牡丹江工业4G物联网网关-爱德佳创科技-沈阳4G物联网网关

作为无法应对互联网规模快速扩张的老旧外部网关协议(EGP)的短期解决方案，BGP于1989年被设计出来。但该协议存在一个问题：尽管是互联网运作的基础，BGP却缺乏任何安全措施。

BGP控制着数据从源到目的地的路由，通过保持路线上每一步可用中转的标签来实现。这些中转站的可用性由本地保存的路由表维护，路由表随时更新。问题在于，路由表上没有应用任何安全措施。事实上，整个互联网地图都建立在信任基础上，而信任在今天的互联网上是**品。大片流量可被劫持。

支撑BGP的信任模型很容易被滥用，也经常被滥用。总的说来，大多数滥用被认为是随机的，但有足够多的可疑事件表明，关于BGP安全的担忧，并非空穴来风。鉴于路由表是本地约定**分发，某一个国家的电信公司便能够修改数据通往**的路由。

互联网服务拒绝访问；旁路互联网流量以旁听，及对终端（网站）进行路径攻击；错误交付互联网网络流量到恶意终端；损害基于IP地址的信誉和过滤系统；导致互联网路由不稳定。

较广为人知的路由劫持案例发生在2008年2月，巴基斯坦**认定YouTube上一段关于穆罕默德的视频有损民族尊严后，一家巴基斯坦ISP试图封锁YouTube。这家ISP劫持YouTube到巴基斯坦流量的尝试，切切实实地劫持了整个世界的YouTube流量，让世界上任何地方都访问不了YouTube。虽然目的是达到了，但结果却未必如意——不过其他案例似乎更为恶意。

今年4月，36个大型网络被由俄罗斯**控制的俄罗斯电信公司劫持。研究人员认为，BGP表被认为篡改了，可能是俄罗斯电信公司所为。让俄罗斯电信公司如此可疑的证据，是所涉技术及金融服务公司的高度集中：比如万事达卡、维萨卡、汇丰银行和赛门铁克。

虽然一直BGP滥用相对规模较小，持续时间较短，且有时候是意外，但漏洞却是真实存在的。NIST警告：“这些漏洞尚未被大幅利用的事实，不应让你觉得放松。想想我们的关键基础设施有多少依赖互联网技术——交通运输、通信、金融系统等等。总有一天，有人会有那个动机。”

RPKI允许第三方加密验证互联网地址块和互联网自治系统的所有权声明。源验证提供协议扩展和攻击，让BGP路由器可以使用RPKI数据监测并过滤未经授权的BGP路由声明。路径验证提供进一步的协议扩展，让BGP路由器可以加密验证构成BGP路由的网络序列（自治系统路径）。

源验证将遏阻简单路由劫持攻击和错误配置(无意的)，而路径验证将阻止更复杂和隐秘的路由绕道攻击。二者结合，便可提供一套完整的解决方案，解决原始BGP中发现的路由漏洞。

这3个组件中的规范如今已经完成。*3个组件——路径验证，也被称为BGPsec，于9月由IETF作为 RFC 8205 发布。不过，协议的应用，又是另一回事了。

*1个组件RPKI，于2012年2月在 RFC 6480 中发布。到2016年，尽管全部5个区域互联网注册机构都支持RPKI，路由源授权(ROA)的采纳却迟缓又零散。仅不到7%的**BGP声明是ROA覆盖之下的。RPKI在欧洲(ROA覆盖的地址空间在30%以下)和拉丁美洲(13%)的采纳，要比在北美(3%)要快很多。

随着SIDR的成型，BGP这个1989年的临时解决方案终于有了安全性。该标准能否在大型BGP攻击搞摊整个互联网之前得以**部署，我们尚拭目以待。反正，总有一天，总会有人有那个动机尝试一把的。