antwort kann weit größer sein als die Anfrage. Das verstärkt den Angriff: Der Angreifer verschickt wenige Daten, das Opfer empfängt viele.

US-CERT gibt für NTP einen Verstärkungsfaktor von 556,9 an: Die Antwort enthält das 556,9-Fache der Daten der Anfrage. Gezählt wird nur der Inhalt der Pakete. Für DNS, das Adresssystem des Internets, nennt US-CERT 28 bis 54. Die weiter unten beschriebene Studie zählte ganze Pakete. Demnach schickte ein typischer verwundbarer Server etwa das Vierfache der Daten der Anfrage zurück, ein Viertel der Server mindestens das 15-Fache. Einige wenige „Mega-Verstärker“ beantworteten ein einzelnes Paket mit Gigabytes. Der größte schickte mehr als 136 Gigabyte an einem Tag, wahrscheinlich wegen einer Schleife im Netzwerk.

Weil die Datenflut von Tausenden legitimer Server kam, war sie schwer zu blockieren. In die Server war niemand eingebrochen; sie dienten als Werkzeuge gegen andere.

Reichweite und Schaden

Die genauesten Messungen liefert „Taming the 800 Pound Gorilla“, eine Studie von 2014. Sie stammt von Forschern der University of Michigan, des Netzbetreibers Merit Network, der Colorado State University und der University of Illinois. Die Studie verbindet Verkehrsdaten des Sicherheitsunternehmens Arbor Networks mit wöchentlichen Scans des Internets und Daten aus zwei regionalen Netzwerken. Die Daten von Arbor decken ein Drittel bis die Hälfte des gesamten Internetverkehrs ab.

Im November 2013 machte NTP in den Daten von Arbor etwa 0,001 % des Datenverkehrs aus. Bis Mitte Februar 2014 stieg der Anteil auf etwa 1 %, mehr als DNS, und erreichte am 11. Februar seinen Höchststand. Im Februar und März nutzten die meisten Angriffe mit mehr als 2 Gbit/s (Gigabit pro Sekunde) NTP. Drei Monate zuvor war NTP nur an 0,07 % aller Angriffe beteiligt gewesen.

Das Open NTP Project begann am 10. Januar 2014, jede Woche das gesamte Internet zu scannen. Sein erster Scan fand 1.405.186 Server, die auf monlist-Anfragen antworteten. In 15 Wochen erfassten die Scans 2.166.097 verschiedene Adressen. Ein Grund: 13–35 % der Server waren Computer von Endnutzern, etwa Heim-PCs, deren Adressen wechseln können.

Die monlist-Listen verzeichnen auch die gefälschten Absenderadressen, also die Opfer. In 15 Wochen fanden die Forscher 437.000 angegriffene Adressen in 184 Ländern, getroffen von 2,92 Billionen Paketen, etwa 1,2 Petabyte an Daten. Weil eine Liste meist nur die letzten zwei Tage vor einem Scan abdeckte, schätzen die Autoren die tatsächlichen Zahlen auf etwa das 3,8-Fache. Rund die Hälfte der Opfer waren Computer von Endnutzern. Viele Angriffe zielten auf die Netzwerkports, die Onlinespiele nutzen. Ein Port ist eine Art nummerierte Tür. Die Autoren folgern, dass sich ein großer Teil der Angriffe gegen Spieler richtete.

Am 10. Februar 2014 stellte ein Angriff auf ein Ziel im Netzwerk von Cloudflare einen damaligen Rekord für NTP-Angriffe auf. Cloudflare schützt Websites vor solchen Angriffen. Laut dem Unternehmen erreichte der Angriff in der Spitze knapp 400 Gbit/s und ging von 4.529 NTP-Servern in 1.298 Netzwerken aus.

Eine Gesamtzahl zum Schaden gibt es nicht. Ausfälle kritischer Dienste wie Krankenhäuser oder Stromversorgung belegen die Quellen nicht. Auch die Netze, die die Datenflut transportierten, zahlten mit. Bei Merit, einem regionalen Netzbetreiber in Michigan, erhöhten die Angriffe den gesamten Datenverkehr um mehr als 2 %. Das steigerte die Gebühren, die Merit für die eigene Internetanbindung zahlte.

Der Patch und die Reaktion

Die NTP-Entwickler hatten monlist lange vorher aus ntpd entfernt, in der Entwicklungsversion 4.2.7p26 vom 24. April 2010. An seine Stelle trat der neuere Befehl mrulist. Die stabile Versionsreihe 4.2.6 behielt monlist jedoch. Die erste stabile Version ohne den Befehl, ntp 4.2.8, erschien erst am 19. Dezember 2014. Am 30. Dezember 2013 verwies eine Anfrage auf einer öffentlichen Sicherheits-Mailingliste auf „eine Häufung von DDoS-Angriffen in letzter Zeit, die die monlist-Funktion nutzen“. Die Lücke erhielt noch am selben Tag die Nummer CVE-2013-5211.

Im Januar 2014 veröffentlichte das CERT/CC der Carnegie Mellon University einen Schwachstellenhinweis und das US-CERT eine Warnung. Ihr Rat: ntpd aktualisieren oder die Abfragen mit einer Einstellung in der Konfigurationsdatei abschalten. Auch ICS-CERT, das US-Team für industrielle Steuerungssysteme, warnte.

Die verwundbaren Server verschwanden schnell. Zwei Wochen nach dem ersten Scan war weniger als die Hälfte übrig. Am 21. März waren es noch etwa 110.000. Danach bewegte sich die Zahl kaum noch: Am 18. April lag sie bei 106.445, 92 % weniger als im Januar. Die Studie lobt die gemeinsame Reaktion von Forschung und Netzbetreibern. Das Open NTP Project veröffentlichte jede Woche seine Zählungen. Forscher benachrichtigten die Betreiber über CERTs (Computer-Notfallteams) und direkt. Viele Netzbetreiber spürten die Angriffe zudem im eigenen Datenverkehr. Die Autoren halten es für wahrscheinlich, dass die Benachrichtigungen geholfen haben. Ursache und Wirkung lassen sich aber nicht beweisen, betonen sie.

Die Aufräumarbeit ging weit schneller voran als bei offenen DNS-Resolvern. Solche Server schlagen für jeden Adressen nach und lassen sich auf dieselbe Weise missbrauchen. Vollständig war die Aufräumarbeit aber nicht. Rund 4 Millionen NTP-Server beantworteten weiterhin eine andere Abfrage, version. Auch sie lässt sich missbrauchen, wenn auch selten mit so großen Antworten. Diese Gruppe schrumpfte nur um 19 %.

Die US-amerikanische National Vulnerability Database bewertet die Sicherheitslücke auf der älteren CVSS-Version 2 mit 5,0 von 10, also als „mittel“. Einen Wert nach Version 3 gibt es nicht. Der Wert ist nicht höher, weil ein Angreifer auf dem Server weder Daten lesen noch verändern kann. Die Lücke beeinträchtigt nur die Verfügbarkeit, vor allem die anderer Systeme.