徐明伟 清华大学网络科学与网络空间研究院副院长

BGP协议是互联网系统进行路由信息传递的非常重要的协议，全球自治系统（Autonomous System，以下简称AS）的连接基本都是通过BGP协议，但它的安全性却一直令人担忧，外部攻击或人工配置错误等安全问题频发，对网络运营商和企业带来极大威胁。

从技术角度来看，BGP路由安全问题主要体现在路由劫持和路由泄漏两个方面。路由劫持，是指AS通告虚假的BGP路由，劫持网络流量，造成互联网服务中断或数据窃取；路由泄露，是指通告违背商业关系的路由，把不该通告出去的前缀信息通告出去，违反了AS之间的商业关系，造成网络拥塞或中断。图1展现了2008年~2021年间，对国际互联网造成较大影响的BGP路由安全事件。

图1 2008年~2021年间BGP路由安全问题大事件

2022年初以来，俄乌间路由异常事件显著增加。2月14日，乌克兰国家银行和重要军方网站，遭受AS级别的DDoS攻击；2月23日，乌克兰政府部门网站遭受DDoS攻击；2月24日，俄乌军事冲突爆发，乌克兰运营商BGP出现异常，俄罗斯国家机构所在自治系统同样遭受到DDoS攻击；2月25日，乌克兰三大AS发生路由故障，马里乌波尔网络几近断裂。

同时，一些西方网络运营商对俄罗斯进行了制裁，俄国际互联网路由出现被频繁中断的情况。如图2所示，3月4日，Cogent中断俄与欧主干线连接；3月7日，Apple停止通告俄AS206753的路由；3月11日，伦敦IXP删除俄两大AS的路由…… 这些都是以前很少会出现的网络行为。此外，BGP劫持事件在冲突中也频繁发生。

图2 俄国际互联网路由被频繁中断

俄乌冲突引发的路由安全问题，对互联网治理和互联网安全产生了非常深远的影响。

美国FCC发起BGP路由安全调查

如图3所示，2月28日，美国联邦通信委员会FCC发起调查BGP路由安全的通知书。同时提到，俄乌冲突期间，BGP路由攻击行为所带来的严重后果让FCC认识到，之前国家对BGP路由的安全重视不够，此次冲突促使他们不得不向技术机构发起调查通知。

图3 FCC发布调查BGP路由安全通知书

针对俄乌冲突中的异常路由事件，通知书强调：一是重视保障互联网基础设施安全，以减轻路由安全隐患带来的潜在危害；二是重视路由安全措施，评估路由安全事件影响范围并制定测量指标；三是重视RPKI部署，推广RPKI认证机制以防止路由劫持；四是重视安全路由方案BGPSEC推广，并逐步将BGPSEC部署到运营商网络中。

RPKI是资源公钥基础设施，通过维护和验证路由通告中的IP前缀归属，抵御前缀劫持。工作原理是通过在根源加密验证技术手段，保证某一个前缀与AS之间存在绑定关系，当某恶意AS发布虚假前缀，就可以通过验证来进行拦截。如图4所示，假设69.63.176.0这一前缀已通过RPKI验证，并被其他AS认可，那么，即使恶意AS-A发布了虚假前缀，RPKI也不会通过认证，而将其判定为非法路径。

图4 RPKI技术防护路由安全原理

BGPSEC技术通过对路径进行逐跳签名和验证，保护路由通告消息路径完整性，抵御路径劫持。工作原理是对两个相邻AS之间的通告路径进行验证，记录正确的路径信息。如图5所示，当恶意AS-A发布虚假信息时，BGPSEC会通过验证发现异常路径，AS-D无法发布前缀给AS-A，AS-A也就无法劫持路由。因此，当恶意AS通过发布更短的假路径信息进行路径劫持时，可以通过BGPSEC进行预防。

图5 BGPSEC技术防护路由安全原理

4月11日，ISOC国际互联网协会针对FCC所发起的调查BGP路由安全通知书，作出回应：

一方面，ISOC强调应将路由安全的部署聚焦于三个方向：一是考虑路由安全措施部署时的激励机制；二是在制定采购需求上，鼓励优先采购支持路由安全的设备；三是采取分阶段的方式，在网络关键区域先行部署路由安全措施。

另一方面，ISOC针对FCC调查通知书的提问，联合MANRS（由多家互联网运营商于2014年建立的用以联合解决路由安全问题的机构）对其所有成员进行有关路由安全的详细调研。

主要包括路由安全措施部署情况，部署障碍，以及BGPSEC部署推广情况。具体如下：

首先，如图6所示，通过MANRS调研，可知路由安全措施部署有两点情况值得关注：在路由过滤方面，调研比较了基于ROI数据过滤，基于RPKI数据过滤，源地址Anti-Spoofing过滤，以及Customer过滤，最终得出源地址Anti-Spoofing使用最为广泛；另外，运营商普遍认为Customer网络过滤不合法路由是最有效的措施，这也得益于Customer离前缀拥有者最近，发来信息会更加准确。

图6 MANRS调研：路由安全措施部署情况

其次，运营商认识到路由安全策略部署将会面临不小的挑战。争议主要集中在部署开销上，运营商认为安全路由器等设备需要更多开销，比普通设备更贵。同时，大家还比较担心安全措施带来的潜在风险，因为没有经过长时间大范围的实践，目前很难对风险进行准确评估。

最后，根据调研数据显示，路由安全协议BGPSEC的部署情况并不乐观。57%的AS有意愿去部署BGPSEC，但与设备厂商做过沟通的仅占23%，只有14.89%的运营商做了进一步测试，而真正完成BGPSEC部署的运营商少之又少。可见，BGPSEC开销等问题对于路由安全部署来讲影响较大，运营商对BGPSEC缺乏足够的兴趣或需求。

4月13日，Interent2也针对FCC发起的调查BGP路由安全通知书，作出以下三方面回应：

首先，认同路由安全的重要性，并提出路由安全需要网络运营商层次化的协作，高层级的运营商应利用低层级运营商提供的路由策略及RPKI信息进行路由过滤。

其次，在BGP安全措施实际部署层面，Interent2也面临一些障碍：一是来自RPKI的法律障碍，Internet2中超过1000个网络早在ARIN创立前就被分配了IP地址，这些IP地址信息维护和管理未与ARIN签订协议，导致其无法合法使用RPKI、认证的IRR等ARIN提供的安全特性；二是来自协调上的挑战，Internet2由层级化且独立的运营网络组成，部署安全措施需要更高度的协调。

最后，Internet2对提高路由安全提出一系列建议：一是普及路由安全的重要性；二是实施关于路由配置的培训，确保正确的路由策略；三是开发和采用自动化网络配置工具，保证路由策略的一致性；四是开发和采用路由安全观测平台，测量路由安全策略的匹配度；五是开发和维护路由安全控制框架，评估自身路由安全。

关于BGP路由安全的应对举措

总结来看，路由是互联网非常重要的技术，路由系统也是互联网里非常重要的基础设施。通过俄乌冲突，可以看出路由攻击在网络战里堪称大规模杀伤性武器，会造成非常严重的后果。那么，该如何解决BGP安全问题？

一是要有防御手段。通过技术进行预防，改进BGP协议增加安全机制，其中，得到国际认可的RPKI和BGPSEC两大技术，值得关注。但是预防技术的推广部署有一定难度，因为从标准制定到厂商落实，再到运营商部署，需要很长周期。

二是须增强检测手段。利用路由信息收集平台及时监测路由异常。常见的Route Views、BGPMON等系统能够发现路由的异常，例如欧洲RIPENCC建立的路由数据收集平台，就是通过部署在全球的远程路由收集节点（RCC）采集路由信息。此类路由信息收集平台的优点是不需要改变现有路由协议，缺点是这类解决办法属于事后检测，发生异常事件后需要一定时间才能修复。

三是要加强协作手段。相互独立的AS之间原本是竞争关系，而BGP的安全需要他们协作共享，促进防御技术和监测系统的开发与应用。MANRS正是推动BGP路由安全非常重要的机构，它要求成员做好四件事：一是制止错误的路由信息传播；二是阻止具有虚假源IP地址的流量；三是促进全球网络运营沟通和协作；四是促进在全球范围内验证路由信息。

MANRS利用多方测量数据，评价某一区域网络对于MANRS规范的执行程度。从图7可以看出，与美国、俄罗斯相比，我国在网络安全、路由安全等方面存在一定差距，还有很大改进空间。

个人认为，我国可从以下几个方面对网络和路由安全进行改善：

图7 MANRS测评：美国、俄罗斯、中国路由安全数据

第一，重视路由安全，并作出积极应对。加强路由安全人才培养，让更多人了解掌握路由技术；建立路由安全响应机制，在发生异常的情况下，能够尽快应对。

第二，发展我国针对全球的路由态势感知系统，及时评估路由安全隐患，溯源与取证路由安全事件。

第三，积极推动RPKI和BGPSEC部署，保护我国路由系统安全。目前这些技术在我国部署率非常低，虽然它们还存在一些问题，但是依旧得到了国际技术层面的普遍认可。

第四，希望学术界、产业界能够探索更好的安全性技术，设计更好的技术方案，针对RPKI和BGPSEC的缺陷，进行低开销、去中心化、部署激励等方向的研究。此外，也应积极参与互联网标准化组织IETF的工作，开展国际化研究。

本文根据徐明伟教授在互联网基础设施安全论坛上的报告整理

整理：陈荣

声明：本文来自中国教育网络，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。