Neues Tool scannt das ganze Internet in 45 Minuten

Ein Portscan über das gesamte Internet hinweg ist keine Aufgabe mehr, die sehr viel Aufwand erfordert. Dafür sorgt ein neues Tool namens "ZMap", das Informatiker der University of Michigan vorgestellt haben. Die Bürgerrechts-Organisation Electronic Frontier Foundation (EFF) hatte im Jahr 2010 noch eine Untersuchung durchgeführt, wie hoch der Anteil an Hosts im Internet ist, die über verschlüsselte Kanäle erreicht werden können. Um alle Adressen im IPv4-Raum zu scannen wurden damals noch mehr als zwei Monate Zeit benötigt.

ZMap verspricht hier einen großen Sprung: Nach Angaben der Entwickler kann mit der Software ein Scan des gesamtes Internets auf einem herkömmlichen Server durchgeführt werden, der gerade einmal eine Dreiviertel Stunde in Anspruch nimmt. Voraussetzung ist allerdings eine ausreichend schnelle Anbindung: Der Rechner sollte schon mit Gigabit-Ethernet am nächsten Backbone-Knoten hängen.

Bei der EFF hatte man damals noch auf das verbreitete Tool NMap gesetzt. Dieses kann durchaus mehrere Adressen parallel ansteuern, allerdings erzeugt jede ausstehende Anfrage Daten, die aufbewahrt werden müssen, so dass sich der Prozess mit jeder weiteren Verbindung, bei der der Vorgang noch nicht abgeschlossen ist, verlangsamt.

ZMap arbeitet hingegen stateless. Das heißt, dass es eine Anfrage hinausschickt und dann verwirft - ein klassisches Fire & Forget sozusagen. Statt vor Ort einen Overhead aufzubauen, wird jedes ausgeschickte Paket mit jenen Informationen ausgestattet, die notwendig sind, um die Antwort eines anderen Hosts richtig interpretieren zu können. Im direkten Vergleich arbeitet der Scanner dadurch rund tausend mal schneller.

Die Forscher haben ihr Tool bei Tests bereits auf eine ganze Reihe von interessanten Fragestellungen angesetzt. So zeigte sich, dass beispielsweise der Einsatz von HTTPS für verschlüsselte Webverbindungen deutlich zunimmt. Insgesamt wuchs die Zahl von Hosts, die dieses Protokoll anbieten, im vergangenen Jahr um rund 20 Prozent.

Als sich im vergangenen Jahr der Hurrikan Sandy auf die Ostküste der USA zubewegte, starteten die Forscher außerdem alle zwei Stunden einen neuen Scan des Netzes. Als sie anschließend die IP-Adressen von denen Antworten hereinkamen mit geografischen Daten verknüpften, identifizierten sie jene Gegenden, in denen der Sturm die meisten Systeme vom Netz trennte - in einigen gingen deutlich mehr als 30 Prozent der Hosts offline.

ZMap kann natürlich auf eine Reihe von weiteren sinnvollen Fragestellungen Antworten bringen. Das Tool ist aber auch von der dunklen Seite effektiv nutzbar: So dürfte es zukünftig viel schneller gehen, viele Hosts ausfindig zu machen, auf denen eine bestimmte Sicherheitslücke noch nicht gepatched ist.