--- id: CP-231 slug: bgp-rpki-sicurezza-rotte-internet lang: it title: "BGP e RPKI: mettere in sicurezza le rotte di Internet" description: BGP indica alle reti dove inviare il traffico. Le sue falle (dirottamenti, fughe di rotte) e la contromisura RPKI, spiegate ai dipendenti. canonical_url: https://startbrain.io/cyberpedia/it/articles/bgp-rpki-sicurezza-rotte-internet/ markdown_url: https://startbrain.io/cyberpedia/it/articles/bgp-rpki-sicurezza-rotte-internet.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «BGP e RPKI: mettere in sicurezza le rotte di Internet», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/bgp-rpki-sicurezza-rotte-internet/ (CC BY 4.0)" wing: 3 theme: browse_safely reflex: cr-059 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/bgp-rpki-sicurezza-rotte-internet/ fr: https://startbrain.io/cyberpedia/fr/articles/bgp-rpki-securite-routes-internet/ en: https://startbrain.io/cyberpedia/en/articles/bgp-rpki-internet-routing-security/ de: https://startbrain.io/cyberpedia/de/articles/bgp-rpki-sicherheit-internet-routen/ es: https://startbrain.io/cyberpedia/es/articles/bgp-rpki-seguridad-rutas-internet/ nl: https://startbrain.io/cyberpedia/nl/articles/bgp-rpki-beveiliging-internetroutes/ sources: - "n": 1 title: "Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/189/final published: "2019-12-17" accessed: "2026-11-03" - "n": 2 title: "Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation" publisher: NIST url: https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation published: "2019-12-17" accessed: "2026-11-03" - "n": 3 title: Border Gateway Protocol Security publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/54/final published: "2007-07-17" accessed: "2026-11-03" - "n": 4 title: Identifying and protecting against the largest DDoS attacks publisher: Google url: https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks published: "2020-10-17" accessed: "2026-11-03" --- # BGP e RPKI: mettere in sicurezza le rotte di Internet Quando un dipendente apre un sito o invia un messaggio, i dati attraversano più reti, di cui la sua azienda non conosce né il numero né i gestori. Il protocollo BGP (Border Gateway Protocol) serve a scegliere il percorso tra queste reti. L'agenzia statunitense NIST lo descrive come il protocollo di controllo che distribuisce e calcola i percorsi tra le decine di migliaia di sistemi autonomi che formano Internet [1]. Questa scheda spiega che cosa cambia questo protocollo per un dipendente, che cosa possono provocare le anomalie di instradamento e quale protezione (RPKI) raccomanda il NIST. Precisa anche che cosa la fonte del NIST non dice, per non promettere più di quanto è accertato. ## In 30 secondi - Dove accade: tra le reti, fuori dalla vista del dipendente e della sua azienda. Il NIST parla di anomalie del piano di controllo dell'instradamento, come il dirottamento di prefisso BGP (prefix hijacking) e le fughe di rotte [2]. - Che cosa provoca: attacchi denial of service, deviazioni indesiderate del traffico e un calo delle prestazioni [2]. - La contromisura degli operatori: RPKI, la validazione dell'origine BGP e il filtraggio dei prefissi [1]. - Il riflesso: chiedere al proprio fornitore di accesso o di hosting come protegge le proprie rotte e non affidarsi alla sola rete per la riservatezza. ## Domande dirette ### A che cosa serve BGP? BGP distribuisce e calcola i percorsi tra i sistemi autonomi che compongono Internet [1]. Il dipendente non interviene mai in questo meccanismo: dipende dalle scelte del suo fornitore di accesso e delle reti attraversate. ### Qual è il problema? Il NIST rileva che negli ultimi anni numerose anomalie del piano di controllo dell'instradamento, come il dirottamento di prefisso BGP e le fughe di rotte, hanno causato attacchi denial of service, deviazioni indesiderate del traffico e un calo delle prestazioni [2]. ### Che cosa significa RPKI? RPKI sta per Resource Public Key Infrastructure. Il NIST la colloca, insieme alla validazione dell'origine BGP (BGP-OV) e al filtraggio dei prefissi, tra le tecnologie raccomandate per proteggere il traffico di controllo dell'instradamento tra domini [1]. Le fonti citate qui non ne illustrano il funzionamento interno: questa scheda quindi non lo descrive. ### Un dipendente può proteggersi da un dirottamento di rotta? Non direttamente. Queste protezioni vengono messe in opera dagli operatori. Il dipendente e il suo responsabile possono però rivolgere domande ai fornitori, come spiegato più avanti. ### RPKI risolve tutto? Le fonti citate qui non lo dicono. Il NIST presenta RPKI come una tecnologia raccomandata tra altre e aggiunge misure contro lo spoofing degli indirizzi IP e contro gli attacchi denial of service [1]. Una precedente pubblicazione del NIST su BGP avvertiva già che le sue raccomandazioni non costituivano una difesa completa contro tutte le minacce [3]. ## Come funziona Nel dicembre 2019 il NIST pubblica la guida SP 800-189, dedicata allo scambio di traffico resiliente tra domini (RITE). Fornisce indicazioni iniziali per proteggere il traffico di controllo dell'instradamento, impedire lo spoofing degli indirizzi IP e rilevare e attenuare alcuni attacchi denial of service [2]. Sostituisce la pubblicazione SP 800-54, uscita nel luglio 2007 e ritirata il 17 dicembre 2019 [3]. Le raccomandazioni del 2019 comprendono numerose misure su BGP. Per l'instradamento citano RPKI, la validazione dell'origine BGP e il filtraggio dei prefissi [1]. Contro gli attacchi denial of service puntano innanzitutto sullo spoofing degli indirizzi IP, con la validazione dell'indirizzo sorgente (SAV) tramite liste di controllo degli accessi e uRPF (unicast Reverse Path Forwarding). Citano anche il filtraggio black hole attivato da remoto (RTBH), Flowspec e la limitazione della frequenza delle risposte (RRL) [1]. Il testo del 2007 spiegava già che cos'è BGP e perché è importante per Internet, e proponeva buone pratiche applicabili a quasi tutti i router BGP allora disponibili. Notava che i protocolli migliorati proposti richiedevano in genere modifiche sostanziali del protocollo e potevano non funzionare con le implementazioni esistenti [3]. ## Che cosa fa Lei Le fonti non si rivolgono ai dipendenti: quanto segue applica le loro constatazioni alla vita quotidiana, senza sostenere che le fonti lo prescrivano. - Responsabile informatico o acquisti: chiedere al fornitore di accesso o di hosting se applica la validazione dell'origine BGP, RPKI e il filtraggio dei prefissi, che il NIST raccomanda agli operatori [1]. - Responsabile informatico: chiedere inoltre al fornitore di verificare che gli indirizzi sorgente dei pacchetti che emette siano legittimi, aspetto che rientra nella validazione dell'indirizzo sorgente raccomandata dal NIST [1]. - Azienda colpita da un'attività criminale: segnalarla, chiedere ai propri fornitori di rete di risalire all'origine del traffico falsificato e condividere l'informazione con la comunità, consiglia Google [4]. - Dipendente: considerare la rete come un terreno non controllato. I casi qui sotto mostrano che il traffico transita per reti che nessuno controlla da un capo all'altro, per cui conviene non affidare solo a essa la riservatezza degli scambi. ## Le trappole Credere che la rete aziendale sia un circuito chiuso è la prima. Il traffico passa per reti di terzi, fuori dal controllo dell'azienda. La seconda trappola è supporre che una protezione dell'instradamento basti. Il NIST la inserisce in un insieme di misure che comprende anche l'anti-spoofing degli indirizzi e il filtraggio contro il denial of service [1]. La terza è confondere i diversi incidenti di rete. Un attacco denial of service inonda il bersaglio di traffico inutile; secondo Google non espone i dati degli utenti e non porta a una compromissione, ma può causare un'interruzione e una perdita di fiducia se non viene attenuato rapidamente [4]. ## Casi reali ### Marzo 2014: YouTube sommersa dai browser Secondo Google, nel marzo 2014 un JavaScript malevolo iniettato in migliaia di siti tramite un attacco man-in-the-middle sulla rete ha spinto centinaia di migliaia di browser a sommergere YouTube di richieste, fino a un picco di 2,7 milioni di richieste al secondo [4]. Non si tratta di un dirottamento BGP e il testo di Google non lo presenta come tale. Mostra che il traffico può essere modificato lungo il percorso e rivolto contro un servizio, il che giustifica la prudenza del dipendente verso la rete. ### Settembre 2017: un denial of service da 2,5 Tbps Google dice di aver assorbito nel settembre 2017 un attacco da 2,5 Tbps, culmine di una campagna durata sei mesi. L'attaccante aveva usato più reti per falsificare 167 milioni di pacchetti al secondo verso 180.000 server CLDAP, DNS e SNMP esposti, che inviavano poi grosse risposte verso Google. L'attacco non ha avuto alcun impatto [4]. Google ha segnalato migliaia di server vulnerabili ai loro fornitori di rete e ha lavorato con loro per risalire all'origine dei pacchetti falsificati, in modo che fossero filtrati [4]. Il caso illustra lo spoofing degli indirizzi IP che le raccomandazioni del NIST cercano di prevenire [1]. I dirottamenti del traffico di Google nel 2018 e l'incidente YouTube e Pakistan Telecom del 2008 non compaiono in nessuna delle fonti citate qui e non sono quindi descritti. ## Fonti 1. NIST, «Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation», 17 dicembre 2019. https://csrc.nist.gov/pubs/sp/800/189/final (consultato il 3 novembre 2026) 2. NIST, «Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation», 17 dicembre 2019. https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation (consultato il 3 novembre 2026) 3. NIST, «Border Gateway Protocol Security», 17 luglio 2007. https://csrc.nist.gov/pubs/sp/800/54/final (consultato il 3 novembre 2026) 4. Google, «Identifying and protecting against the largest DDoS attacks», 17 ottobre 2020. https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/bgp-rpki-sicurezza-rotte-internet/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.