BGP 劫持.

攻击者所在的自治系统通告并不真正拥有的 IP 前缀,从而吸引并可能拦截全球互联网流量的攻击。 它属于网络安全的 网络安全 分类。

攻击者所在的自治系统通告并不真正拥有的 IP 前缀,从而吸引并可能拦截全球互联网流量的攻击。

BGP 劫持利用 Border Gateway Protocol(RFC 4271)缺乏内建身份验证的特性:每个自治系统都信任邻居广播的前缀。攻击者广播受害者的前缀(或更具体的前缀),便能把流量拉到自己的 AS,从而黑洞化、监听或返回伪造响应。著名事件包括 2008 年巴基斯坦电信泄漏 /24 导致 YouTube 全球瘫痪,以及 2018 年攻击者劫持 AWS Route 53 前缀、从 MyEtherWallet 用户处窃取以太币。防御措施结合 RPKI 路由源验证、ASPA 路径验证、BGPsec、前缀过滤、max-prefix 限制、IRR 与 PeeringDB 数据卫生,以及对 RIPE RIS、RouteViews 等公开路由收集器的持续监测。

针对 BGP 劫持 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: 前缀劫持, BGP 前缀劫持。