// HEISE ONLINE — MONDO
Beinahe militärische Telefonate abgehört: Deutsche Hackerin kaperte ENUM-Domains
Einige Inselnationen hatten geschlampt und ihre Telefonie angreifbar gemacht. Die Sicherheitsbehörden reagierten erst spät und nach einem Raketenangriff.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Schlecht gepflegte Domains bergen ein hohes Missbrauchspotenzial, davon kann fast jeder Netzbürger ein Lied singen. Durch gezielte Übernahme von wichtigen Domains lassen sich Phishing-Angriffe starten und E-Mails abfangen – oder gar Telefonate abhören. Wie das geht, hat die Hackerin Lina demonstriert.
Sie setzte bei einer heutzutage fast unbekannten Internetdomain an: e164.arpa ist eine Spezialdomain wie in-addr.arpa und dient zur Adressierung von Telefonnummern in DNS-Namen. Die Idee: Statt über das teure und anfällige Telefonnetz sollten Gespräche künftig über das Internet vermittelt werden. Wer den heise-Verlag unter seiner Hannoveraner Telefonnummer anrufen wollte, solle statt 0511 53520 den DNS-Namen 0.2.5.3.5.1.1.5.9.4.e164.arpa auflösen und erhielte dann Informationen zum zuständigen Telefoniedienst.
Die Idee hört auf den Namen ENUM (E.164 number to URI mapping), setzte sich in der Praxis jedoch nicht durch. Dennoch: Domains unterhalb des Namensraums e164.arpa (benannt nach dem ITU-T-Standard E.164 zur einheitlichen Schreibweise von Rufnummern) gibt es auch in Deutschland, hier verwaltet von der DENIC e.G. Hierzulande lautet die ENUM-Subdomain 9.4.e164.arpa.
Doch diese Geschichte spielt an einem erheblich exotischeren Ort als dem Frankfurter Rechenzentrumsviertel, nämlich auf Napoléons Exilstätte St. Helena, Ascension Island und den britischen Überseegebieten im Indischen Ozean. Alle drei besitzen eigene Landesvorwahlen (+290, +247 und +246) und die zugehörigen ENUM-Domains. Lina fand heraus, dass deren DNS-Namen verwaist waren, die beiden zuständigen Nameserver existierten offenbar nicht mehr.
Mehr noch: Die Domain eines der beiden Nameserver, enum.org.uk, war gelöscht und zur Neuregistrierung freigegeben – die Hackerin ergriff die Gelegenheit. Nun hatte sie alle notwendigen Zutaten für eine „Hackerin-in-the-Middle“-Attacke: Sie kontrollierte alle Antworten auf ENUM-Anfragen für Rufnummern der drei Inselgruppen. So hätte sie eigene SIP-Server (Session Initiation Protocol) für zuständig erklären und Anrufe abfangen oder abhören können.
Doch wer nutzt die sterbende ENUM-Adressierung überhaupt noch? Das versuchte die Tüftlerin herauszufinden, indem sie alle Anfragen für ENUM-Subdomains der Inseln mitschrieb. Zunächst erfolglos: Innerhalb eines Tages lief kein einziger Eintrag in St. Helena auf. Ein halbes Jahr später sah die Situation anders aus: Über 100.000 Anfragen für Rufnummern auf den Inseln Diego Garcia und Ascension Island, die meisten aus den USA. Das bedeutete: Irgendwo in den Vereinigten Staaten versuchte ein Telefonanbieter, Anrufe mittels ENUM auf die Inseln zu vermitteln. Erst als das fehlschlug, weil Linas DNS-Server keine gültigen Antworten lieferte, sondern lediglich Anfragen protokollierte, griff der Anbieter auf andere Mittel zum Verbindungsaufbau zurück.
Während auf Ascension Island etwa 800 Personen leben, hat Diego Garcia keine zivile Bevölkerung – dafür aber eine britische und eine US-amerikanische Militärbasis. Auch auf Ascension gibt es einen Stützpunkt, der von der NSA und dem britischen GCHQ genutzt wird. Die Anrufe waren also für Militärangehörige gedacht, womöglich Gespräche mit ihren daheimgebliebenen Angehörigen.
Ein böswilliger Angreifer hätte mit Leichtigkeit all diese Anrufe über seine eigenen Server umleiten und aufzeichnen können, so Lina. Für feindliche Nationen ein gefundenes Fressen: „Bei Tausenden Anrufen zwischen Soldaten und ihren Familien dürfte hier und da eine geheime Information herausrutschen“, schätzt die Hackerin die Lage ein.