在互聯網上BGP的安全現狀如何，有哪些對應的安全措施，這些安全措施的部署現狀和效果如何？本文分兩期推出，將著重介紹MANRS（路由安全相互協議規范）項目近年來對BGP（邊界網關協議）安全做出的成果，讓讀者了解當前互聯網世界里BGP究竟是否安全，以及美國政府是否有必要進行BGP監管的核心問題。本期是第一期，將介紹BGP的重要性和面臨的風險，以及MANRS的基礎安全措施建議。
BGP的重要性
互聯網目前擁有超過68000個公開可見的網絡，這意味著了解每個網絡的存在及其連接方式無疑是天方夜譚。網絡可以隨時產生或者消失，而由于各種隨機的故障和重新配置，網絡的連接同樣也在不斷變化。這使得手動決定如何在互聯網中傳輸路由數據包過于復雜。
互聯網服務提供商（ISP）和其他與互聯網有多個連接的組織使用的路由器，通常會采用動態路由。在這種方式下，路由器會自動發現如何到達另一個目的地的方法，以及相應的最佳路徑。
路由器每10到60秒定期發送宣告，告知它們可以到達的互聯網部分，稱為路由信息。每個路由器能夠構建一個路由表，列出所有可能的目的地的所有可能路由。根據這個路由表，路由器能夠選擇其認為最佳的路徑到達數據包的目的地，除非有特殊需求選擇其他路徑，最佳路徑通常便是最短的路徑。
舉一個較為形象的比喻，動態路由就像與一個媒婆合作。你無法知道世界上所有的單身人士信息，但你認識的媒婆知道幾個城鎮里的單身人士，也知道附近其他媒婆的情況，這樣你便能了解身處更遠地方的人。
不同的路由協議往往用于不同的目的，但我們將重點放到邊界網關協議（BGP）。BGP4是用于發現外部網絡及其路由策略的事實標準協議，它允許路由器生成自己的路由表——互聯網的聯絡圖。
BGP使用自治系統編號（ASN）來識別同一管理域內的網絡，如ISP或大型企業。路由器還使用ASN來決定是否接受來自其他路由器的路由，或優先選擇某些路徑。就像媒婆根據你的興趣、偏好和底線條件篩選潛在的約會對象一樣，路由器也會根據網絡的策略篩選出最佳路徑。有些網絡與其他網絡是客戶關系，有些網絡與其他網絡則達成了免費傳輸流量的協議，而某些路徑可能因各種原因更受歡迎。這有點像車里的衛星導航系統，駕駛員可以選擇走最快的路線還是避免收費的路線，并且如果遇到交通堵塞或道路封閉，還可以提供其他路線。
即使在互聯網“核心”（更準確的稱呼為無默認路由區）中的最大ISP通常能看到大部分或所有可能存在的路由，每個路由器對互聯網的視圖也是不同的。目前，公開通過BGP宣告的路由已超過90萬條。
BGP面臨的風險
過去25年來，路由系統大部分時間運行良好。為什么我們還要討論這樣一個看起來運作正常的系統呢？在本部分中，我們將探尋全球路由系統中出現的安全問題。
路由系統的核心基于網絡之間的信任。成千上萬個獨立的網絡做出獨立的決策，同時也作為一個全球互聯網整體相互操作。這些網絡彼此交織，增強了互聯網的彈性、可擴展性和易用性。由于沒有單一的故障點，路由系統很難在全球層面被破壞——如果一條路徑失效，網絡可以輕易地選擇繞過問題區域傳輸流量。然而，這些確保互聯網成功的特性同樣帶來了一些挑戰。
如果我們將路由比作在線約會，我們可以想象在互聯網上信任一個人是多么困難，因為在互聯網某一端的個人無法驗證其潛在伴侶說的是真話還是假話。在BGP（邊界網關協議）被設計出來時，互聯網僅僅是一個小型學術性的項目，參與者之間都彼此認識，因此，BGP沒有內置任何機制來驗證路由器發送的宣告是否合法或正確。事實上，無論是有意還是無意，任何網絡都可以輕松地宣告任何路由信息。這也就意味著，像約會游戲一樣，路由也很容易以失敗告終。
僅2018年，在全球范圍內就有超過12000起路由事故。路由泄漏、路由劫持和IP地址欺騙等事件都有可能減慢互聯網速度，甚至使部分互聯網無法訪問，從而中斷公司或用戶訪問基礎服務或信息的能力，同時數據包也可能因為被導向惡意網絡而被監聽。
常見的BGP安全問題包括以下幾類：BGP劫持、BGP泄露和IP地址欺騙。
BGP劫持
BGP劫持也稱為路由劫持，是指攻擊者偽裝成另一個網絡，宣布屬于其他網絡的網絡前綴。如果這種錯誤信息被鄰近網絡接受并通過BGP進一步傳播，就會扭曲互聯網的“路線圖”，導致流量被轉發到攻擊者處，而不是其合法的目的地。
這種情況有時是由于簡單的疏忽，但更多情況下是為了攔截流量（例如審查）或發起拒絕服務攻擊（例如關閉網站）。通過偽裝成另一個網絡，攻擊者可以將流量引導到自己的網絡，而受害者則遭受停機苦惱。
回到之前的“路由就像在線約會”的類比，假設Juan在和Maria聊天，事情進展順利。突然有一天，Juan無法與Maria取得通信了。他每次嘗試發送消息時，消息都消失了。結果發現，Chad也喜歡Maria，他偷看并讀取了Juan發給Maria的所有消息。Maria可能最終會收到這些消息，但Chad首先看到并可能篡改了這些消息。
BGP泄露
BGP泄漏也稱為路由泄漏。許多組織為了提高可靠性或優化性能，會連接到多個網絡或上游提供商，這種做法稱為多歸屬。路由泄漏通常發生在以下情況：一個組織意外地向一個上游提供商宣布，通過另一個上游提供商有一條通往某個目的地的路由（無論這條路徑是否理想）。這使得該組織的網絡無意中成為兩個上游提供商之間的中間人，流量將通過該組織的網絡傳輸。最終結果往往導致非最佳路由、擁塞和潛在的流量未送達。雖然路由泄漏通常是由無意的路由器配置錯誤引起的，很快就能夠被發現和修復，但也可能被故意利用，以通過另一個網絡傳輸流量進行監聽或實施中間人攻擊（攻擊者秘密監聽和篡改發送方和接收方之間的通信）。
回到Juan和Maria的類比——Juan以為他和Maria處于一段私密關系中，但Maria突然不再回應。原來，Juan不小心輸錯了她的號碼，所有消息都發給了Chad。
IP地址欺騙
數據在互聯網上以包含目標IP地址（類似于郵寄地址）的數據包形式發送。數據包還包含源IP地址，用于標識發送者并使接收者能夠回復。
但是，創建和發送帶有虛假或偽造IP地址的IP數據包非常容易，可以隱藏發送者的身份或冒充另一個計算系統。由于路由器很難對目標和源IP地址進行驗證，因此它們通常不會進行任何檢查，而是直接轉發數據包。
這就是反射分布式拒絕服務（DDoS）攻擊的主要原因之一，其中可能包含偽造源地址的多個DNS查詢從一個網絡發送，目標是另一個網絡上的主機，導致該網絡收到大量回復并最終癱瘓。
回到我們最喜歡的那對注定要失敗的情侶……Maria一直在網上與“Juan”交談。他對她說的都是她想聽的，仿佛是一個完美的男人。結果，他騙了她！原來一直是Chad在假裝成Juan！
大多數路由問題都屬于上述三種類型之一。這就是路由安全相互協議規范（MANRS）的作用之一。通過為所有運營網絡的組織設定路由安全基線，我們可以共同努力減少最常見的陷阱。
MANRS的基礎安全措施建議
盡管BGP設計之初并沒有考慮到安全性，但隨著互聯網的普及，黑客們不斷發現其漏洞，工程師們意識到有許多安全問題亟待解決。為此，互聯網社區多年來開發了不同解決方案來應對這些擔憂。然而，這些解決方案通常并沒有得到廣泛采用，原因在于網絡運營商要么不了解這些解決方案，要么不愿意或無法投入足夠的資源來實施它們。不幸的現實是，實施路由安全措施并不會帶來太多直接利益。實施基本的安全措施可能需要花費時間和金錢，而且除非有足夠多的其他網絡運營商也在做正確的事情，否則這些措施可能仍然難以發揮作用。
讓我們再次回到在線約會的類比。你可以在個人資料中完全誠實地描述你是誰以及你想要什么，花時間仔細思考你在尋找什么樣的伴侶，并選擇合適的照片，認真回答所有問題。但如果其他人并沒有花足夠的時間去認真做這些事情，你同樣可能會和一些完全不合適的人約會。但是，如果你能夠確保網站上的每個人都在真實地描述自己和他們想要的東西呢？那將是一次游戲規則的改變！
在互聯網上，路由事故的發生頻率逐年增加，問題日益嚴重。在用戶對網絡安全愈發關注的當下，大家可能會對負責傳輸數據的全球路由系統的脆弱性感到震驚。顯然，我們需要采取措施來解決這個問題，這就是MANRS的作用所在。
MANRS是一個行業主導的全球性倡議，旨在通過合作提供關鍵的安全措施，以減少最常見的路由事故。這個縮寫不是偶然的：當與鄰居交談時，說可信的話是一種好的禮儀，好的規范（Manner）。MANRS的行動會帶來足夠可信的互聯網路由。加入MANRS的網絡運營商、互聯網交換中心（IXPs）和內容分發網絡（CDN），通過同意實施和遵守基本的路由安全實踐，承擔起對關鍵互聯網基礎設施的韌性和安全性的集體責任。
小貼士
MANRS
MANRS（路由安全相互協議規范）是由國際互聯網協會ISOC支持的一項已有十年歷史的全球倡議項目，旨在支持路由安全最優實踐的部署，通過運營商、交換中心、CDN、云服務商、設備商和政策決策者等多方合作，解決互聯網上路由劫持、路由泄漏和地址仿冒等問題，以此提升網絡空間的安全性和韌性。
通過共同的努力，MANRS可以確保互聯網的安全性和可靠性，為所有用戶提供一個更安全的在線環境。MANRS提倡的基礎安全措施包括以下幾類。
過濾（FILTERING）
在上一部分，我們討論了路由劫持和路由泄露事件，這些事件發生是因為錯誤的路由信息在網絡之間傳播而未受到審查。過濾是一種幫助路由器防止錯誤流量傳播的方法。當路由器過濾流量時，會檢查對端網絡是否只宣告自己或其客戶經合法授權發起的ASN和IP前綴。
反欺騙（ANTI-SPOOFING）
在上一部分我們還討論了IP地址欺騙，這種情況發生是因為攻擊者偽造源IP地址，以隱藏發送者的身份或冒充其他計算系統。反欺騙通過驗證源地址的正確性，防止帶有偽造源IP地址的流量離開網絡。
路由驗證（Route Validation）
路由器需要一種判斷流量是否合法的方法以實現過濾和反欺騙，而路由驗證技術可以確認IP資源（包括IPv4和IPv6）的所有權。路由驗證技術主要有兩種方法。
發布被管網絡的路由策略：在全球公認的互聯網路由注冊表（Internet Routing Registry，簡稱IRR）中發布網絡的路由策略，包含該網絡向其他網絡通告的所有ASN和IP前綴。
創建有效的路由起源授權（Route Origination Authorizations，簡稱ROAs）：為網絡被授權的所有IP前綴創建有效的ROA。ROA允許其他網絡以加密方式驗證通告ASN和IP前綴的網絡是否為這些資源的實際持有者。
協調（Coordination）
即便有了完備的技術工具，解決問題的還是人。協調意味著確保每個網絡在區域互聯網注冊機構（RIR）的Whois或PeeringDB數據庫中留下最新的聯系信息，并在發生事件時及時響應。通過有效的協調，網絡運營商可以更快地溝通合作，降低安全事故對互聯網的影響。
MANRS觀測網站（MANRS Observatory）
為了幫助網絡識別其在這些措施方面的表現，MANRS觀察網站（圖1）跟蹤路由事件并顯示全球路由安全的狀態。該工具將公開可用的數據源整理成易于閱讀的摘要，既可以展示個別網絡的情況，也可以按地區和國家/經濟體展示。所有人都可以訪問該工具，但只有MANRS參與者可以訪問自己網絡的詳細信息。
互聯網帶來了許多好處，但我們也需要讓它成為一個更安全和更可靠的地方。路由仍然是互聯網中最脆弱的組成部分之一，雖然大多數用戶對此視而不見，但路由安全不應被理所當然地忽視。目前，大約有600個網絡運營商承諾實踐MANRS提出的安全措施，并付諸實施。其他網絡運營商也開始將MANRS安全措施視為競爭差異化的因素，并努力實施這些安全方案。隨著越來越多的網絡采用MANRS安全措施，識別惡意行為者將變得更加容易，最終我們將能夠限制或完全阻止來自這些網絡的流量。
來源：《中國教育網絡》2024年7月刊
作者：李泓佑、楊望（東南大學網絡空間安全學院）
責編：項陽
