EU-johtajien valmistautuessa keskusteluun Euroopan digitaalisesta suunnasta vuoteen 2030, saimme vakavan varoituksen digitaalisen maailman riskeistä. Facebook, WhatsApp ja Instagram käyttökatko 4.lokakuuta 2021 oli yksi suurimmista. Käyttökatko generoi keskusteluja jopa viestintäpalveluyhtiöiden pilkkomisesta. Euroopassa digitalisaation kehitykseen on ladattu niin paljon odotuksia, että käyttökatkon juurisyytä ja mahdollista ratkaisua kannattaa pohtia hieman laajemmin.

Tilanne Internet-verkon suhteen on vakava, muttei toivoton.

”The Internet” on erinomaisen onnistunut luomus. Sen menestyminen on ylittänyt optimistisemmatkin odotukset päätyen digitaalisen maailman ja talouskasvun tärkeimmäksi alustaksi. Tänään Internet on kiinteä osa yhteiskuntaamme ja talouttamme. Menestys on samalla luonut maailmanlaajuisen riippuvuuden. Kyse ei ole pelkästään viestinnästä tai sosiaalisen median alustoista, vaan lukuisista B2B ja B2C verkostoista, joiden toiminta halvaantuu verkon tahattomasta tai tahallisista häiriöistä. Oleellista on ymmärtää, ettei Internet-verkkoa ja sen TCP/IP-protokollaa alun perin 80-luvulla suunniteltu näin suuriin saappaisiin.

Mikä on Internet-verkon todellinen uhka?

Internet turvallisuudesta puhuttaessa keskustelu on painottunut kiristys- haittaohjelmistoihin, viruksiin, roskaposti- ja huijausviesteihin, ATP-hyökkäyksiin sekä IoT-laitteiden tietoturvan heikkouteen. Todellisuudessa nämä eivät ole Internet-verkon uhkia. Ne ovat pääosin päätelaitteiden turvallisuusuhkia.

Internet-verkon perustehtävä on datan siirtäminen TCP/IP-protokollan avulla. Sen fundamentaalinen tietoturvauhka ja riski liittyy verkon palveluiden saavutettavuuden horjuttamiseen. Hyökkääjät pyrkivät estämään liikennöinnin reititysjärjestelmän korruptoinnilla, IP-osoitteiden väärentämisellä sekä DDoS-palvelunestohyökkäyksellä. Vaikka Facebook tapauksessa kyse ei ollutkaan hyökkäyksestä, vaan inhimillisestä DNS-nimipalvelun ja BGP-reitityksen konfiguraatiovirheestä, johtavat jäljet samalle sylttytehtaalle.

Sylttytehdas – korjattu S-kirjaimella

Internet ja TCP/IP ovat noin 30 vuotta vanhoja. Jo 80-luvun puolivälissä oli selvää, että protokollaan sisältyy lukuisia perustavanlaatuisia ja arkkitehtuurillisia tietoturvahaasteita. 90-luvun puolivälissä tiedettiin, että Internet-verkon tärkein reititys protokolla BGP on altis monelle epävakaudelle. 2000-luvun puolivälistä alkaen hajautettu palvelunestohyökkäys (DDoS) oli jo Internet-verkon ”ominaisuus”. Internet-verkon menestymistä se ei ole estänyt.

Internet-verkon valuvikoja on menneiden vuosikymmenien korjattu säännöllisesti. Korjaus on aina ollut ”laastari” sellaiseen ongelmaan, joka häiritsee ”liikaa” markkinaa. IT-asiantuntijoille laastari näkyy Internet-protokollaan lisättynä Sec-kirjainyhdistelmänä tai S-kirjaimena. DNS/DNSsec, BGP/BGPsec, HTTP/HTTPS, SMTP/SMTPS jne. Jokaisen parannellun protokollan käyttöönotto on kestänyt vähintään vuosikymmenen ja joskus kauemminkin. Tähän on monta syytä:

  • Internet-verkko on itsenäinen ja hajautettu palveluverkosto. Palvelut pidetään alaspäin yhteensopivana tai viestintä/liikennöinti loppuu liian monen organisaation kanssa.
  • Suuria ja radikaaleja muutoksia (investointeja) verkkoon, protokolliin tai arkkitehtuuriin ei tehdä, ellei tilanne ei ole sietämätön tai todella vaarallinen. Maksajaa ei löydy.
  • Kauppapolitiikka ja patentit. Standardointifoorumeissa ollaan hyvin nihkeitä valitsemaan kilpailijan tai kilpailevan maanosan teknologiaa yhteiseksi standardiksi.

Kolme esimerkkiä:

Internet-selaimen salaus. (Yritysten välinen kilpailu)

Netscape, US kehitti SSLv2 salauksen selaimeensa vuonna 1995. Samaan aikaan Microsoft kehitti PCT-protokollan kilpailevaksi ratkaisuksi, joka ei menestynyt. Netscape paranneltu versio SSLv3 kelpasi IETF-foorumille standardin perustaksi. Microsoft kiukutteli foorumissa, eikä suostunut tukemaan standardia ilman nimen muutosta. Näin syntyi TLS v1.0, joka oli Netscape SSLv3.1. Asia aiheuttaa sekaannusta vielä tänäänkin.

Internet-liikenteen kaappaaminen (BGP-protokollan heikkous)

Vuonna 2020 SC Rostelecom teki laajamittaisen BGP-kaappauksen, johon sisältyi 8000 suurta IP-verkkoa (prefix), mukaan lukien Google, Facebook, Akamai, Cloudflare ja Amazon. Internet verkkoliikenne kaapattiin kulkemaan Venäjän kautta. Osa teleoperaattoreita käytti BGPSec (RPKI) protokollaa ja välttyi kaappaukselta. Liian monella oli käytössään BGP (ilman Sec) kohtalokkain seurauksin. Cisco artikkeli kuvaa tapauksen hyvin, mutta BGPsec/RPKI on vain laastari BGP valuvikaan.

Verkkojen käyttökatkot (BGP ominaisuudet ja osaaminen)

Viimeisen 10 vuoden aikana esille nousseet operaattoreiden suuret käyttökatkot ovat lähes aina paljastuneet reititysongelmaksi. Ne selitetään ”reitittimen” vikaantumisena, mutta se ei ole koko totuus. Reititys protokolla (BGP) huolehtii, että uusi reitti löytyy yksittäisen laitteen vikaantuessa tai kuituverkon katkon sattuessa. Jos näin ei tapahdu, on reititysprotokolla väärin konfiguroitu. On yhdentekevää, kuinka montako fyysistä laitetta tai langatonta yhteyttä on, jos IP-reititys ei toimi laitteistojen vikatilanteessa oikein. Tämä haaste koskee myös privaattiverkkoja (MPLS, Private 5G, SD-WAN jne).

S-laastareilla paikattu arkkitehtuuri, protokollaviidakko, jatkuvat verkon muutokset sekä verkon laajentuminen ja yhteensopivuusvaatimus eri suuntiin on kokeneimmallekin asiantuntijaryhmälle todella haastava. Asiantuntijoita, jotka ymmärtävät tämän kokonaisuuden on vähän. Digitaalisen kaksosen (automaattinen ja tarkka dokumentointi/visualisointi) puuttuessa kokonaisuuden hahmottaminen ja muutoksen vaikutusten arviointi on ihmiselle erittäin haasteellista, jopa mahdotonta.

Riittävän suuri ongelma ratkaistaan (tietoturva)

Internet-verkon käytön laajentuessa on ilmennyt yhä vakavampia tieto-turvaongelmia. Sekä järjestäytynyt rikollisuus että kansallisvaltiot ovat toteuttaneet massiivisia hyökkäyksiä taloudellisen tai poliittisen hyödyn saavuttamiseksi. Olemme nähneet yhä lukuisten suuryritysten ”korkkaamisen” huolimatta massiivisesta panostamisesta tietoturvaan ja sen hallintaan. Tietoturvateollisuus ei kykene ratkaisemaan protokollien valuvikoja. Se useimmiten rakentaa erillisiä tuotteita valuvikojen päälle. Tämä haaste ratkaistaan, jos ja kun tilanne käy sietämättömäksi. Intressi ratkaista juurisyy ei välttämättä löydy tietoturvateollisuuden puolelta.

Riittävän suuri ongelma ratkaistaan (5G ja 6G visio)

5G ja 6G verkon visio erittäin pienestä siirtoviiveestä (URLLC) yhdistettynä palveluiden äärimmäisen luotettavuuteen liikkuvassa kohteessa on ratkaisematta. Vaikka radion (RF) siirtoviive saadaan pienemmäksi ja 5G arkkitehtuuri luotettavammaksi on perusongelma jäljellä. Valokuitu ja mobiiliradioverkko on alemman kerroksen (OSI) infrastruktuuria. Internet-maailma sovelluksineen toimii edelleen TCP/IP-protokollan päällä. Tästä lisää blokissani ”5G latenssin kupla puhkeaa”.

Koillisreitti (Uusi valokuitureitti Euroopasta Aasiaan)

Maapallon Internet-moottoritie jakautuu pääosin itäiselle ja läntiselle (valokuitu) reitille. Suomessa on visioitu uutta koillisreittiä Euroopasta Aasiaan arktisen alueen kautta. Uuden reitin merkitys olisi olematon, koska sinne ei ohjata massiivisesti Internet-liikennettä. BGP-reititysprotokolla on single-path protokolla. Kolmas reitti ja sen täysimääräinen hyödyntäminen vaatii multipath reititysprotokollan eli BGP korvaamisen.

BGP;n single path arkkitehtuuri, sekä siihen liittynyt muutoshallinta olivat juurisyy Facebookin pitkään käyttökatkoon.

Next Generation Internet reititys digitalisaation perustaksi

BGP-protokollan fundamentaalisia valuvirheitä on kuusi kappaletta. En lähde niitä tarkemmin avaamaan terminologian vaikeuden ja suomen kielen kääntämisen haasteen takia. Tärkeää yhteiskunnalle on, että BGP:lle on korvaava ratkaisu eli ”Next Generation Reititysprotokolla”. Teknologiaa ja referenssejä löytyy kaikista kolmesta maanosasta: Kiinasta, Euroopasta ja Yhdysvalloista.

Kun haluamme ottaa sen merkittävän askeleen ja uudistaa Internet kestämään teollinen vallankumous 5.0 ja toteuttaa visiot digitalisaation laajentamisesta, on BGP korvattava Internet- (operaattorien ja suurten palveluntarjoajien) verkosta kehittyneemmällä protokollalla. Kehittyneempi prokolla olisi muutoshallinan osalta tarjonnut myös riskittömän muutoshallinnan Facebookille.

EU digitaalista perustaa rakennetaan savijaloille, jonka tietoturva ja toimintavarmuus ovat kyseenalaisia. Virkamiesten ja politikkojen on nyt syytä olla hereillä. Heidän tulee osaltansa varmistaa Internet-verkon kehittyminen seuraavaan sukupolveen.

Suurilla toimijoilla joihin Facebook lukeutuu, on kyvykkyydet implementoida uusi reititysprotokolla nopeasti. Jonkun on näytettävä suuntaa ja luotava painetta markkinaan. Heillä, kuten kaikilla suurilla SaaS-toimijoilla on intressi juurisyyn ratkaisemiseen. Yhtiön pilkkominen tuskin parantaa mahdollisuuksia saavuttaa haluttu lopputulos eli turvallinen ja toimintavarma Internet-verkko.

 

Hannu Rokka, Senior Advisor

5Feet Networks Oy