BGPハイジャック

BGPハイジャック（プレフィックスハイジャック、ルートハイジャック、IPハイジャックとも呼ばれる）は、ボーダーゲートウェイプロトコル（BGP）を使用して維持されるインターネットルーティングテーブルを改ざんすることにより、IPアドレスのグループを不正に乗っ取る行為です。^{[ 1 ] [ 2 ] [ 3 ] [ 4 ] [ 5 ]}

インターネットは、固有のIPアドレスで識別される接続されたホストが、世界中の他のホストと通信できるようにするグローバルネットワークです。これは、データをあるルーターから別のルーターへと転送し、各パケットを宛先に近づけながら繰り返し移動させることで実現されます。そのためには、各ルーターに最新のルーティングテーブルを定期的に供給する必要があります。グローバルレベルでは、個々のIPアドレスはプレフィックスにグループ化されます。これらのプレフィックスは自律システム（AS）によって生成または所有され、AS間のルーティングテーブルはBGP（ Border Gateway Protocol）を使用して維持されます。

単一の外部ルーティングポリシーに基づいて動作するネットワーク群は、自律システム（AS）と呼ばれます。例えば、Sprint、Verizon、AT&TはそれぞれASです。各ASには固有のAS識別番号があります。BGPは、自律システム間でIPルーティングに関する情報を交換するために使用される標準ルーティングプロトコルです。

各ASはBGPを使用して、トラフィックを配信できるプレフィックスをアドバタイズします。たとえば、ネットワークプレフィックス192.0.2.0 / 24がAS 64496内にある場合、そのASはプロバイダやピアに対して、 192.0.2.0 / 24宛てのトラフィックを配信できることをアドバタイズします。

BGPにはセキュリティ拡張機能が用意されており、ルート検証のためのサードパーティ製ルートデータベースも存在するものの、BGPプロトコルはデフォルトではピアから送信されるすべてのルートアナウンスを信頼するように設計されています。多くのISPはBGPセッションに対する厳格なチェックを実施していません。

IPハイジャックは、意図的または偶発的に、いくつかの方法で発生する可能性があります。

• ASは、実際には発信していないプレフィックスを発信しているとアナウンスする。
• ASは、真の発信元ASがアナウンスするよりも具体的なプレフィックスをアナウンスします。
• あるASは、既に利用可能な経路が存在するかどうかに関わらず、ハイジャックしたASへのトラフィックを、既に利用可能な経路よりも短い経路でルーティングできることをアナウンスする。

これらの方法に共通するのは、通常のネットワークルーティングを妨害することです。パケットはネットワークの誤った部分に転送され、無限ループに陥って破棄されるか、問題のあるASの手に委ねられることになります。

通常、ISPはBGPトラフィックをフィルタリングし、ダウンストリームネットワークからのBGPアドバタイズメントに有効なIPアドレス空間のみが含まれるようにしています。しかし、過去のハイジャック事件を見ると、必ずしもそうではないことがわかります。

リソース公開鍵基盤（RPKI）は、アドレスブロック範囲の所有権を示す暗号証明書チェーンを介してルーティングの発信元を認証するように設計されていますが、まだ広く展開されていません。展開されれば、発信元における不注意（偶発的または意図的）によるIPハイジャックを検出およびフィルタリングできるようになるはずです。

IPハイジャックは、悪意のあるユーザーがスパム送信や分散型サービス拒否（DDoS）攻撃に使用するIPアドレスを取得するために利用されることがある。

ルータが意図的か偶発的かを問わず、誤った BGP ルーティング情報を配信する場合、インターネット技術タスクフォース(IETF) は RFC 7908 でこれを「ルートリーク」と定義しています。これらのリークは、「ルーティングアナウンスが意図した範囲を超えて配信されること」と特徴付けられます。言い換えれば、ある自律システム (AS) から別の AS への学習済み BGP ルートに関するアナウンスは、受信者、送信者、および/または先行する AS パス上のいずれかの AS の意図したポリシーに違反します。このようなリークは、長年にわたる「ボーダーゲートウェイプロトコル ルーティングシステムのシステム上の脆弱性」によって可能になります。^{[ 6 ]}

TCPリセット攻撃と同様に、セッションハイジャックは進行中のBGPセッションへの侵入を伴います。つまり、攻撃者はBGPセッション内のピアの1つになりすますことに成功し、リセット攻撃を実行するために必要な情報と同じ情報を必要とします。違いは、セッションハイジャック攻撃は、BGPピア間のセッションを単に停止させる以上のことを目的として設計される可能性がある点です。たとえば、盗聴、ブラックホール化、またはトラフィック分析を容易にするために、ピアが使用するルートを変更することが目的となる場合があります。

デフォルトでは、BGPピアは他のピアから受信したすべてのルートをデバイスのルーティングテーブルに追加し、その後、これらのルートのほぼすべてを他のBGPピアにアドバタイズしようとします。マルチホーム構成の組織では、意図せずある自律システム（AS）から学習したプレフィックスを別の自律システム（AS）にアドバタイズしてしまう可能性があり、その結果、エンドユーザーが該当するプレフィックスへの最適なパスになってしまうという問題が生じる可能性があります。

例えば、AT&TとVerizonの両方とピアリングしているCiscoルーターを使用している顧客が、フィルタリングを設定していない場合、意図せず2つの大手通信事業者間のリンクを確立してしまう可能性があります。その結果、通信事業者は高速専用回線を利用する代わりに、顧客を経由して（場合によってはT1回線で）トラフィックの一部または全部をルーティングすることを優先する可能性があります。この問題は、これら2つの通信事業者とピアリングしている他のエンティティにも影響を与え、それらのAS（自律システム）が誤って設定されたリンクを優先するようになる可能性もあります。

実際には、大規模なインターネットサービスプロバイダ（ISP）では、エンドユーザーが広告できる内容に制限を設けているため、この問題が発生することは稀です。しかし、顧客の広告をフィルタリングしないISPは、意図せず誤った情報をグローバルルーティングテーブルに伝播させてしまう可能性があり、大規模なティア1プロバイダにも影響を及ぼす可能性があります。

BGPハイジャックの概念は、意図的か否かを問わず、広告をフィルタリングしないインターネットサービスプロバイダ（ISP）を特定すること、または中間者攻撃を受けやすい脆弱な内部BGPセッションやISP間BGPセッションを持つISPを特定することを含みます。特定されると、攻撃者は任意のプレフィックスを広告することができ、正当な送信元からのトラフィックの一部または全部を攻撃者に迂回させることができます。この行為は、侵入したISPを過負荷状態に陥れるため、またはプレフィックスが広告されているエンティティに対してサービス拒否（DoS）攻撃やなりすまし攻撃を実行するために行われます。攻撃者が接続の完全な喪失を含む重大な障害を引き起こすことは珍しくありません。

2008 年初頭の事件では、少なくとも 8 つの米国の大学が、ある朝の約 90 分にわたってトラフィックがインドネシアにリダイレクトされるという被害に遭ったが、この攻撃は関係者によってほとんど隠蔽されていた。また、2008 年 2 月には、 PTAが国内からのサイトへのアクセスをブロックすることを決定したため^{[ 7 ]} 、 YouTube のアドレス空間の大部分がパキスタンにリダイレクトされたが、誤ってグローバル BGP テーブルでそのルートをブラックホール化してしまった。フィルタリングと MD5/TTL 保護は、ほとんどの BGP 実装ですでに利用可能であり (これにより、ほとんどの攻撃の発生源が防止される)、問題は、各 AS が発信できる許可されたプレフィックスのリストを決定する共通の効率的な方法がないため、ISP が他の ISP からの広告をフィルタリングすることはめったにないという概念から生じている。誤った情報がアドバタイズされた場合のペナルティは、他の大規模ISPによる単純なフィルタリングから、隣接するISPによるBGPセッションの完全なシャットダウン（これにより2つのISP間のピアリングが停止する）まで多岐にわたり、問題が繰り返されると、多くの場合、すべてのピアリング契約が永久に終了することになります。また、大手プロバイダが小規模で問題のあるプロバイダをブロックまたはシャットダウンした場合でも、グローバルBGPテーブルは、すべてのピアが対応策を講じるか、または問題のISPがソース側で問題を修正するまで、利用可能な他のルートを介してトラフィックを再構成および再ルーティングすることが多い点にも注目すべきです。

この概念から派生した有用な手法の一つにBGPエニーキャストがあり、ルートDNSサーバーで頻繁に利用されています。これは、複数のサーバーが同じIPアドレスを使用できるようにすることで、冗長性を確保し、数百ものサーバーIPアドレスを公開することなくDoS攻撃に対する保護層を提供するものです。この場合、プレフィックスをアドバタイズする各ポイントは、実際のデータ（この場合はDNS）にアクセスでき、エンドユーザーの要求に正しく応答します。

• 1997年4月：「AS7007事件」^{[ 8 ]}
• 2004年12月24日：トルコのTTNetがインターネットを乗っ取る^{[ 9 ]}
• 2005年5月7日：Googleの2005年5月の障害^{[ 10 ]}
• 2006年1月22日：コン・エジソン・コミュニケーションズがインターネットの大部分を乗っ取る^{[ 11 ]}
• 2008年2月24日：パキスタンが国内でのYouTubeへのアクセスを遮断しようとしたため、YouTubeは完全にダウンした。 ^{[ 12 ]}
• 2008年11月11日：ブラジルのISPであるCTBC - Companhia de Telecomunicações do Brasil Centralが、内部テーブルをグローバルBGPテーブルに漏洩した。^{[ 13 ]}これは5分以上続いた。しかし、RIPEルートサーバーによって検出され、その後伝播されなかったため、実質的には自社のISP顧客と少数の他社のみに影響が及んだ。
• 2010年4月8日：中国のISPがインターネットを乗っ取る^{[ 14 ]}
• 2013 年 7 月:ハッキング チームは、イタリア国家憲兵隊の特殊作戦グループ (ROS) が、Santrex IPv4プレフィックス46.166.163.0/24 が永久に到達不能になったため、制御サーバーの 1 つへのアクセスを突然失った後、リモート アクセス ツール (RAT) クライアントへのアクセスを回復するのを支援しました。ROS とハッキング チームは、イタリアのネットワーク オペレーターであるAruba SpA (AS31034) と協力して、制御サーバーへのアクセスを回復するために、プレフィックスを BGP でアナウンスさせました。^{[ 15 ]}
• 2014年2月：カナダのISPがISPからのデータのリダイレクトに使用されました。^{[ 16 ]} - 2月から5月にかけて22件の事件が発生し、ハッカーが各セッションで約30秒間トラフィックをリダイレクトしました。ビットコインやその他の暗号通貨のマイニング操作が標的となり、通貨が盗まれました。
• 2017年1月：イランのポルノ検閲。^{[ 17 ]}
• 2017年4月：ロシアの通信会社ロステレコム（AS12389）は、多数の他の自律システム向けに37個のプレフィックス^{[ 18 ]を生成しました。ハイジャックされたプレフィックスは、金融機関（特にマスターカードとビザ）、他の通信会社、およびさまざまな他の組織に属していました[ 19 ]} 。ハイジャックの可能性は7分以内でしたが、トラフィックが傍受されたのか、変更されたのかはまだ明らかではありません。
• 2017年12月：通常Google、Apple、Facebook、Microsoft、Twitch、NTTコミュニケーションズ、Riot Gamesなどが発表する80個の高トラフィックプレフィックスが、ロシアのASであるDV-LINK-AS（AS39523）によって発表された。^{[ 20 ] [ 21 ]}
• 2018年4月： Amazon Web Servicesのスペース内の約1300のIPアドレス（ Amazon Route 53専用）が、オハイオ州コロンバスのISPであるeNet（またはその顧客）によってハイジャックされた。Hurricane Electricなどのピアリングパートナー数社が、このアナウンスを無批判に拡散した。^{[ 22 ]}
• 2018年7月：イラン電気通信会社（AS58224）はTelegram Messengerの10個のプレフィックスを生成した。^{[ 23 ]}
• 2018年11月：米国に拠点を置くチャイナテレコムのサイトがGoogleアドレスを生成した。^{[ 24 ]}
• 2019年5月：台湾ネットワーク情報センター（TWNIC）が運営するパブリックDNSへのトラフィックがブラジルのエンティティ（AS268869）にリダイレクトされた。^{[ 25 ]}
• 2019 年 6 月: 大規模なヨーロッパのモバイル トラフィックが China Telecom (AS4134) を経由して再ルーティングされました^{[ 26 ] [ 27 ]}「このルート漏洩は、[スイスの] SafeHost (AS21217) が他のピアやプロバイダから学習した 4 万を超える IPv4 ルートをプロバイダの China Telecom (AS 4134) に通知したことから始まりました。…China Telecom はこれらのルートを受け入れ、伝播しました…」^{[ 28 ]}
• 2021年2月：当初、Cablevision Mexico（AS28548）が282のプレフィックスを漏洩し、80か国の763のASNで競合が発生し、メキシコが主な影響を受けたと報告された。Isolario MRTダンプのデータによると、7,200のIPv4プレフィックスが発表され、AS1874に漏洩し、100か国以上の1,290以上のASNに影響を与えた。^{[ 29 ]}
• 2021年4月：インドから大規模なBGPルーティングが漏洩：Vodafone Idea Ltd（AS55410）を介して30,000以上のBGPプレフィックスがハイジャックされ、受信トラフィックが13倍に急増。プレフィックスは世界中からのものだったが、主に米国からのもので、Google、Microsoft、Akamai、Cloudflareなどが含まれていた。^{[ 30 ]}
• 2022年2月：攻撃者は韓国の仮想通貨プラットフォームに属するBGPプレフィックスを乗っ取り、ZeroSSL経由でドメインに証明書を発行して悪意のあるJavaScriptファイルを配信し、190万ドル相当の仮想通貨を盗みました。^{[ 31 ]}
• 2022年3月：RTCommはTwitterが使用していたプレフィックスを乗っ取った。^{[ 32 ] [ 33 ]}

• ボゴンフィルタリング
• ボーダーゲートウェイプロトコル
• リソース公開鍵基盤
• インターネット障害

• Qrator.Radar：リアルタイムのBGP接続性およびセキュリティ監視システム。
• BGPmon.net：プレフィックスハイジャック、ルートリーク、不安定性を検出するBGP専用の監視システム。
• Cyclops ( 2008年6月28日、 Wayback Machineにアーカイブ)：UCLAによるBGPネットワーク監査ツール（プレフィックスハイジャック、ルートリーク）
• NetViews：メンフィス大学が開発した、リアルタイムBGPトポロジー可視化およびIPハイジャック検出ツール。
• AS-CRED：ペンシルベニア大学が提供する、ドメイン間ルーティングのための評判ベースの信頼管理およびリアルタイムアラート（プレフィックスハイジャック、不安定なプレフィックスアナウンス）サービス。
• BGPはもう安全ですか？：リソース公開鍵基盤（RPKI）を実装しているISPのリスト。