DATUM VÅR REFERENS 9 augusti 2002 Dnr 02-010098 ERT DATUM ER REFERENS HANDLÄGGARE, AVDELNING/ENHET, TELEFON, E-POST Anders Rafting Avdelningen för Internet och Säkerhet 08-678 55 41 anders.rafting@pts.se Regeringen Näringsdepartementet 103 33 STOCKHOLM Prov och övningar avseende Internets robusthet och beroende av funktioner utomlands - lägesrapport 1 Sammanfattning 1.1 Uppdrag Denna lägesrapport behandlar uppdrag 4 och 15 i Post- och telestyrelsens (PTS) regleringsbrev för budgetåret 2002. 1.2 Syfte och mål Syftet med de båda uppdragen är att utifrån ett svenskt perspektiv t.ex. genom prov och övningar undersöka Internettjänstens robusthet och utlandsberoende med målet att få fram underlag för förslag till förbättrande åtgärder. 1.3 Omfattning och aktuell status Uppdragsarbetet har inledningsvis begränsats till följande delmoment som bedömts vara de viktigaste: - kartläggning av kritiska Internetfunktioner, deras användning m.m. - prov av tillförlitligheten hos Internets namntjänst, DNS 1 - prov av tillförlitligheten hos en nationell Internetknutpunkt Genomförandet av uppdragen befinner sig i planeringsfasen, vilket innebär att det arbete som föreslås i de tre delmomenten enligt ovan ännu inte har påbörjats. 1.4 Resursbehov 2002 För att genomföra uppdragen med de avgränsningar som gjorts (se nedan), kommer externa resurser om ca. 1000 mantimmar att upphandlas. 1 Domain Name System POSTADRESS Box 5398, 102 49 Stockholm BESÖKSADRESS Birger Jarlsgatan 16 TELEFON 08-678 55 00 FAX 08-678 55 05 E-POST pts@pts.se WEBBADRESS www.pts.se
2(8) 2 Inledning 2.1 Bakgrund Internet i Sverige består av många sammankopplade nät. Flera av dessa tillhör internationella operatörer vars nät har förgreningar i Sverige. Internetoperatörerna utbyter trafik med varandra dels i knutpunkter belägna i Sverige dels i knutpunkter i utlandet vilket främst gäller trafikutbyte med de stora globala operatörerna. Ansvaret för viktiga delar av domännamnssystemet ligger utanför svensk kontroll. Vidare är registret för vägvalspolicy, som beskriver hur olika operatörer utbyter trafik med varandra, placerat i Amsterdam. För operatörer är åtkomst till detta register mycket viktigt för korrekt trafikutbyte. Internets internationella karaktär gör det svårt att reglera Internet på nationell nivå. I takt med att allt fler samhällsviktiga funktioner utnyttjar Internet, ökar emellertid samhällets beroende av robusthet i Internetinfrastrukturen. Detta aktualiserar frågan om statens ansvar för Internetinfrastrukturens robusthet. Internetinfrastrukturens robusthet kan hotas av bristande säkerhet hos ingående komponenter såsom fysiska förbindelser, vägvalsutrustning (routrar, växlar o.d.), knutpunkter, driftcentraler, domännamnssystemet och tidsservrar. Internetinfrastrukturens robusthet kan därutöver påverkas av säkerheten i användarnas utrustning och deras anslutningar till Internet. Ett annat problem är bristen på kompetens hos såväl operatörer som användare när det gäller risker, hot och skydd i detta sammanhang. Robustheten omfattas även av funktioner som ligger utomlands. De viktigaste funktionerna i detta avseende är rotnamnsservrar, namnservrar för landsdomäner utom.se-domänen för Sverige och generiska toppdomäner t ex.com. Vidare kan här nämnas vägvalsregister för routing mellan AS 2 s.k. BGP-peering 3, trafikutbytespunkter utanför Sverige samt i viss utsträckning exakt tidgivning via NTP 4. 2.2 Hotbild och konsekvenser Ett totalt avskiljande av den svenska delen av Internet är knappast troligt bl.a. beroende på att det rent tekniskt är mycket svårt att genomföra. Detta gäller ömsesidigt, dvs. det är svårt att avskilja Sverige från övriga Internet vare sig det skulle ske inifrån Sverige eller att omvärlden stänger ute Sverige. Partiellt eller fullständigt bortfall av viktiga tjänster och funktioner belägna i eller utanför Sverige kan däremot mycket väl inträffa t ex genom s.k. Denial of Service-attacker eller oavsiktliga störningar eller avbrott och få negativ påverkan för Internets tillgänglighet och tillit. Trafiken över Internet är i stor omfattning koncentrerad till några få stora knutpunkter i Sverige och utomlands, vilket leder till högre sårbarhet. Exempelvis sker en betydande del av trafiköverföring mellan olika Internetoperatörer hos ett antal s.k. telehousingföretag placerade på Manhattan i New York. Ett totalt avbrott i dessa skulle leda till avsevärda störningar för många användare runt om i 2 AS, Autonoma system 3 Border Gateway Protocol, BGP, för trafikutbyte 4 Network Time Protocol
3(8) världen inbegripet Sverige. I Sverige är trafikutbytet koncentrerat till ett fåtal gemensamma ställen framför allt i Stockholm. Ett störande eller förstörande intrång i vitala delar av domännamnssystemet (DNS) t ex attack mot rotnamnservrarna eller någon landsdomän t ex.se, kan leda till svåra problem för DNS-tjänsten och därmed risk för att Internet i praktiken blir obrukbart. 2.3 Tidigare utredningar I rapporten "Förutsättningar för övningar och praktiska prov avseende drift av Internet i Sverige oberoende av funktioner utomlands", dnr 01-026615, som PTS inlämnade till regeringen i december 2001, föreslås att regeringen ger PTS i uppdrag att initiera och samordna övningar och praktiska prov för att verifiera att Internet i Sverige kan drivas oberoende av funktioner utomlands och om så erfordras vidta åtgärder för att säkerställa att denna förmåga finns. I en annan rapport med titeln "Internets robusthet", dnr 01-026614, som även den inlämnades till regeringen i december 2001, föreslås att regeringen uppdrar åt PTS att bevaka robustheten och hoten mot Internetinfrastrukturen i Sverige och att ge förslag på eventuella behov av åtgärder avseende robustheten i den samhällsviktiga Internetanvändningen. 3 Uppdrag Regleringsbrevet för budgetåret 2002 avseende Post- och telestyrelsen m.m. inom utgiftsområde 22 Kommunikationer (rskr. 1999/2000:256 och 2001/02:90 och 125) innehåller bl.a. ett uppdrag (nr 4) med lydelsen:" Post- och telestyrelsen får i uppdrag att inrätta en frivillig försöksverksamhet (t.ex. övningar) för att undersöka om Internet i Sverige kan fungera oberoende av funktioner utomlands. PTS skall samarbeta med tele- och Internetoperatörer. Syftet är att få underlag för fortsatt arbete inom området, höja säkerheten och öka tilliten till Internet i Sverige för e-handel och andra elektroniska tjänster. Försöksverksamheten skall redovisas till regeringen dels i en delrapport den 15 augusti 2002 i samband med delårsrapporten, dels i en rapport i samband med årsredovisningen för budgetåret 2002. Vidare har det genom en ändring av regleringsbrevet den 19 juni 2002 tillkommit ett uppdrag (nr 15) med följande lydelse: " Post- och telestyrelsen skall bevaka uppbyggnaden och driften av Internetinfrastrukturen i Sverige och ge förslag på åtgärder för ett stabilt och robust Internet, t ex för samhällsviktig Internetanvändning. Uppdraget skall rapporteras till regeringen i samband med årsredovisningen för budgetåret 2002." 3.1 Syfte med uppdragen Syftet med de båda uppdragen är att utifrån ett svenskt perspektiv pröva Internettjänstens robusthet och fastställa vilken påverkan bortfall av viktiga funktioner utanför svensk kontroll har. Resultatet skall utgöra underlag för det fortsatta målinriktade arbetet med att uppnå ett säkrare och mer tillförlitligt Internet för användare i Sverige. 3.2 Omfattning och aktuell status Uppdragsarbetet har inledningsvis begränsats till följande delmoment som bedömts vara de viktigaste: - kartläggning av kritiska Internetfunktioner, deras användning m.m.
4(8) - prov av tillförlitligheten hos Internets namntjänst, DNS 5 - prov av tillförlitligheten hos en nationell Internetknutpunkt Genomförandet av uppdragen befinner sig i planeringsfasen, vilket innebär att det arbete som föreslås i de tre delmomenten enligt ovan ännu inte har påbörjats. 3.3 Resursbehov För att genomföra det arbete som beskrivs i detta dokument, kommer en hel del såväl personella som finansiella resurser att krävas. En första grov uppskattning har gjorts av det förstnämnda delmomentet - kartläggning av viktiga funktioner etc. - och resultatet är ett behov av ca. 420 mantimmar. Dock är avsikten att även personal från PTS skall utföra delar av detta arbete. När det gäller de mer praktiskt betonade proven och övningarna, krävs emellertid personer med särskild specialistkompetens och speciella befogenheter. Här kan PTS bidra med att dokumentera genomförda tester och erhållna resultat. DNS-testerna och knutpunktstesterna har vardera ungefär samma resursbehov dvs. 400 mantimmar. Totalt uppskattas resursbehovet till ca 1200 mantimmar varav ca. 1000 kommer att upphandlas. Möjlighet finns när det gäller DNS att göra en prioritering av de ur sårbarhetssynpunkt mest intressanta testerna för att om nödvändigt minska resurskravet. När det gäller prov av tillförlitligheten hos en Internetknutpunkt, finns möjligheten att inblandade operatörer efter förhandling kan stå för kostnaderna för egen personal. 3.4 Testmetodik Testerna ska både genomföras i verklig miljö, med verkliga Internetanvändares konfigurationer, och i simulerad miljö då ambitionen är att användarnas ursprungliga konfigurationer skall användas parallellt med skolbokens - dvs. vad som rekommenderas av expertis från tillverkare och avancerade användare. Genom denna metod finns möjlighet att konstatera vad eventuella felkonfigurationer kan få för konsekvenser. För genomförande av projektets tester skall därför överenskommelser upprättas med utvalda modellanvändare av olika kategorier. Modellanvändarna skall representera: - storföretag med global verksamhet (HK i Sverige) - medelstort företag med verksamhet på flera orter i Sverige - småföretag - landsting - kommun - stat - privatperson i tätort - privatperson i glesbygd Nedan följer en beskrivning av de olika delmoment som planeras kunna genomföras inom angivna tidsramar. 5 Domain Name System
5(8) 4 Delmoment 1: Kartläggning av Internets kritiska funktioner 4.1 Inledning Det finns idag ingen ingående kartläggning över alla funktioner av vikt för Internet, deras inbördes relationer och vad konsekvenserna blir vid bortfall av de olika funktionerna. I detta delmoment ska en kartläggning göras över Internets kritiska funktioner och tjänster såväl i Sverige som utomlands. Internets infrastruktur har en komplex uppbyggnad och är därför beroende av flera delfunktioner för att fungera väl. Eventuella beroendekedjor ska beskrivas och de konsekvenser bortfall av olika funktioner får. I arbete ingår även att redogöra för ansvarsförhållanden och befogenheter för respektive funktion. Delmomentet ska även omfatta en undersökning av förekomsten av internationella erfarenheter från tester av Internets robusthet samt en kartläggning av vilka länder och organisationer som arbetar inom området. 4.2 Syfte och mål Syftet med denna del av utredningen är att kartlägga och redovisa Internets infrastruktur och då främst de kritiska funktioner som ett fungerande Internet är beroende av. En begränsad genomgång av sårbarheten hos de olika funktionernas ska göras samt en gradering av deras betydelse. Utredningen skall: - identifiera kritiska funktioner som idag används för ett fungerande Internet - göra en översiktlig beskrivning av funktionernas tekniska design - redovisa omfattningen av funktionernas användning - redogöra, i förekommande fall, för funktionernas geografiska placering, deras driftorganisation, uppdragsgivare, avtalsparter och ansvar - belysa sårbarheten genom att påvisa vilken tillgänglighet respektive otillgänglighet funktionen haft historiskt - beskriva vilka kända konsekvenser otillgänglighet hos respektive funktion lett till och om aktuell funktion ej varit otillgänglig - beskriva vad denna otillgänglighet i teorin kan få för konsekvenser - göra en inbördes gradering av funktionernas betydelse med syfte att påvisa respektive funktions vikt och därmed skyddsvärde i jämförelse med de övriga Resultatet ska tjäna som ett underlag för det fortsatta arbetet med att kartlägga Internettjänstens robusthet och dess beroende av funktioner utomlands. Vidare skall resultatet specifikt även användas som ett beslutsunderlag vid prioritering av fortsatta robusthetstester av Internet. 4.3 Avgränsning När det gäller att bedöma funktionernas sårbarhet, begränsas utredningen till att enbart omfatta teknisk beskrivning av funktionerna och vad bristande tillgänglighet till respektive funktion får för konsekvenser. Andra hot, risker, fel och brister relaterade till funktionerna samt förslag till skyddsåtgärder behandlas inte i detta delmoment.
6(8) 4.4 Metod Att kartlägga hela kedjan av funktioner är ett omfattande arbete. För personer med rätt kompetens och erfarenhet, vilka vi söker tillgång till i utredningsarbetet, är det emellertid relativt enkelt att avgöra vilka funktioner som används av vilka och hur. Svårigheten är att gradera beroendet dvs. vilka funktioner som är viktigare än andra. Bedömningen av deras respektive betydelse för att Internet skall fungera tillfredsställande varierar beroende på vem man frågar. Företag, myndigheter, Internetoperatörer, användare, experter har olika synsätt, förutsättningar och krav. För att utredningen skall kunna redovisa en så bra bild av verkligheten som möjligt, ska ett antal intervjuer genomföras. Särskilt kommer operatörer att tillfrågas, eftersom ingen tidigare kartläggning av viktiga operatörsfunktioner gjorts enligt vad som är känt. Intervjuer avses genomföras med: - olika användarkategorier - se ovan beskrivning av modellföretag - minst tio utvalda Internetoperatörer som representerar lokal, regional, nationell respektive internationell ISP (Internet Service Provider) - i Internetkretsar välkända experter - företrädare för Internetorganisationer t ex IIS (Stiftelsen för Internets Infrastruktur), SOF (Svensk Operatörers Forum), Stadsnätsföreningen m. fl. 5 Delmoment 2: Prov av tillförlitligheten hos Internets namntjänst, DNS 5.1 Inledning DNS har identifierats som en kritisk resurs för Internetanvändningen i Sverige. DNS-systemet har därför sedan länge utformats med redundans och sköts idag med omsorg. De praktiska erfarenheterna kring hur DNS-tjänsten fungerar vid svåra påfrestningar är dock begränsade. Det saknas även grundläggande definitioner om vad som avses med tillgängligheten hos en DNS-tjänst och hur den ska mätas. 5.2 Syfte och mål Syftet med denna test är att fastställa grundläggande fakta kring hur DNS uppträder vid svåra påfrestningar. Resultatet ska tjäna som underlag för att finna lösningar som skall leda till att minimera störningar förorsakade av förlorad kontakt med utomlands liggande funktioner. 5.3 Avgränsning Denna test begränsar sig till att utvärdera vad som händer vid störningar i tillgängligheten till DNS-tjänsten inbegripet rotnamnsservrarna. Andra tänkbara testfall, som snarare kan hänföras till avsiktligt eller oavsiktligt införda felaktigheter i styrinformation och vitala data som kan påverka en fungerande
7(8) DNS-tjänst, genomförs inte inom ramen för detta uppdrag men är intressanta för framtiden, nämligen paketfördröjningar och paketförluster för långa IP-paket intermittenta fel felkonfigurationer t. ex. felaktiga NS-pekare konsekvensen av motstridig data från olika servrar manipulationer av hackers utveckling och funktionsprov av metod för övergång till beredskapsläge och återgång till normalläge för hantering av otillgänglighet till DNS-tjänsten orsakad av bristande tillgång till rotnamnserversystemet med syftet att trots detta upprätthålla en fungerande DNS-tjänst inom landet. 5.4 Metod För att testa konsekvenserna vid bristande tillgänglighet till DNS-tjänsten görs följande: Test av att låta en, två, tre och slutligen alla DNS-servrar falla ifrån på olika nivåer i DNS-trädet. Undersökning av konsekvenserna för klientdatorer med olika programvaror på användarsidan. 6 Delmoment 3: Prov av tillförlitligheten hos en nationell Internetknutpunkt. 6.1 Inledning De nationella knutpunkterna är en kritisk resurs för Internetanvändningen i Sverige. De fyra nationella knutpunkter som finns i Sverige har olika grad av redundans. Under dagtid på vardagar finns en organisation som kan utföra drift och felavhjälpning övrig tid är beredskapen inte lika god. Det finns idag vissa erfarenheter kring hur knutpunkterna uppträder vid enkla påfrestningar t. ex. paketfördröjningar, felaktiga BGP 6 -data, kapacitetsförlust, men det saknas erfarenheter kring hur de reagerar vid svåra påfrestningar. 6.2 Syfte och mål Syftet med testen är att fastställa hur en knutpunkt och dess kunder (operatörer) uppträder vid bortfall av redundans och del av kapacitet. Grundläggande definitioner om vad som avses med tillgängligheten hos en knutpunkt och hur den ska mätas ska även fastställas i detta delmoment. Resultat skall ge vid handen förslag till förbättrande åtgärder inom området. 6.3 Avgränsning Knutpunktstesten begränsas till att omfatta test av redundans. Att begränsa och starta med en relativt enkel test, som enligt teorin kommer att förorsaka begränsade störningar i den svenska delen av Internet, underlättar arbetet med att få in operatörerna i projektet. Samtliga operatörer anslutna till Netnods knutpunkter förväntas behöva medverka i testen. 6 Border Gateway Protocol
8(8) 6.4 Metod Avgörande för en knutpunkts funktion är att rutiner och samarbete mellan de anslutna operatörerna fungerar. En knutpunktstest ska därför genomföras som en funktionsövning där förmågan hos de inblandade parterna att lösa uppgiften sätts på prov och övas. Konsekvenser av bortfall av delar av Stockholm-A Deltest 1: avbrott i förbindelsen med service-lan (koppla ur Netnodrouter) Deltest 2: avbrott i elförsörjning Deltest 3: urkoppling av förbindelsen mellan Stockholm-A och Stockholm-B Konsekvenser av bortfall av hela Stockholm-A Steg 1 slå av FDDI 7 -switch Steg 2 slå av Ethernet 8 -switch Steg 3 slå av DPT 9 -koncentrator I en framtida test kan konsekvenserna vid bortfall av såväl Stockholm-A som Stockholm-B undersökas. Ytterligare tester som kan göras i framtiden är test med t.ex. felaktiga konfigurationer, felaktiga eller falska BGP-data (annonsera felaktig default route, fel nät eller falska routes) samt test med paketfördröjningar och paketförluster. I detta ärende har tf. generaldirektören Janerik Persson beslutat. I den slutliga handläggningen har även deltagit avdelningschefen Anders Johanson och Britt- Marie Arne-Hellström samt Anders Rafting, föredragande. Janerik Persson, tf. generaldirektör 7 FDDI, Fiber Data Digital Interface anv. i knutpunktsväxlar 8 Gigabit Ethernet anv. i knutpunktsväxlar 9 DPT, Dynamic Packet Transport anv. i knutpunktsväxlar