Ich mache viele Fotos. Manchmal nutze ich WLAN. Ein anderes Mal bin ich draußen am Teich (beim Angeln, wenn Sie es genau wissen wollen) und nutze meine Mobilfunkverbindung. Dasselbe Haus. Derselbe Ort.
Und dennoch unterscheiden sich die in Bildern eingebetteten Geolokalisierungsdaten bei Aufnahmen am selben Ort – je nachdem, ob ich mit dem WLAN oder dem Mobilfunknetz verbunden bin. Manchmal bin ich „in der Nähe von Wrightstown“, manchmal nicht. Wenn ich einen Rechner mit Kabelverbindung benutze, wird es noch verrückter. Während ich dies schreibe, wird mein Standort mit Appleton, Wisconsin, angegeben. Das liegt etwa 32 Kilometer südlich von hier. Mein iPhone, das auf demselben Schreibtisch liegt, zeigt dagegen an, dass ich mich in der Town of Lawrence befinde (was stimmt). Ein Foto, das ich auf Facebook hochgeladen habe, verortet mich in der Nähe von Wrightstown, etwa 8 bis 16 Kilometer entfernt.
Es versteht sich von selbst, dass uns allen bewusst ist, dass die Geolokalisierung anhand einer IP-Adresse manchmal ebenso sehr Kunst wie Wissenschaft sein kann. Da ich im GIS-Bereich gearbeitet habe (das ist inzwischen lange her, als ich noch programmieren durfte), weiß ich nur zu gut, welche mathematischen Klimmzüge nötig sind, um Koordinaten präzise Ortsnamen zuzuordnen, ohne dabei die fragwürdige Genauigkeit einer IP-Adresse ins Spiel zu bringen. Betrachten Sie diese außergewöhnliche Situation, die aufgrund der Unwägbarkeiten der IP-basierten Geokodierung auftrat:
MaxMind ordnet IP-Adressen, über die Geräte mit dem Internet verbunden werden, physischen Standorten zu. Das Unternehmen weist darauf hin, dass diese Angaben nicht als präzise Standortbestimmungen gedacht sind.
James und Theresa Arnold zufolge wurde ihr Zuhause als Standort von mehr als 600 Millionen IP-Adressen registriert.
Sie sagen, dies habe viele Menschen zu der irrigen Annahme verleitet, auf dem Grundstück seien zahlreiche Straftaten begangen worden.
„In der ersten Woche nach dem Einzug der Arnolds kamen zwei Hilfssheriffs des Butler County Sheriff's Department zu dem Anwesen, um nach einem gestohlenen Lastwagen zu suchen. Dieses Szenario wiederholte sich in den folgenden fünf Jahren unzählige Male“, heißt es in den bei einem Gericht in Kansas eingereichten Unterlagen.
http://www.bbc.com/news/technology-37048521
Ich bin froh, dass ich nicht die Arnolds* bin. Und obwohl dieser Fall außergewöhnlich ist, zeigt er doch, dass es nicht unbedingt sinnvoll ist, sich auf die IP-Adresse zu verlassen – insbesondere dann, wenn sie unter anderem dazu verwendet wird, den Zugriff auf Anwendungen zu autorisieren.
Wir wissen, dass insbesondere viele Finanzinstitute sich bei der Überprüfung der Gültigkeit von Anmeldeversuchen ebenso sehr auf die IP-Adresse wie auf das verwendete Gerät verlassen. Das ist sinnvoll, wenn man praktisch immer dasselbe Gerät am selben Ort verwendet, da sich die IP-Adresse dann nicht allzu häufig ändert. Bei mobilen Apps, die für viele zunehmend zum bevorzugten Kommunikationsweg mit Kunden werden, könnte dies jedoch problematisch sein. Meine IP-Adresse ändert sich, wenn ich unterwegs bin – und aufgrund der begrenzten WLAN-Reichweite außerhalb meines Zuhauses manchmal sogar dann, wenn ich es nicht bin.
Die IP-Adresse als Identifikationsmerkmal hat ohnehin längst ausgedient. Früher hatte jeder Nutzer eines Breitbandanschlusses eine eigene IP-Adresse, da er sie über DHCP direkt vom Anbieter erhielt. Doch das gehört der Vergangenheit an, seit es in Privathaushalten mehr mit dem Internet verbundene Geräte als Menschen gibt. Laut aktuellen Umfragen„sind in US-amerikanischen Haushalten mit Internetanschluss inzwischen 734 Millionen Geräte im Einsatz, durchschnittlich 7,8 vernetzte Geräte pro Haushalt.“ Das ist doppelt so viel wie der Durchschnitt von 3,14 Personen pro Haushalt in den USA im Jahr 2015.
Das bedeutet, dass die Vorstellung, jeder Person (und inzwischen auch jedem Gerät) eine eigene IP-Adresse zuzuweisen, angesichts der begrenzten Anzahl öffentlicher IPv4-Adressen, die Anbieter vergeben können, weitgehend unhaltbar ist. Im Allgemeinen nutzt jeder Haushalt nur eine öffentliche IP-Adresse, während alle anderen Geräte über diesen kleinen schwarzen Kasten geroutet werden.
Die IP-Adresse als Mittel zur eindeutigen Identifizierung hat ausgedient.
Anmeldedaten – ob Token, Benutzername und Passwort oder eine andere, bislang unentdeckte Methode – sind das beste Mittel, um Benutzer zu identifizieren und damit zu authentifizieren. Angesichts des Missbrauchs von IP-Adressen bei verschiedensten Angriffen sind sie heute auch der beste Weg, Anwendungen zu schützen. Wenn ich meine IP-Adresse genauso leicht fälschen kann wie meinen User-Agent, ist es keine gute Idee, sie als verlässliche Informationsquelle zu betrachten.
Auch für Positiv- oder Sperrlisten sind sie nicht geeignet, denn IP-Adressen lassen sich im Internet innerhalb weniger Sekunden ändern. Regelmäßig werden zig Millionen IP-Adressen als an DDoS-Angriffen beteiligt registriert. Manche absichtlich, andere nur, weil jemand zufällig die falsche Website besucht oder das falsche Gerät gekauft hat. Das Sperren anhand von IP-Adressen bereitet Verbrauchern Probleme. Künftig wird die Nutzung der IP-Reputation bei Weitem nicht mehr so wirksam sein wie einst, als das Internet noch jung und unschuldig und voller wohlmeinender Menschen war. Heute ist das Internet alt und abgeklärt und wimmelt von Angreifern, die ebenso bereitwillig Ihre Geräte missbrauchen wie alles andere. Deshalb müssen wir nach einer anderen Lösung suchen.
Wir müssen Identität als neue Firewall etablieren, um den neuen Perimeter – die Anwendung – abzusichern. Ob durch Föderation oder herkömmliches Identitätsmanagement für Unternehmen: Wir müssen uns stärker auf Identitäten als auf IP-Adressen verlassen, um unser grenzenloses Geschäft abzusichernund einer zunehmend mobilen Gruppe von Nutzern – sowohl Mitarbeitern als auch Kunden – Zugang zu gewähren.
* Interessanterweise heißt die Familie meiner Mutter Arnold. Soweit ich weiß, besteht keine Verwandtschaft, aber wer weiß …
Über den Autor
Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.
Weitere Blogbeiträge von Lori Mac VittieÄhnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...