Cyberpediadi Brain
ITDEENESFR

BGP e RPKI: mettere in sicurezza le rotte di Internet

BGP indica alle reti dove inviare il traffico. Le sue falle (dirottamenti, fughe di rotte) e la contromisura RPKI, spiegate ai dipendenti.

In 30 secondi

Dove accade
Tra le reti, fuori dalla vista del dipendente e della sua azienda. Il NIST parla di anomalie del piano di controllo dell'instradamento, come il dirottamento di prefisso BGP (prefix hijacking) e le fughe di rotte2.
Che cosa provoca
Attacchi denial of service, deviazioni indesiderate del traffico e un calo delle prestazioni2.
La contromisura degli operatori
RPKI, la validazione dell'origine BGP e il filtraggio dei prefissi1.
Il riflesso
Chiedere al proprio fornitore di accesso o di hosting come protegge le proprie rotte e non affidarsi alla sola rete per la riservatezza.

Di cosa si tratta

Quando un dipendente apre un sito o invia un messaggio, i dati attraversano più reti, di cui la sua azienda non conosce né il numero né i gestori. Il protocollo BGP (Border Gateway Protocol) serve a scegliere il percorso tra queste reti. L'agenzia statunitense NIST lo descrive come il protocollo di controllo che distribuisce e calcola i percorsi tra le decine di migliaia di sistemi autonomi che formano Internet1.

Questa scheda spiega che cosa cambia questo protocollo per un dipendente, che cosa possono provocare le anomalie di instradamento e quale protezione (RPKI) raccomanda il NIST. Precisa anche che cosa la fonte del NIST non dice, per non promettere più di quanto è accertato.

Domande dirette

A che cosa serve BGP?

BGP distribuisce e calcola i percorsi tra i sistemi autonomi che compongono Internet1. Il dipendente non interviene mai in questo meccanismo: dipende dalle scelte del suo fornitore di accesso e delle reti attraversate.

Qual è il problema?

Il NIST rileva che negli ultimi anni numerose anomalie del piano di controllo dell'instradamento, come il dirottamento di prefisso BGP e le fughe di rotte, hanno causato attacchi denial of service, deviazioni indesiderate del traffico e un calo delle prestazioni2.

Che cosa significa RPKI?

RPKI sta per Resource Public Key Infrastructure. Il NIST la colloca, insieme alla validazione dell'origine BGP (BGP-OV) e al filtraggio dei prefissi, tra le tecnologie raccomandate per proteggere il traffico di controllo dell'instradamento tra domini1. Le fonti citate qui non ne illustrano il funzionamento interno: questa scheda quindi non lo descrive.

Un dipendente può proteggersi da un dirottamento di rotta?

Non direttamente. Queste protezioni vengono messe in opera dagli operatori. Il dipendente e il suo responsabile possono però rivolgere domande ai fornitori, come spiegato più avanti.

RPKI risolve tutto?

Le fonti citate qui non lo dicono. Il NIST presenta RPKI come una tecnologia raccomandata tra altre e aggiunge misure contro lo spoofing degli indirizzi IP e contro gli attacchi denial of service1. Una precedente pubblicazione del NIST su BGP avvertiva già che le sue raccomandazioni non costituivano una difesa completa contro tutte le minacce3.

1Come funziona1 min

Nel dicembre 2019 il NIST pubblica la guida SP 800-189, dedicata allo scambio di traffico resiliente tra domini (RITE). Fornisce indicazioni iniziali per proteggere il traffico di controllo dell'instradamento, impedire lo spoofing degli indirizzi IP e rilevare e attenuare alcuni attacchi denial of service2. Sostituisce la pubblicazione SP 800-54, uscita nel luglio 2007 e ritirata il 17 dicembre 20193.

Le raccomandazioni del 2019 comprendono numerose misure su BGP. Per l'instradamento citano RPKI, la validazione dell'origine BGP e il filtraggio dei prefissi1. Contro gli attacchi denial of service puntano innanzitutto sullo spoofing degli indirizzi IP, con la validazione dell'indirizzo sorgente (SAV) tramite liste di controllo degli accessi e uRPF (unicast Reverse Path Forwarding). Citano anche il filtraggio black hole attivato da remoto (RTBH), Flowspec e la limitazione della frequenza delle risposte (RRL)1.

Il testo del 2007 spiegava già che cos'è BGP e perché è importante per Internet, e proponeva buone pratiche applicabili a quasi tutti i router BGP allora disponibili. Notava che i protocolli migliorati proposti richiedevano in genere modifiche sostanziali del protocollo e potevano non funzionare con le implementazioni esistenti3.

2Che cosa fa Lei1 min

Le fonti non si rivolgono ai dipendenti: quanto segue applica le loro constatazioni alla vita quotidiana, senza sostenere che le fonti lo prescrivano.

  • Responsabile informatico o acquisti: chiedere al fornitore di accesso o di hosting se applica la validazione dell'origine BGP, RPKI e il filtraggio dei prefissi, che il NIST raccomanda agli operatori1.
  • Responsabile informatico: chiedere inoltre al fornitore di verificare che gli indirizzi sorgente dei pacchetti che emette siano legittimi, aspetto che rientra nella validazione dell'indirizzo sorgente raccomandata dal NIST1.
  • Azienda colpita da un'attività criminale: segnalarla, chiedere ai propri fornitori di rete di risalire all'origine del traffico falsificato e condividere l'informazione con la comunità, consiglia Google4.
  • Dipendente: considerare la rete come un terreno non controllato. I casi qui sotto mostrano che il traffico transita per reti che nessuno controlla da un capo all'altro, per cui conviene non affidare solo a essa la riservatezza degli scambi.
3Le trappole1 min

Credere che la rete aziendale sia un circuito chiuso è la prima. Il traffico passa per reti di terzi, fuori dal controllo dell'azienda.

La seconda trappola è supporre che una protezione dell'instradamento basti. Il NIST la inserisce in un insieme di misure che comprende anche l'anti-spoofing degli indirizzi e il filtraggio contro il denial of service1.

La terza è confondere i diversi incidenti di rete. Un attacco denial of service inonda il bersaglio di traffico inutile; secondo Google non espone i dati degli utenti e non porta a una compromissione, ma può causare un'interruzione e una perdita di fiducia se non viene attenuato rapidamente4.

4Casi reali2 min

Marzo 2014: YouTube sommersa dai browser

Secondo Google, nel marzo 2014 un JavaScript malevolo iniettato in migliaia di siti tramite un attacco man-in-the-middle sulla rete ha spinto centinaia di migliaia di browser a sommergere YouTube di richieste, fino a un picco di 2,7 milioni di richieste al secondo4. Non si tratta di un dirottamento BGP e il testo di Google non lo presenta come tale. Mostra che il traffico può essere modificato lungo il percorso e rivolto contro un servizio, il che giustifica la prudenza del dipendente verso la rete.

Settembre 2017: un denial of service da 2,5 Tbps

Google dice di aver assorbito nel settembre 2017 un attacco da 2,5 Tbps, culmine di una campagna durata sei mesi. L'attaccante aveva usato più reti per falsificare 167 milioni di pacchetti al secondo verso 180.000 server CLDAP, DNS e SNMP esposti, che inviavano poi grosse risposte verso Google. L'attacco non ha avuto alcun impatto4. Google ha segnalato migliaia di server vulnerabili ai loro fornitori di rete e ha lavorato con loro per risalire all'origine dei pacchetti falsificati, in modo che fossero filtrati4. Il caso illustra lo spoofing degli indirizzi IP che le raccomandazioni del NIST cercano di prevenire1.

I dirottamenti del traffico di Google nel 2018 e l'incidente YouTube e Pakistan Telecom del 2008 non compaiono in nessuna delle fonti citate qui e non sono quindi descritti.

Scheda

Identificativo
CP-231
Ala
3. Protocolli e difesa
Competenza Brain
Navigare in sicurezza (browse_safely)
Riflesso Brain
cr-059
Schema
G3 · Sezione anatomica
Lingue
de, en, es, fr, it
Fonti
4 fonti verificate il 3 novembre 2026
Fonti4 fonti
  1. NIST, «Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation», 17 dicembre 2019. https://csrc.nist.gov/pubs/sp/800/189/final (consultato il 3 novembre 2026)
  2. NIST, «Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation», 17 dicembre 2019. https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation (consultato il 3 novembre 2026)
  3. NIST, «Border Gateway Protocol Security», 17 luglio 2007. https://csrc.nist.gov/pubs/sp/800/54/final (consultato il 3 novembre 2026)
  4. Google, «Identifying and protecting against the largest DDoS attacks», 17 ottobre 2020. https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «BGP e RPKI: mettere in sicurezza le rotte di Internet», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/bgp-rpki-sicurezza-rotte-internet/

BibTeX 
@misc{brain_cp231_it_2026,
  author = {Brain},
  title = {BGP e RPKI: mettere in sicurezza le rotte di Internet},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/bgp-rpki-sicurezza-rotte-internet/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0