Das Internet hat einen großen Einfluss auf die Weltkultur. Seit dem Anfang ist es ein vielschichtiges System, das Jahr für Jahr um weitere Protokolle ergänzt wird. Das Herzstück ist nach wie vor die Internet-Protokollsuite, in der zunächst die grundlegenden Protokolle wie IPv4, TCP/UDP und DNS eingeführt wurden. In letzter Zeit werden immer mehr schichtenübergreifende Angriffe gemeldet, die Funktionen in mehreren Schichten betreffen. Um diese Angriffe besser zu verstehen, z. B. wie praktikabel sie sind und wie viele Benutzer anfällig sind, sind internetweite Bewertungen unerlässlich.

In dieser kumulativen Dissertation fassen wir unsere Erkenntnisse aus verschiedenen internetweiten Bewertungen der letzten Jahre zusammen, wobei der Schwerpunkt auf dem DNS liegt. Unsere Auswertungen haben gezeigt, dass die IP-Fragmentierung eine praktische Bedrohung für die DNS-Sicherheit darstellt, unabhängig vom Transportprotokoll (TCP oder UDP). Verteidigungsmechanismen wie DNS Response Rate Limiting könnten Angriffe auf DNS erleichtern, selbst wenn sie zum Schutz von DNS entwickelt wurden. Wir haben die Bewertungen auch auf ein grundlegendes System ausgedehnt, das sich stark auf DNS stützt, nämlich die Web-PKI. Wir stellten fest, dass Zertifizierungsstellen stark unter früheren DNS-Schwachstellen litten. Wir haben gezeigt, dass Angreifer aus der Ferne Konten bei großen Zertifizierungsstellen kapern und dort Ressourcen manipulieren können, indem sie verschiedene DNS-Cache-Poisoning-Angriffe durchführen. Das Verfahren zur Domain-Validierung weist ähnliche Schwachstellen auf. Sogar der neueste Multiple-Validation-Agent DV könnte herabgestuft und vergiftet werden.

Auf der anderen Seite haben wir auch eine internetweite Bewertung von zwei wichtigen Verteidigungsmechanismen durchgeführt. Einer davon ist das kryptografische Protokoll für die DNS-Sicherheit, DNSSEC genannt. Wir haben ausgefunden, dass nur weniger als 2% der beliebten Domänen signiert waren, wobei etwa 20% davon falsch konfiguriert waren. Dies ist ein weiteres Beispiel dafür, wie schlecht eingesetzte Abwehrmechanismen die Sicherheit verschlechtern. Ein weiteres Beispiel ist die Ingress-Filterung, die verhindert, dass gefälschter Datenverkehr in ein Netz gelangt. Wir haben die am weitesten fortgeschrittene internetweite Bewertung der Eingangsfilterung vorgestellt, die über 90% aller autonomen Systeme abdeckt. Wir haben ausgefunden, dass über 80% von ihnen für eingehendes Spoofing anfällig waren.