BGP (Border Gateway Protocol) — протокол маршрутизації, за допомогою якого мережі інтернету повідомляють одна одній, які діапазони IP-адрес їм доступні, фактично визначаючи, як трафік проходить інтернетом.
Як працює BGP
Інтернет складається з десятків тисяч автономних систем (AS) — мереж провайдерів, хмарних компаній, університетів і підприємств. Кожна AS анонсує сусідам належні їй префікси IP-адрес через TCP-порт 179, а маршрутизатори передають ці анонси далі, обираючи шляхи відповідно до політик і довжини маршруту. Поточну версію BGP-4 описано в RFC 4271. Протокол проєктували з розрахунку на довіру: за замовчуванням маршрутизатор приймає все, що анонсує сусід.
Чому BGP важливий для безпеки
Оскільки анонси не перевіряються, помилки чи зловмисні дії можуть перенаправити трафік цілих сервісів:
- Витоки й перехоплення маршрутів — у 2008 році Pakistan Telecom, намагаючись заблокувати YouTube усередині країни, випадково анонсував його префікс, і YouTube на кілька годин став недоступним у всьому світі.
- Крадіжка криптовалюти — у 2018 році зловмисники перехопили адресний простір Amazon Route 53, перенаправили DNS сервісу MyEtherWallet і викрали кошти з криптогаманців користувачів.
- Перехоплення трафіку — захоплення маршруту дає змогу провести трафік через мережу зловмисника для атаки «людина посередині» і потім відправити його далі, що важко помітити.
- Збої — у жовтні 2021 року помилкова зміна конфігурації відкликала BGP-маршрути Facebook, і Facebook, Instagram та WhatsApp були недоступні близько шести годин.
Як захистити BGP
- Публікувати авторизації джерела маршруту (ROA) в RPKI та вмикати перевірку джерела маршрутів на маршрутизаторах.
- Фільтрувати анонси клієнтів і пірів за даними IRR, дотримуючись рекомендацій MANRS.
- Захищати BGP-сесії автентифікацією TCP-AO або MD5 та лімітами на кількість префіксів.
- Відстежувати свої префікси сервісами моніторингу BGP і завжди використовувати TLS, щоб перехоплений трафік не можна було прочитати.
