Čtyři třídy útoků na směrování BGP nemají kryptografickou obranu, tvrdí nový přehled
Přehledová práce o bezpečnosti mezidoménového směrování rozdělila útoky na BGP do osmi tříd a přiřadila ke každé obranu, která se dnes používá. U čtyř z nich žádná kryptografická obrana neexistuje – brání se proti nim jen místními filtry a pevně nastavenými limity. Text vyšel otevřeně v recenzovaném časopise IEEE.
Protokol BGP drží internet pohromadě: jednotlivé sítě si jím oznamují, přes koho se dostanou k cizím adresám. Patnáct let se jeho zabezpečení točí kolem jediné otázky – je ten, kdo adresní rozsah ohlašuje, opravdu jeho držitel? Odpovídá na ni RPKI, tedy podepsaná evidence, kdo smí co ohlašovat. Přehledová práce, kterou v časopise IEEE Communications Surveys & Tutorials vydali autoři z římské Sapienzy, z propojovacího uzlu Namex a z italské agentury pro kybernetickou bezpečnost ACN, ukazuje, kolik problému za tou otázkou zůstává.
Vadný atribut, který v květnu 2025 shodil spojení
V úterý 20. května 2025 v 7 hodin UTC se globálním směrováním rozešla jedna zpráva BGP. Nešlo o únos rozsahu ani o únik trasy: byla to obyčejná aktualizace pro jeden blok /16, jenže nesla navíc atribut Prefix-SID podle RFC 8669, který do vnějšího BGP zpravidla nepatří, a k tomu měl celý vnitřek vynulovaný.
Směrovače Cisco IOS-XR a Nokia SR-OS udělaly to, co předepisuje RFC 7606 o snášenlivosti k vadným zprávám: poškozený atribut zahodily a jely dál. JunOS od Juniperu zprávu poslal beze změny dál a zařízení Arista, která ji od něj dostala, na ni odpověděla shozením celého spojení BGP. Protože přenosové sítě jedou z velké části na Juniperu, ztratily zákaznické sítě s Aristou přístup k internetu, podle rozboru Bena Cartwrighta-Coxe nejspíš až na deset minut. Směrovací servery na propojovacích uzlech běží obvykle na démonu BIRD, který atribut Prefix-SID nezná, takže ho nefiltrovaly a rozeslaly dál.
Cartwright-Cox, který incident rozebral z archivu služby bgp.tools, napočítal kolem stovky zasažených sítí; jmenovitě uvádí mimo jiné Starlink, Zscaler, ByteDance a Disney. Jeho sběrač zpráv přijímá běžně 20 000 až 30 000 zpráv za vteřinu, během příhody to bylo v desetivteřinovém průměru přes 150 000 za vteřinu. Přehledová práce totéž číslo uvádí jako víc než 150 000 aktualizací, které během deseti vteřin viděla celá směrovací soustava; to je jiná veličina než tempo na jednom sběrači.
Podstatné je, že po celou dobu nebylo porušeno nic z toho, co RPKI ověřuje. Arista podle přehledové práce chování změnila ve vydání EOS 4.28.11 a novějších.
Osm tříd v jedné tabulce
Z toho místa práce vychází. Rozděluje útoky na směrování do čtyř nadřazených skupin, uvnitř kterých autoři rozlišují osm tříd. Do manipulace s trasou patří únos předpony a úprava cesty AS_PATH. Konzistence směrování pokrývá nestabilitu tabulky a zbytečné drobení předpon. Porušení pravidel obsahuje úniky tras ve čtyřech směrech podle RFC 7908 a ohýbání vlastních pravidel přes Local Preference, MED nebo délku cesty. Poslední skupina je shození relace vadným atributem – přesně to, co se stalo v květnu 2025.
Autoři sami píšou, že nové druhy útoků neobjevili; většina rozdílů už v RFC i v provozní praxi je. Přínosem má být jednotné pojmenování, díky kterému jde ke každé třídě přiřadit obranu.
Kde ochrana opravdu je
Únos předpony je úspěch s výhradami. Pokrytí objekty ROA roste, jenže pokrytí není vynucování: měření, které práce cituje, sáhlo na více než 28 000 autonomních systémů a ukázalo, že 36,2 % z nich neověřuje původ trasy vůbec a jen 12,3 % má plnou ochranu. Benevolentně nastavený parametr maxLength navíc útočnou plochu spíš rozšiřuje, kvůli čemuž vzniklo RFC 9319.
Ověřování celé cesty řeší BGPsec. Existuje, je naprogramované a prakticky nikde nasazené – jediný účastník na trase, který ho neumí, z ohlášení bezpečnostní údaje odstraní, takže částečné nasazení nemá skoro cenu.
Nejvíc se pohnuly úniky tras. Objekty ASPA jdou od prosince 2025 ukládat do repozitářů regionálních registrů a v době psaní práce jich bylo zapsaných 1 314. Podle rozboru, o který se práce opírá, by nasazení u vhodně umístěných sítí srazilo počet zasažených autonomních systémů až o 96 %. Atribut OTC a komunita Down Only, obojí postavené na rolích z RFC 9234, by při výběrovém nasazení u dobře propojených sítí prvního a druhého řádu potlačily přes 98 % víceskokových úniků.
Zbylé čtyři třídy – nestabilita tabulky, drobení předpon, ohýbání pravidel a shození relace atributem – nemají kryptografickou odpověď žádnou. Ne částečně nasazenou: žádnou. Brání se proti nim limitem na počet předpon, filtrem na délku předpony, omezením zátěže řídicí roviny a filtrováním atributů na směrovacích serverech. Všechno to je místní, reaktivní a ten, koho útok postihne, si to nemá jak ověřit. Poctivá odpověď na otázku, jestli je síť chráněná proti záplavě rozdrobených předpon od souseda, podle autorů zní: „máte limit na počet předpon a naději“ (přeloženo z angličtiny).
Proč nepokryté třídy váží víc než dřív
Rizika posunuly dvě věci. První je aritmetika IPv6. Drobení předpon je v IPv4 omezené tím, co útočník opravdu drží; v IPv6 ne. Z jediného bloku /29 lze vytvořit až 524 288 samostatných bloků /48. Globální směrovací tabulka IPv6 měla podle práce kolem 219 000 záznamů, takže jediné přidělení a jediný směrovač ji můžou víc než zdvojnásobit. Obranou je pevně nastavený strop na počet předpon, jenže ten při přísném nastavení zadusí i legitimní růst – proto ho správci nastavují volně.
Druhá věc je posun pozornosti. Čím víc sítí ověřování původu vynucuje, tím menší je výnos z únosu předpony a tím větší z tříd, které nikdo neověřuje.
Nasaditelné poráží dokonalé
Práce z patnácti let vyvozuje, že návrhy S-BGP, soBGP a psBGP nabízely silnější záruky než cokoli dnes používaného a nedostaly se nikam, kdežto RPKI, evidence IRR a nově ASPA se ujaly, protože je lze zavádět po částech. Náklady přitom nese každá síť sama, zatímco užitek je společný; to je klasický problém kolektivního jednání a podle autorů důvod, proč dobře navržené mechanismy uvíznou. Institucionální páky jako směrnice NIS2 nebo návrh Digital Networks Act tu podle nich hrají roli, jejich účinek ale závisí na vymáhání, které je stát od státu jiné.
Nejméně jistí jsou autoři hranicí mezi útokem a nehodou. Skoro každá příhoda z těch čtyř nepokrytých tříd má po ruce nevinné vysvětlení – špatně nastavené přerozdělení tras, skript, který se pustil dvakrát, chyba výrobce. Právě proto se ty třídy zkoumají málo: kolem událostí, které nejdou nikomu připsat, se těžko staví model hrozby. Sami připouštějí, že riziko můžou přeceňovat, a v článku na RIPE Labs vyzvali správce sítí, ať je opraví.
Práce „Survey on Internet Routing Security: Stakeholder Interests, Current, and Future Research Directions“ vyšla otevřeně pod licencí CC BY 4.0 (DOI 10.1109/COMST.2026.3714569). Její shrnutí pro provozovatele sítí vydal jeden ze spoluautorů 21. července na RIPE Labs.