Het huidige internet is structureel gevoelig voor route-hijacks en ongewenste, stiekeme omleidingen. Daarom moet en kan het internet veiliger, ziet de SCION Association. Het begint allemaal bij de basis, te weten de manier waarop dataverkeer over het netwerk zijn weg vindt. Wij spraken met co-CEO Nicola Rustignoli over hoe SCION een architectuur bouwt die netwerkroutes cryptografisch vastlegt. Het doel is om netwerksoevereiniteit te verbreden en de afhankelijkheid van individuele leveranciers te doorbreken.
SCION staat voor Scalability, Control and Isolation On Next-Generation Networks. De oorsprong ligt ruim elf jaar geleden in een breed onderzoeksproject. Dat startte aan de Carnegie Mellon University in de Verenigde Staten en werd vervolgens jarenlang grondig doorontwikkeld aan de prestigieuze ETH Zürich in Zwitserland.
In 2017 ontstond de commerciële spin-off Anapaya om de opgedane academische kennis naar de markt te brengen, waarna in 2022 de non-profit SCION Association werd opgericht. Inmiddels telt de vereniging diverse leden, variërend van ISP’s tot eindgebruikers en academische instellingen. De associatie financiert zichzelf via lidmaatschapsgelden en subsidies en richt zich hoofdzakelijk op de ontwikkeling van technische specificaties, opensourcebeheer, coördinatie en het organiseren van kennisevenementen.
Waarin verschilt de nieuwe architectuur van SCION precies van het reguliere internet? Rustignoli wijst op de twee essentiële technische pijlers: trust domains en path security, die we hieronder verder uitlichten.
Hoe SCION werkt
Het eerste concept, het trust domain, is een netwerk met een uniform, vooraf vastgesteld vertrouwensniveau dat verankerd is in cryptografie. Dit creëert een federatie van telecomproviders waarbinnen vertrouwen op protocolniveau is ingebakken. In Zwitserland bestaan er al specifieke trust domains voor het Secure Swiss Finance Network (SSFN) en het Secure EFTPOS Network (SEPN), maar de architectuur ondersteunt evengoed bredere geografische varianten. Het publieke SCION-netwerk is gebaseerd op meerdere isolation domains, die onderling met elkaar verbonden zijn. Deze isolation domains zijn zo ontworpen dat ze de blootstelling aan onbevoegde of onbetrouwbare partijen verminderen en helpen het aanvalsoppervlak te verkleinen.
Een isolation domain in SCION is een duidelijk gedefinieerd netwerkdomein waarin communicatie expliciet wordt beheerst door vooraf vastgestelde cryptografische beleidsregels en gedeelde vertrouwensregels. Alleen geautoriseerde deelnemers mogen met elkaar communiceren, waardoor het aanvalsoppervlak wordt verkleind en wordt voorkomen dat services automatisch aan het openbare internet worden blootgesteld.
De tweede pijler is path security. Op het huidige publieke internet bepalen routers dynamisch de meest efficiënte route. Dat leidt er echter toe dat verkeer soms, al dan niet kwaadwillig, een ongemerkte omweg neemt via servers in andere landen. Dit vormt een aanzienlijk risico voor dataveiligheid en spionage. SCION introduceert daarentegen een path-aware architectuur die werkt met path segments in plaats van traditionele forwarding tables. De route wordt cryptografisch in de packet header van de data vastgelegd, waarna de routers de vaste instructies in het datapakketje volgen. De afzender bepaalt en beveiligt zo zelf expliciet het pad door de verschillende autonome systemen heen. Een organisatie kan bijvoorbeeld hard afdwingen dat uiterst gevoelig verkeer fysiek alleen over Nederlandse of Zwitserse ISP’s reist.
In deze context kiest de associatie de woorden zorgvuldig. In vergelijkbare situaties gaat het vaak over soevereiniteit, maar SCION prefereert de term optionality. Keuzevrijheid staat dus voorop. Sommige workloads vereisen een strikt, lokaal en beveiligd pad, terwijl dat voor andere, algemenere datapakketten een stuk minder relevant is.
Het doorbreken van afhankelijkheid
Hoewel een traditionele MPLS-verbinding of leased lines van een grote telco een vergelijkbaar veilig pad kan bieden, is de achterliggende filosofie van SCION fundamenteel anders. Het netwerk wordt gebouwd als een coöperatieve federatie. Gebruikers zijn hierdoor niet langer aangewezen op de infrastructuur van slechts één leverancier, zoals bij gesloten global backbones van grote cloudspelers. In plaats daarvan steunen ze op de collectieve redundantie van een groep aangesloten partijen.
Precies die focus op federaties maakt de wereldwijde uitrol tegelijkertijd lastig. Om in een land succesvol tractie te krijgen, heb je zowel de eindgebruikers als de lokale telecomproviders nodig. Vraag en aanbod moeten nauw op elkaar afgestemd zijn in een ecosysteem. Waar de adoptie de eerste jaren logischerwijs vooral leunde op Zwitserse telco’s, begint het landschap nu internationaal open te breken. Grote partijen als BT, Colt en system integrator IBM zijn inmiddels SCION-enabled. Deze groei is cruciaal voor kritieke infrastructuur. Internationale spelers beschikken immers al over fysieke Points of Presence (PoP’s) en backbone-infrastructuur, waardoor een nieuwe node in het buitenland veel sneller kan worden opgetuigd.
Nederland als Europese springplank, met open standaarden
Naast Zwitserland beschikt de Benelux momenteel over de hoogste concentratie en beschikbaarheid van technische partners. Het Nederlandse ecosysteem toont zich bijzonder bereidwillig. Partijen als internet exchanges NL-ix en AMS-IX, provider Odido en connectiviteitsleverancier Megaport zijn actief betrokken. Eerder bracht Odido Business het SCION-protocol al naar de Nederlandse zakelijke markt, terwijl NL-ix de handen met Anapaya ineensloeg om het netwerk verder over Europa uit te rollen. Bovendien ondersteunt het Nederlandse onderwijs- en onderzoeksnetwerk SURF de SCION-architectuur al jaren en wordt het onderhoud van de opensource-referentie-implementatie mede gefinancierd door Europese fondsen via de in Nederland gevestigde stichting NLnet.
Om brede adoptie te stimuleren, blijft de technologie sterk leunen op open standaarden en specificaties. De referentie-implementatie is volledig open source. Daarnaast werkt de vereniging aan de technische specificaties binnen de IETF (Internet Engineering Task Force), een langlopend traject waarvan de publicatie van de benodigde RFC’s (Request for Comments) inmiddels de eindfase nadert. Een belangrijke operationele stap is dat de vereniging het beheer van de SCION-registry overneemt. Dit orgaan deelt de nummers uit waarmee SCION-netwerken en autonome systemen geïdentificeerd worden. Voor leden is dit beheer kosteloos, niet-leden betalen een vergoeding.
Innovatie via Clockwire en Hummingbird
Hoewel de basisarchitectuur inmiddels haar stabiliteit in productieomgevingen bewijst, staat de academische ontwikkeling aan de ETH Zürich niet stil. Zo richten onderzoekers zich op projecten die momenteel de overstap van het laboratorium naar de commerciële praktijk maken.
Het eerste project, Clockwire, richt zich op hoognauwkeurige tijdsynchronisatie over het netwerk. Tegenwoordig leunen IT-systemen en vitale infrastructuren op tijdsignalen vanuit GNSS (zoals GPS en Galileo). Deze draadloze signalen zijn echter relatief eenvoudig te verstoren (jamming) of te manipuleren (spoofing). Omdat SCION-paden perfect omkeerbaar zijn en de architectuur het mogelijk maakt om via multipathing proactief de route met de laagste vertraging en jitter te selecteren, biedt Clockwire een robuust alternatief over de vaste lijn. In vroege tests werd de precisie van tijdsynchronisatie over het netwerk drastisch verbeterd, van zo’n 50 microseconden naar slechts 5 tot 10 microseconden.
Het tweede initiatief, Hummingbird, biedt de mogelijkheid tot geautomatiseerde bandbreedtereserveringen. Met deze technologie wordt een reguliere SCION-verbinding tijdelijk opgeschaald naar een gereserveerde leaseline met gegarandeerde capaciteit. ISP’s kunnen hun beschikbare, ongebruikte bandbreedte aanbieden via een geautomatiseerde marktplaats. Een klant of applicatie kan deze capaciteit vervolgens dynamisch afnemen, bijvoorbeeld exact 10 megabit per seconde, strikt gereserveerd voor de duur van één minuut, over één specifiek geografisch pad. Dit opent deuren voor uiterst tijdkritische toepassingen. Denk aan een chirurg die veilig en zonder lag op afstand opereert, industriële robotica of ultracompetitieve gamingtoepassingen waar elke milliseconde vertraging het verschil maakt.
Een geleidelijke evolutie
SCION zal het Border Gateway Protocol, waar het huidige internet op leunt voor routing, niet van de ene op de andere dag vervangen. SCION positioneert zich echter uitdrukkelijk als een overlay-netwerk dat krachtig naast en bovenop het bestaande internet kan draaien.
Volgens Rustignoli kost het opbouwen van deze vertrouwensnetwerken en het opschalen van de internationale footprint simpelweg tijd en geduld. Met de overdracht van de registry, de voortgang binnen de IETF-specificatie en de bewezen tractie binnen de Benelux, lijkt de fundering er in ieder geval te liggen. De volgende fase is het verbreden van het ecosysteem, zodat het internet stap voor stap een veiligere plek wordt.
Tip: SCION-internetarchitectuur vanaf nu beschikbaar in Benelux