Sieben Jahre Entwicklung: Externes Audit bescheinigt Routinator einwandfreie Sicherheit

Routinator, ein Open-Source-Softwaretool, das zur Sicherung des Internet-Routingsystems beiträgt, hat gerade ein Sicherheitsaudit abgeschlossen, das seine Reife nach sieben Jahren im Einsatz bestätigt. Das Audit wurde von X41 D-Sec, einer unabhängigen Sicherheitsfirma, durchgeführt und von der Sovereign Tech Agency im Rahmen ihres Sovereign Tech Resilience Programms in Auftrag gegeben. Das Urteil: Routinator weist ein gutes Sicherheitsniveau auf und nutzt die Sicherheitsfunktionen der Programmiersprache Rust gut. Alle Ergebnisse wurden in der neuesten Version, Routinator v0.15.2, veröffentlicht am 8. Juni 2026, behoben.

Um zu verstehen, warum dies wichtig ist, müssen wir uns ansehen, was Routinator tut. Das Internet verlässt sich auf ein Protokoll namens BGP (Border Gateway Protocol), um Datenverkehr zwischen Netzwerken zu leiten. BGP wurde jedoch ursprünglich ohne starke Sicherheitsmaßnahmen entwickelt, was es anfällig für Angriffe wie Route Hijacking macht, bei denen ein Angreifer einen IP-Adressbereich ankündigt, der ihm nicht gehört, und so Datenverkehr umleitet oder abfängt. RPKI (Resource Public Key Infrastructure) löst dies, indem es digitale Signaturen verwendet, um zu überprüfen, ob eine Ankündigung vom legitimen Eigentümer stammt. Routinator ist ein RPKI-Relying-Party-Client: Es ruft RPKI-Daten ab und führt ROV (Route Origin Validation) durch, um sicherzustellen, dass nur gültige Ankündigungen akzeptiert werden. Ab Juli 2026 rufen weltweit mehr als 5000 RPKI-Relying-Party-Clients diese Daten ab, und über 4000 von ihnen verwenden Routinator. Das bedeutet, dass ein erheblicher Teil des Internets von der korrekten Funktion von Routinator abhängt.

Angesichts der kritischen Natur der Software hat sich NLnet Labs stets auf Resilienz konzentriert. Sie haben kürzlich ein Bedrohungsmodell veröffentlicht, das die Zusagen beschreibt, die Routinator unter bestimmten Annahmen macht, wie zum Beispiel, dass das Hostsystem nicht bereits kompromittiert ist. Aber sie wollten sich nicht nur auf ihre eigenen Bemühungen verlassen. Als sich also die Gelegenheit von der Sovereign Tech Agency ergab, Routinator auditieren zu lassen, bewarben sie sich. X41 D-Sec hat Routinator dann, wie das Team es ausdrückt, "durch den Fleischwolf gedreht".

Das Gesamtfazit des Audits ist beruhigend. In den Worten von X41 D-Sec: "Das System scheint auf einem guten Sicherheitsniveau zu sein und nutzt die Sicherheitsfunktionen von Rust gut. Das Audit zeigte, dass der Quellcode den Protokolldefinitionen genau folgt und Vertrauen angemessen aufbaut, indem Signaturen überprüft werden, bevor Daten im lokalen Zustand aktualisiert werden." Es wurden jedoch auch Schwachstellen festgestellt, die hauptsächlich mit Denial-of-Service-Vektoren (DoS) und Verfügbarkeit zusammenhängen, Bereiche, die während der Entwicklung leicht aus dem Blick geraten können.

X41 D-Sec entdeckte sechs verschiedene Probleme, die alle in Routinator v0.15.2 behoben wurden. Es gab auch acht weitere Befunde, die das NLnet-Labs-Team proaktiv behob, obwohl sie zum Zeitpunkt der Entdeckung nicht ausnutzbar waren. Die sechs Probleme lassen sich in vier Kategorien einteilen. Die erste betrifft den HTTP/RTR-Server, der bei Fehlern zu schnell Routinator beendet, auch bei solchen, die hätten behoben werden können. Dies ermöglichte einem Angreifer, einen Denial of Service zu verursachen (CVE-2026-49232). Die zweite Kategorie betrifft RPKI-Objekte, die möglicherweise in Teile des Caches schreiben konnten, die sie nicht beeinflussen sollten (CVE-2026-49233). Drittens konnte ein Parsing-Fehler bei der Verarbeitung von AS-Nummern Routinator zum Absturz bringen, wenn fehlerhafte UTF-8-Eingaben über die API gesendet wurden (CVE-2026-49234). Viertens verursachte ein Fehler in der XML-Parser-Abhängigkeit namens quick-xml Abstürze, wenn speziell präparierte XML-Dokumente geparst wurden (CVE-2026-49235). Das Team freute sich, der Gemeinschaft etwas zurückzugeben, indem es dieses Problem in der Abhängigkeit selbst behob.

Die wichtigste Lehre aus dem Audit ist laut NLnet Labs, beim Parsen von Eingabedaten noch wachsamer zu sein. Obwohl sie bereits daran gearbeitet hatten, ungültige Daten abzulehnen, hatten sie sich nicht genug auf "technisch gültige, aber unvernünftige" Daten konzentriert. Solche Daten könnten zum Beispiel dazu führen, dass Routinator zum Stillstand kommt oder aufgrund von Speichererschöpfung abstürzt. Dies ist besonders gefährlich, wenn die Daten zwischengespeichert werden, da sie beim Neustart erneut geparst würden und wiederholt dasselbe Problem verursachen. Sie werden die Software in Zukunft weiter gegen diese Art von Angriffen härten.

Der vollständige Auditbericht wurde von NLnet Labs öffentlich geteilt, sodass jeder die Details einsehen kann. Sie danken sowohl der Sovereign Tech Agency für die Beauftragung des Audits als auch X41 D-Sec für die Durchführung und stellen fest, dass sie gemeinsam das Internet widerstandsfähiger gemacht haben.

Nun kommt eine entscheidende Erinnerung: Diese Korrekturen schützen nur, wenn Sie auf die neueste Version, Routinator v0.15.2, aktualisieren. Das NLnet-Labs-Team stellt fest, dass viele Instanzen noch mehrere Versionen hinterherhinken und dadurch bekannten Schwachstellen ausgesetzt sind. Wenn Sie Routinator betreiben, ist der Aufruf zum Handeln einfach: Gehen Sie und aktualisieren Sie.

Obwohl sich diese Geschichte auf Routing-Sicherheit konzentriert, fügt sie sich in das breitere Thema des Schutzes Ihres digitalen Lebens ein. So wie Routinator dazu beiträgt, die Routen des Internets sicher zu halten, hilft ein privater, verschlüsselter DNS-Dienst wie AEU DNS, Ihr Surfen vor Manipulation und Überwachung zu schützen. AEU DNS ist ein europäischer, datenschutzorientierter Resolver, der DNS über HTTPS und andere verschlüsselte Protokolle unterstützt und sicherstellt, dass Ihre Online-Anfragen vertraulich bleiben und vor DNS-basierten Angriffen geschützt sind. Durch die Wahl eines solchen Dienstes fügen Sie eine weitere Verteidigungsebene gegen Cyberbedrohungen hinzu.