El Border Gateway Protocol (BGP) es el protocolo de enrutamiento con el que las redes de internet se comunican qué rangos de direcciones IP pueden alcanzar, y decide así por dónde circula el tráfico.
Cómo funciona BGP
Internet se compone de decenas de miles de sistemas autónomos (AS): redes gestionadas por proveedores de internet, nubes, universidades y empresas. Cada AS anuncia a sus vecinos los prefijos de direcciones IP que le pertenecen a través del puerto TCP 179, y los routers retransmiten esos anuncios eligiendo rutas según su política y la longitud del camino. La versión actual, BGP-4, se define en el RFC 4271. El protocolo se diseñó sobre la confianza: por defecto, un router acepta lo que anuncie su par.
Por qué importa BGP para la seguridad
Como los anuncios no se verifican, errores o acciones maliciosas pueden desviar el tráfico de servicios enteros:
- Fugas y secuestros de rutas: en 2008 Pakistan Telecom anunció por accidente el prefijo de YouTube al intentar bloquearlo en su país, y YouTube quedó inaccesible en todo el mundo durante horas.
- Robo de criptomonedas: en 2018 unos atacantes secuestraron espacio de direcciones de Amazon Route 53 para redirigir el DNS del servicio MyEtherWallet y robar fondos de los monederos de criptomonedas de los usuarios.
- Interceptación: un secuestro puede hacer pasar el tráfico por la red del atacante para un ataque de intermediario y luego reenviarlo, lo que dificulta notarlo.
- Caídas: en octubre de 2021 un cambio de configuración erróneo retiró las rutas BGP de Facebook y dejó sin servicio Facebook, Instagram y WhatsApp durante unas seis horas.
Cómo proteger BGP
- Publicar autorizaciones de origen de ruta (ROA) en RPKI y activar la validación de origen en los routers.
- Filtrar los anuncios de clientes y pares con datos de IRR, siguiendo las directrices de MANRS.
- Proteger las sesiones BGP con autenticación TCP-AO o MD5 y límites de prefijos máximos.
- Vigilar los prefijos propios con servicios de alertas BGP y usar siempre TLS para que el tráfico desviado no pueda leerse.
