在互聯(lián)網(wǎng)上BGP的安全現(xiàn)狀如何，有哪些對(duì)應(yīng)的安全措施，這些安全措施的部署現(xiàn)狀和效果如何？本文分兩期推出，將著重介紹MANRS（路由安全相互協(xié)議規(guī)范）項(xiàng)目近年來(lái)對(duì)BGP（邊界網(wǎng)關(guān)協(xié)議）安全做出的成果，讓讀者了解當(dāng)前互聯(lián)網(wǎng)世界里BGP究竟是否安全，以及美國(guó)政府是否有必要進(jìn)行BGP監(jiān)管的核心問(wèn)題。本期是第一期，將介紹BGP的重要性和面臨的風(fēng)險(xiǎn)，以及MANRS的基礎(chǔ)安全措施建議。
BGP的重要性
互聯(lián)網(wǎng)目前擁有超過(guò)68000個(gè)公開(kāi)可見(jiàn)的網(wǎng)絡(luò)，這意味著了解每個(gè)網(wǎng)絡(luò)的存在及其連接方式無(wú)疑是天方夜譚。網(wǎng)絡(luò)可以隨時(shí)產(chǎn)生或者消失，而由于各種隨機(jī)的故障和重新配置，網(wǎng)絡(luò)的連接同樣也在不斷變化。這使得手動(dòng)決定如何在互聯(lián)網(wǎng)中傳輸路由數(shù)據(jù)包過(guò)于復(fù)雜。
互聯(lián)網(wǎng)服務(wù)提供商（ISP）和其他與互聯(lián)網(wǎng)有多個(gè)連接的組織使用的路由器，通常會(huì)采用動(dòng)態(tài)路由。在這種方式下，路由器會(huì)自動(dòng)發(fā)現(xiàn)如何到達(dá)另一個(gè)目的地的方法，以及相應(yīng)的最佳路徑。
路由器每10到60秒定期發(fā)送宣告，告知它們可以到達(dá)的互聯(lián)網(wǎng)部分，稱為路由信息。每個(gè)路由器能夠構(gòu)建一個(gè)路由表，列出所有可能的目的地的所有可能路由。根據(jù)這個(gè)路由表，路由器能夠選擇其認(rèn)為最佳的路徑到達(dá)數(shù)據(jù)包的目的地，除非有特殊需求選擇其他路徑，最佳路徑通常便是最短的路徑。
舉一個(gè)較為形象的比喻，動(dòng)態(tài)路由就像與一個(gè)媒婆合作。你無(wú)法知道世界上所有的單身人士信息，但你認(rèn)識(shí)的媒婆知道幾個(gè)城鎮(zhèn)里的單身人士，也知道附近其他媒婆的情況，這樣你便能了解身處更遠(yuǎn)地方的人。
不同的路由協(xié)議往往用于不同的目的，但我們將重點(diǎn)放到邊界網(wǎng)關(guān)協(xié)議（BGP）。BGP4是用于發(fā)現(xiàn)外部網(wǎng)絡(luò)及其路由策略的事實(shí)標(biāo)準(zhǔn)協(xié)議，它允許路由器生成自己的路由表——互聯(lián)網(wǎng)的聯(lián)絡(luò)圖。
BGP使用自治系統(tǒng)編號(hào)（ASN）來(lái)識(shí)別同一管理域內(nèi)的網(wǎng)絡(luò)，如ISP或大型企業(yè)。路由器還使用ASN來(lái)決定是否接受來(lái)自其他路由器的路由，或優(yōu)先選擇某些路徑。就像媒婆根據(jù)你的興趣、偏好和底線條件篩選潛在的約會(huì)對(duì)象一樣，路由器也會(huì)根據(jù)網(wǎng)絡(luò)的策略篩選出最佳路徑。有些網(wǎng)絡(luò)與其他網(wǎng)絡(luò)是客戶關(guān)系，有些網(wǎng)絡(luò)與其他網(wǎng)絡(luò)則達(dá)成了免費(fèi)傳輸流量的協(xié)議，而某些路徑可能因各種原因更受歡迎。這有點(diǎn)像車?yán)锏男l(wèi)星導(dǎo)航系統(tǒng)，駕駛員可以選擇走最快的路線還是避免收費(fèi)的路線，并且如果遇到交通堵塞或道路封閉，還可以提供其他路線。
即使在互聯(lián)網(wǎng)“核心”（更準(zhǔn)確的稱呼為無(wú)默認(rèn)路由區(qū)）中的最大ISP通常能看到大部分或所有可能存在的路由，每個(gè)路由器對(duì)互聯(lián)網(wǎng)的視圖也是不同的。目前，公開(kāi)通過(guò)BGP宣告的路由已超過(guò)90萬(wàn)條。
BGP面臨的風(fēng)險(xiǎn)
過(guò)去25年來(lái)，路由系統(tǒng)大部分時(shí)間運(yùn)行良好。為什么我們還要討論這樣一個(gè)看起來(lái)運(yùn)作正常的系統(tǒng)呢？在本部分中，我們將探尋全球路由系統(tǒng)中出現(xiàn)的安全問(wèn)題。
路由系統(tǒng)的核心基于網(wǎng)絡(luò)之間的信任。成千上萬(wàn)個(gè)獨(dú)立的網(wǎng)絡(luò)做出獨(dú)立的決策，同時(shí)也作為一個(gè)全球互聯(lián)網(wǎng)整體相互操作。這些網(wǎng)絡(luò)彼此交織，增強(qiáng)了互聯(lián)網(wǎng)的彈性、可擴(kuò)展性和易用性。由于沒(méi)有單一的故障點(diǎn)，路由系統(tǒng)很難在全球?qū)用姹黄茐摹绻粭l路徑失效，網(wǎng)絡(luò)可以輕易地選擇繞過(guò)問(wèn)題區(qū)域傳輸流量。然而，這些確保互聯(lián)網(wǎng)成功的特性同樣帶來(lái)了一些挑戰(zhàn)。
如果我們將路由比作在線約會(huì)，我們可以想象在互聯(lián)網(wǎng)上信任一個(gè)人是多么困難，因?yàn)樵诨ヂ?lián)網(wǎng)某一端的個(gè)人無(wú)法驗(yàn)證其潛在伴侶說(shuō)的是真話還是假話。在BGP（邊界網(wǎng)關(guān)協(xié)議）被設(shè)計(jì)出來(lái)時(shí)，互聯(lián)網(wǎng)僅僅是一個(gè)小型學(xué)術(shù)性的項(xiàng)目，參與者之間都彼此認(rèn)識(shí)，因此，BGP沒(méi)有內(nèi)置任何機(jī)制來(lái)驗(yàn)證路由器發(fā)送的宣告是否合法或正確。事實(shí)上，無(wú)論是有意還是無(wú)意，任何網(wǎng)絡(luò)都可以輕松地宣告任何路由信息。這也就意味著，像約會(huì)游戲一樣，路由也很容易以失敗告終。
僅2018年，在全球范圍內(nèi)就有超過(guò)12000起路由事故。路由泄漏、路由劫持和IP地址欺騙等事件都有可能減慢互聯(lián)網(wǎng)速度，甚至使部分互聯(lián)網(wǎng)無(wú)法訪問(wèn)，從而中斷公司或用戶訪問(wèn)基礎(chǔ)服務(wù)或信息的能力，同時(shí)數(shù)據(jù)包也可能因?yàn)楸粚?dǎo)向惡意網(wǎng)絡(luò)而被監(jiān)聽(tīng)。
常見(jiàn)的BGP安全問(wèn)題包括以下幾類：BGP劫持、BGP泄露和IP地址欺騙。
BGP劫持
BGP劫持也稱為路由劫持，是指攻擊者偽裝成另一個(gè)網(wǎng)絡(luò)，宣布屬于其他網(wǎng)絡(luò)的網(wǎng)絡(luò)前綴。如果這種錯(cuò)誤信息被鄰近網(wǎng)絡(luò)接受并通過(guò)BGP進(jìn)一步傳播，就會(huì)扭曲互聯(lián)網(wǎng)的“路線圖”，導(dǎo)致流量被轉(zhuǎn)發(fā)到攻擊者處，而不是其合法的目的地。
這種情況有時(shí)是由于簡(jiǎn)單的疏忽，但更多情況下是為了攔截流量（例如審查）或發(fā)起拒絕服務(wù)攻擊（例如關(guān)閉網(wǎng)站）。通過(guò)偽裝成另一個(gè)網(wǎng)絡(luò)，攻擊者可以將流量引導(dǎo)到自己的網(wǎng)絡(luò)，而受害者則遭受停機(jī)苦惱。
回到之前的“路由就像在線約會(huì)”的類比，假設(shè)Juan在和Maria聊天，事情進(jìn)展順利。突然有一天，Juan無(wú)法與Maria取得通信了。他每次嘗試發(fā)送消息時(shí)，消息都消失了。結(jié)果發(fā)現(xiàn)，Chad也喜歡Maria，他偷看并讀取了Juan發(fā)給Maria的所有消息。Maria可能最終會(huì)收到這些消息，但Chad首先看到并可能篡改了這些消息。
BGP泄露
BGP泄漏也稱為路由泄漏。許多組織為了提高可靠性或優(yōu)化性能，會(huì)連接到多個(gè)網(wǎng)絡(luò)或上游提供商，這種做法稱為多歸屬。路由泄漏通常發(fā)生在以下情況：一個(gè)組織意外地向一個(gè)上游提供商宣布，通過(guò)另一個(gè)上游提供商有一條通往某個(gè)目的地的路由（無(wú)論這條路徑是否理想）。這使得該組織的網(wǎng)絡(luò)無(wú)意中成為兩個(gè)上游提供商之間的中間人，流量將通過(guò)該組織的網(wǎng)絡(luò)傳輸。最終結(jié)果往往導(dǎo)致非最佳路由、擁塞和潛在的流量未送達(dá)。雖然路由泄漏通常是由無(wú)意的路由器配置錯(cuò)誤引起的，很快就能夠被發(fā)現(xiàn)和修復(fù)，但也可能被故意利用，以通過(guò)另一個(gè)網(wǎng)絡(luò)傳輸流量進(jìn)行監(jiān)聽(tīng)或?qū)嵤┲虚g人攻擊（攻擊者秘密監(jiān)聽(tīng)和篡改發(fā)送方和接收方之間的通信）。
回到Juan和Maria的類比——Juan以為他和Maria處于一段私密關(guān)系中，但Maria突然不再回應(yīng)。原來(lái)，Juan不小心輸錯(cuò)了她的號(hào)碼，所有消息都發(fā)給了Chad。
IP地址欺騙
數(shù)據(jù)在互聯(lián)網(wǎng)上以包含目標(biāo)IP地址（類似于郵寄地址）的數(shù)據(jù)包形式發(fā)送。數(shù)據(jù)包還包含源IP地址，用于標(biāo)識(shí)發(fā)送者并使接收者能夠回復(fù)。
但是，創(chuàng)建和發(fā)送帶有虛假或偽造IP地址的IP數(shù)據(jù)包非常容易，可以隱藏發(fā)送者的身份或冒充另一個(gè)計(jì)算系統(tǒng)。由于路由器很難對(duì)目標(biāo)和源IP地址進(jìn)行驗(yàn)證，因此它們通常不會(huì)進(jìn)行任何檢查，而是直接轉(zhuǎn)發(fā)數(shù)據(jù)包。
這就是反射分布式拒絕服務(wù)（DDoS）攻擊的主要原因之一，其中可能包含偽造源地址的多個(gè)DNS查詢從一個(gè)網(wǎng)絡(luò)發(fā)送，目標(biāo)是另一個(gè)網(wǎng)絡(luò)上的主機(jī)，導(dǎo)致該網(wǎng)絡(luò)收到大量回復(fù)并最終癱瘓。
回到我們最喜歡的那對(duì)注定要失敗的情侶……Maria一直在網(wǎng)上與“Juan”交談。他對(duì)她說(shuō)的都是她想聽(tīng)的，仿佛是一個(gè)完美的男人。結(jié)果，他騙了她！原來(lái)一直是Chad在假裝成Juan！
大多數(shù)路由問(wèn)題都屬于上述三種類型之一。這就是路由安全相互協(xié)議規(guī)范（MANRS）的作用之一。通過(guò)為所有運(yùn)營(yíng)網(wǎng)絡(luò)的組織設(shè)定路由安全基線，我們可以共同努力減少最常見(jiàn)的陷阱。
MANRS的基礎(chǔ)安全措施建議
盡管BGP設(shè)計(jì)之初并沒(méi)有考慮到安全性，但隨著互聯(lián)網(wǎng)的普及，黑客們不斷發(fā)現(xiàn)其漏洞，工程師們意識(shí)到有許多安全問(wèn)題亟待解決。為此，互聯(lián)網(wǎng)社區(qū)多年來(lái)開(kāi)發(fā)了不同解決方案來(lái)應(yīng)對(duì)這些擔(dān)憂。然而，這些解決方案通常并沒(méi)有得到廣泛采用，原因在于網(wǎng)絡(luò)運(yùn)營(yíng)商要么不了解這些解決方案，要么不愿意或無(wú)法投入足夠的資源來(lái)實(shí)施它們。不幸的現(xiàn)實(shí)是，實(shí)施路由安全措施并不會(huì)帶來(lái)太多直接利益。實(shí)施基本的安全措施可能需要花費(fèi)時(shí)間和金錢，而且除非有足夠多的其他網(wǎng)絡(luò)運(yùn)營(yíng)商也在做正確的事情，否則這些措施可能仍然難以發(fā)揮作用。
讓我們?cè)俅位氐皆诰€約會(huì)的類比。你可以在個(gè)人資料中完全誠(chéng)實(shí)地描述你是誰(shuí)以及你想要什么，花時(shí)間仔細(xì)思考你在尋找什么樣的伴侶，并選擇合適的照片，認(rèn)真回答所有問(wèn)題。但如果其他人并沒(méi)有花足夠的時(shí)間去認(rèn)真做這些事情，你同樣可能會(huì)和一些完全不合適的人約會(huì)。但是，如果你能夠確保網(wǎng)站上的每個(gè)人都在真實(shí)地描述自己和他們想要的東西呢？那將是一次游戲規(guī)則的改變！
在互聯(lián)網(wǎng)上，路由事故的發(fā)生頻率逐年增加，問(wèn)題日益嚴(yán)重。在用戶對(duì)網(wǎng)絡(luò)安全愈發(fā)關(guān)注的當(dāng)下，大家可能會(huì)對(duì)負(fù)責(zé)傳輸數(shù)據(jù)的全球路由系統(tǒng)的脆弱性感到震驚。顯然，我們需要采取措施來(lái)解決這個(gè)問(wèn)題，這就是MANRS的作用所在。
MANRS是一個(gè)行業(yè)主導(dǎo)的全球性倡議，旨在通過(guò)合作提供關(guān)鍵的安全措施，以減少最常見(jiàn)的路由事故。這個(gè)縮寫不是偶然的：當(dāng)與鄰居交談時(shí)，說(shuō)可信的話是一種好的禮儀，好的規(guī)范（Manner）。MANRS的行動(dòng)會(huì)帶來(lái)足夠可信的互聯(lián)網(wǎng)路由。加入MANRS的網(wǎng)絡(luò)運(yùn)營(yíng)商、互聯(lián)網(wǎng)交換中心（IXPs）和內(nèi)容分發(fā)網(wǎng)絡(luò)（CDN），通過(guò)同意實(shí)施和遵守基本的路由安全實(shí)踐，承擔(dān)起對(duì)關(guān)鍵互聯(lián)網(wǎng)基礎(chǔ)設(shè)施的韌性和安全性的集體責(zé)任。
小貼士
MANRS
MANRS（路由安全相互協(xié)議規(guī)范）是由國(guó)際互聯(lián)網(wǎng)協(xié)會(huì)ISOC支持的一項(xiàng)已有十年歷史的全球倡議項(xiàng)目，旨在支持路由安全最優(yōu)實(shí)踐的部署，通過(guò)運(yùn)營(yíng)商、交換中心、CDN、云服務(wù)商、設(shè)備商和政策決策者等多方合作，解決互聯(lián)網(wǎng)上路由劫持、路由泄漏和地址仿冒等問(wèn)題，以此提升網(wǎng)絡(luò)空間的安全性和韌性。
通過(guò)共同的努力，MANRS可以確保互聯(lián)網(wǎng)的安全性和可靠性，為所有用戶提供一個(gè)更安全的在線環(huán)境。MANRS提倡的基礎(chǔ)安全措施包括以下幾類。
過(guò)濾（FILTERING）
在上一部分，我們討論了路由劫持和路由泄露事件，這些事件發(fā)生是因?yàn)殄e(cuò)誤的路由信息在網(wǎng)絡(luò)之間傳播而未受到審查。過(guò)濾是一種幫助路由器防止錯(cuò)誤流量傳播的方法。當(dāng)路由器過(guò)濾流量時(shí)，會(huì)檢查對(duì)端網(wǎng)絡(luò)是否只宣告自己或其客戶經(jīng)合法授權(quán)發(fā)起的ASN和IP前綴。
反欺騙（ANTI-SPOOFING）
在上一部分我們還討論了IP地址欺騙，這種情況發(fā)生是因?yàn)楣粽邆卧煸碔P地址，以隱藏發(fā)送者的身份或冒充其他計(jì)算系統(tǒng)。反欺騙通過(guò)驗(yàn)證源地址的正確性，防止帶有偽造源IP地址的流量離開(kāi)網(wǎng)絡(luò)。
路由驗(yàn)證（Route Validation）
路由器需要一種判斷流量是否合法的方法以實(shí)現(xiàn)過(guò)濾和反欺騙，而路由驗(yàn)證技術(shù)可以確認(rèn)IP資源（包括IPv4和IPv6）的所有權(quán)。路由驗(yàn)證技術(shù)主要有兩種方法。
發(fā)布被管網(wǎng)絡(luò)的路由策略：在全球公認(rèn)的互聯(lián)網(wǎng)路由注冊(cè)表（Internet Routing Registry，簡(jiǎn)稱IRR）中發(fā)布網(wǎng)絡(luò)的路由策略，包含該網(wǎng)絡(luò)向其他網(wǎng)絡(luò)通告的所有ASN和IP前綴。
創(chuàng)建有效的路由起源授權(quán)（Route Origination Authorizations，簡(jiǎn)稱ROAs）：為網(wǎng)絡(luò)被授權(quán)的所有IP前綴創(chuàng)建有效的ROA。ROA允許其他網(wǎng)絡(luò)以加密方式驗(yàn)證通告ASN和IP前綴的網(wǎng)絡(luò)是否為這些資源的實(shí)際持有者。
協(xié)調(diào)（Coordination）
即便有了完備的技術(shù)工具，解決問(wèn)題的還是人。協(xié)調(diào)意味著確保每個(gè)網(wǎng)絡(luò)在區(qū)域互聯(lián)網(wǎng)注冊(cè)機(jī)構(gòu)（RIR）的Whois或PeeringDB數(shù)據(jù)庫(kù)中留下最新的聯(lián)系信息，并在發(fā)生事件時(shí)及時(shí)響應(yīng)。通過(guò)有效的協(xié)調(diào)，網(wǎng)絡(luò)運(yùn)營(yíng)商可以更快地溝通合作，降低安全事故對(duì)互聯(lián)網(wǎng)的影響。
MANRS觀測(cè)網(wǎng)站（MANRS Observatory）
為了幫助網(wǎng)絡(luò)識(shí)別其在這些措施方面的表現(xiàn)，MANRS觀察網(wǎng)站（圖1）跟蹤路由事件并顯示全球路由安全的狀態(tài)。該工具將公開(kāi)可用的數(shù)據(jù)源整理成易于閱讀的摘要，既可以展示個(gè)別網(wǎng)絡(luò)的情況，也可以按地區(qū)和國(guó)家/經(jīng)濟(jì)體展示。所有人都可以訪問(wèn)該工具，但只有MANRS參與者可以訪問(wèn)自己網(wǎng)絡(luò)的詳細(xì)信息。
互聯(lián)網(wǎng)帶來(lái)了許多好處，但我們也需要讓它成為一個(gè)更安全和更可靠的地方。路由仍然是互聯(lián)網(wǎng)中最脆弱的組成部分之一，雖然大多數(shù)用戶對(duì)此視而不見(jiàn)，但路由安全不應(yīng)被理所當(dāng)然地忽視。目前，大約有600個(gè)網(wǎng)絡(luò)運(yùn)營(yíng)商承諾實(shí)踐MANRS提出的安全措施，并付諸實(shí)施。其他網(wǎng)絡(luò)運(yùn)營(yíng)商也開(kāi)始將MANRS安全措施視為競(jìng)爭(zhēng)差異化的因素，并努力實(shí)施這些安全方案。隨著越來(lái)越多的網(wǎng)絡(luò)采用MANRS安全措施，識(shí)別惡意行為者將變得更加容易，最終我們將能夠限制或完全阻止來(lái)自這些網(wǎng)絡(luò)的流量。
來(lái)源：《中國(guó)教育網(wǎng)絡(luò)》2024年7月刊
作者：李泓佑、楊望（東南大學(xué)網(wǎng)絡(luò)空間安全學(xué)院）
責(zé)編：項(xiàng)陽(yáng)
