BGP y RPKI: proteger las rutas de Internet
BGP indica a las redes por dónde enviar el tráfico. Sus fallos (secuestros, fugas) y la defensa RPKI, explicados para los empleados.
En 30 segundos
- Dónde ocurre
- Entre las redes, fuera de la vista del empleado y de su empresa. El NIST habla de anomalías del plano de control del enrutamiento, como el secuestro de prefijos BGP (prefix hijacking) y las fugas de rutas2.
- Qué provoca
- Denegaciones de servicio, desvíos de tráfico no deseados y una degradación del rendimiento2.
- La defensa de los operadores
- RPKI, la validación de origen BGP y el filtrado de prefijos1.
- El reflejo
- Preguntar al proveedor de acceso o de alojamiento cómo protege sus rutas, y no confiar solo en la red para la confidencialidad.
De qué se trata
Cuando un empleado abre un sitio web o envía un mensaje, los datos atraviesan varias redes de las que su empresa no conoce ni el número ni a los operadores. El protocolo BGP (Border Gateway Protocol) sirve para elegir la ruta entre esas redes. La agencia estadounidense NIST lo describe como el protocolo de control que distribuye y calcula las rutas entre las decenas de miles de sistemas autónomos que forman Internet1.
Esta ficha explica qué supone este protocolo para un empleado, qué pueden provocar las anomalías de enrutamiento y qué protección (RPKI) recomienda el NIST. También indica lo que la fuente del NIST no dice, para no prometer más de lo que está establecido.
Preguntas directas
¿Para qué sirve BGP?
BGP distribuye y calcula las rutas entre los sistemas autónomos que componen Internet1. El empleado nunca interviene en este mecanismo: depende de las decisiones de su proveedor de acceso y de las redes que se atraviesan.
¿Cuál es el problema?
El NIST constata que en los últimos años numerosas anomalías del plano de control del enrutamiento, como el secuestro de prefijos BGP y las fugas de rutas, han causado denegaciones de servicio, desvíos de tráfico no deseados y una degradación del rendimiento2.
¿Qué significa RPKI?
RPKI significa Resource Public Key Infrastructure. El NIST la sitúa, junto con la validación de origen BGP (BGP-OV) y el filtrado de prefijos, entre las tecnologías recomendadas para proteger el tráfico de control del enrutamiento entre dominios1. Las fuentes citadas aquí no detallan su funcionamiento interno, así que esta ficha no lo describe.
¿Puede un empleado protegerse de un secuestro de ruta?
No directamente. Estas protecciones se despliegan en los operadores. En cambio, el empleado y su responsable pueden hacer preguntas a sus proveedores, como se explica más abajo.
¿RPKI lo resuelve todo?
Las fuentes citadas aquí no lo dicen. El NIST presenta RPKI como una tecnología recomendada entre otras, y añade medidas contra la suplantación de direcciones IP y los ataques de denegación de servicio1. Una publicación anterior del NIST sobre BGP ya advertía de que sus recomendaciones no constituían una defensa completa contra todas las amenazas3.
1Cómo funciona1 min
El NIST publica en diciembre de 2019 la guía SP 800-189, dedicada al intercambio de tráfico resiliente entre dominios (RITE). Ofrece indicaciones iniciales para proteger el tráfico de control del enrutamiento, impedir la suplantación de direcciones IP y detectar y mitigar ciertas denegaciones de servicio2. Sustituye a la publicación SP 800-54, aparecida en julio de 2007 y retirada el 17 de diciembre de 20193.
Las recomendaciones de 2019 incluyen numerosas medidas sobre BGP. Para el enrutamiento, citan RPKI, la validación de origen BGP y el filtrado de prefijos1. Contra los ataques de denegación de servicio, apuntan en primer lugar a la suplantación de direcciones IP, con la validación de dirección de origen (SAV) mediante listas de control de acceso y uRPF (unicast Reverse Path Forwarding). También citan el filtrado por agujero negro activado de forma remota (RTBH), Flowspec y la limitación de la tasa de respuestas (RRL)1.
El texto de 2007 ya explicaba qué es BGP y su importancia para Internet, y proponía buenas prácticas aplicables a casi todos los routers BGP disponibles entonces. Señalaba que los protocolos mejorados propuestos exigían en general cambios sustanciales del protocolo y podían no funcionar con las implementaciones existentes3.
2Lo que usted hace1 min
Las fuentes no se dirigen a los empleados: lo que sigue aplica sus conclusiones a la vida diaria, sin pretender que ellas lo prescriban.
- Responsable de informática o de compras: preguntar al proveedor de acceso o de alojamiento si aplica la validación de origen BGP, RPKI y el filtrado de prefijos, que el NIST recomienda a los operadores1.
- Responsable de informática: pedir también al proveedor que compruebe que las direcciones de origen de los paquetes que emite son legítimas, lo que corresponde a la validación de dirección de origen recomendada por el NIST1.
- Empresa víctima de una actividad delictiva: comunicarla, pedir a sus proveedores de red que rastreen el origen del tráfico suplantado y compartir la información con la comunidad, aconseja Google4.
- Empleado: tratar la red como un terreno que no se controla. Los casos de más abajo muestran que el tráfico transita por redes que nadie controla de extremo a extremo, de ahí el interés de no confiarle por sí sola la confidencialidad de los intercambios.
3Las trampas1 min
La primera es creer que la red de la empresa es un circuito cerrado. El tráfico pasa por redes de terceros, fuera del control de la empresa.
La segunda trampa es suponer que una protección de enrutamiento basta. El NIST la incluye en un conjunto de medidas en el que figuran también la prevención de la suplantación de direcciones y el filtrado contra la denegación de servicio1.
La tercera es confundir los distintos incidentes de red. Un ataque de denegación de servicio inunda a su objetivo con tráfico inútil; según Google, no expone los datos de los usuarios ni conduce a un compromiso, pero puede provocar una caída y una pérdida de confianza si no se mitiga con rapidez4.
4Casos reales2 min
Marzo de 2014: YouTube inundado por navegadores
Según Google, en marzo de 2014, un JavaScript malicioso inyectado en miles de sitios web mediante un ataque de intermediario en la red llevó a cientos de miles de navegadores a inundar YouTube de solicitudes, hasta un pico de 2,7 millones de solicitudes por segundo4. No es un secuestro BGP, y el texto de Google no lo presenta como tal. Muestra que el tráfico puede modificarse por el camino y volverse contra un servicio, lo que justifica la prudencia del empleado ante la red.
Septiembre de 2017: una denegación de servicio de 2,5 Tbps
Google afirma haber absorbido en septiembre de 2017 un ataque de 2,5 Tbps, culminación de una campaña de seis meses. El atacante había utilizado varias redes para suplantar 167 millones de paquetes por segundo dirigidos a 180 000 servidores CLDAP, DNS y SNMP expuestos, que después devolvían grandes respuestas hacia Google. El ataque no tuvo ningún impacto4. Google avisó a sus proveedores de red de miles de servidores vulnerables y trabajó con ellos para encontrar el origen de los paquetes suplantados, a fin de que se filtraran4. El caso ilustra la suplantación de direcciones IP que las recomendaciones del NIST buscan prevenir1.
Los secuestros de tráfico de Google en 2018 y el incidente de YouTube y Pakistan Telecom de 2008 no figuran en ninguna de las fuentes citadas aquí y, por tanto, no se describen.
Ficha
- Identificador
- CP-231
- Ala
- 3. Protocolos y defensa
- Competencia Brain
- Navegar con seguridad (browse_safely)
- Reflejo Brain
- cr-059
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr
- Fuentes
- 4 fuentes verificadas el 3 de noviembre de 2026
Fuentes4 fuentes
- NIST, «Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation», 17 de diciembre de 2019. https://csrc.nist.gov/pubs/sp/800/189/final (consultado el 3 de noviembre de 2026)
- NIST, «Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation», 17 de diciembre de 2019. https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation (consultado el 3 de noviembre de 2026)
- NIST, «Border Gateway Protocol Security», 17 de julio de 2007. https://csrc.nist.gov/pubs/sp/800/54/final (consultado el 3 de noviembre de 2026)
- Google, «Identifying and protecting against the largest DDoS attacks», 17 de octubre de 2020. https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «BGP y RPKI: proteger las rutas de Internet», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp231_es_2026,
author = {Brain},
title = {BGP y RPKI: proteger las rutas de Internet},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/bgp-rpki-seguridad-rutas-internet/},
note = {CC BY 4.0}
}