Cloudflare предложил новую методику проверки первого автономного системы (AS) в маршрутах BGP, что значительно повлияет на безопасность сетей. Регулярные хищения маршрутов могли привести к перехвату трафика в соответствии с недавними исследованиями от Spamhaus.
Проблема хищений маршрутов
Недавние случаи хищений маршрутов вызвали тревогу у экспертов. Злоумышленники используют неактивные номера автономных систем (ASN) для создания ложных AS_PATH, что позволяет им перенаправлять трафик не туда, куда он изначально предназначался. Это создает угрозу безопасности, поскольку хакеры могут перехватывать данные и скрывать своё местоположение.В одном из рассмотренных случаев злоумышленник использовал несоответствующие отношения AS в пути, что указывает на подделку маршрутов. Например, ASN 41128 принадлежит Orange S.A., но он был использован в цепочке, которая показывает ненормальные связи с мексиканскими провайдерами.
Решение Cloudflare
Cloudflare предлагает простое решение — проверку первого AS в рекламируемых маршрутах. Это означает, что каждый AS-партнёр должен гарантировать, что их сеть всегда будет представлена как первый AS в пути. По данным исследовательской работы, проведенной Cloudflare, многие крупные сети не удовлетворяют этому требованию. Изучение BGP-реализаций показало, что многие провайдеры не завершают эту базовую проверку.Используя инструмент monocle, исследователи Cloudflare смогли подтвердить, что фальшивое объявление, включающее ASN 13335, не может быть связано с подводящими маршрутизаторами. Это подчеркивает необходимость усиленной проверки AS_PATH. Такие меры могут не только предотвратить хищение маршрутов, но и повысить общую безопасность BGP.
Значение для организаций
Для разработчиков и администраторов сетей это решение может стать ключевым шагом к повышению надежности и безопасности сетевой инфраструктуры. Внедрение проверки первого AS поможет защитить данные компании от утечек и перехватов. Особенно это актуально для компаний, работающих в финансовом и консалтинговом секторах, где безопасность данных критически важна.Следующий шаг — индустрия должна начать интегрировать этот подход в свои стратегии управления сетями, чтобы избежать уязвимостей и хищений трафика.