BGP hijacking, que se produce cuando los hackers se hacen pasar por sistemas autónomos (AS) y fuente de enrutamiento para interceptar o redirigir el tráfico.

Defectos del BGP y cómo solucionarlos

En 2004, un ISP turco llamado TTNet anunció de manera accidental rutas BGP incorrectas a sus vecinos. Estas rutas afirmaban que el propio TTNet era el mejor destino para todo el tráfico de Internet. A medida que estas rutas se fueron extendiendo a más sistemas autónomos, se produjo una interrupción masiva que originó una crisis de un día de duración en la que muchas personas de todo el mundo no pudieron acceder a una parte o a la totalidad de Internet.

Asimismo, en 2008, un ISP paquistaní intentó utilizar una ruta del BGP para impedir que los usuarios paquistaníes visitaran YouTube. El ISP anunció entonces por error estas rutas con sus AS vecinos y la ruta se extendió con rapidez por la red del BGP de Internet. Esta ruta envió a los usuarios que intentaban acceder a YouTube a un callejón sin salida, lo que provocó que no se pudiera acceder a YouTube durante varias horas.

Otro incidente en esta línea ocurrió en junio de 2019, cuando una pequeña empresa de Pensilvania se convirtió en la ruta preferida para los enrutadores a través de la red de Verizon, provocando que gran parte de Internet dejara de estar disponible para los usuarios durante varias horas.

Estos son ejemplos de una práctica denominada secuestro del BGP, que no siempre ocurre de forma accidental. En abril de 2018, unos atacantes crearon a propósito rutas BGP erróneas para redirigir el tráfico que estaba destinado al servicio DNS de Amazon. Los atacantes pudieron robar más de 100.000 dólares en criptomoneda redirigiendo el tráfico hacia ellos mismos.

El secuestro de BGP se puede utilizar para diversos tipos de ataques:

• Phishing e ingeniería social a través de la redirección de los usuarios a sitios web falsos

• Denegación de servicio (DoS) a través del tráfico de agujero negro o redireccionamiento

• Ataques en ruta para modificar los datos intercambiados y socavar los sistemas de filtrado basados en la reputación.

• Ataques de suplantación para espiar las comunicaciones

Incidentes como este pueden ocurrir porque la función de compartir rutas de BGP se basa en la confianza, y los sistemas autónomos confían implícitamente en las rutas que se comparten con ellos. Cuando los números de sistemas del mismo nivel anuncian información de ruta incorrecta (de menara intencionada o no), el tráfico va a donde no debe ir, con resultados potencialmente maliciosos.

BGP SEGURA: https://isbgpsafeyet.com/ 

Cómo asegurar el BGP

Considerado como BGPsegura, en 2008 se implementó un marco de seguridad para el enrutamiento denominado Infraestructura de clave pública de recursos (RPKI) la cual se define en el RFC6480. Este protocolo ligero se define en RFC6810, y se actualiza posteriormente para incluir soporte BGPsec en RFC8210 (The Resource Public Key Infrastructure (RPKI) to Router Protocol). Este protocolo ligero recibe el apodo de "RTR". La RPKI utiliza registros firmados de forma criptográfica llamados Autorizaciones de origen de ruta (ROA) para validar qué operador de red está autorizado a anunciar las direcciones IP de una organización mediante el BGP. Esto garantiza que solo los usuarios autorizados anuncien los prefijos de una organización.

Sin embargo, la existencia de la RPKI no es suficiente. Si las grandes redes no implementan las mejores prácticas de seguridad BGP, pueden propagar ataques de secuestro a gran escala. En la actualidad, más del 50 % de los principales proveedores de Internet admiten la RPKI en cierta medida, pero se necesita una mayoría más amplia para asegurar completamente el BGP. Los operadores de red pueden proteger sus redes al implementar la RPKI y utilizando tecnología de alerta de red, como la Detección de fugas de ruta de Cloudflare. Esta función ayuda a prevenir los ataques de secuestro de BGP, ya que permite a los clientes saber cuándo usuarios no autorizadas están anunciando sus prefijos.