BGP en RPKI: de routes van het internet beveiligen
BGP bepaalt langs welke netwerken verkeer loopt. Over de zwakke plekken (kaping, lekken) en de RPKI-bescherming, uitgelegd voor medewerkers.
In 30 seconden
- Waar het gebeurt
- Tussen netwerken, buiten het zicht van de medewerker en van het bedrijf. Het NIST spreekt van afwijkingen in het controlevlak van de routering, zoals het kapen van BGP-prefixen (prefix hijacking) en routelekken2.
- Wat het veroorzaakt
- Denial-of-service, ongewenste omleidingen van verkeer en lagere prestaties2.
- De bescherming van de operators
- RPKI, BGP-oorsprongsvalidatie en prefixfiltering1.
- De reflex
- Vraag uw internet- of hostingprovider hoe die zijn routes beschermt, en vertrouw voor vertrouwelijkheid niet op het netwerk alleen.
Waar gaat het over
Wanneer een medewerker een website opent of een bericht verstuurt, reizen de gegevens door meerdere netwerken. Het bedrijf weet niet hoeveel het er zijn en ook niet wie ze beheert. Het protocol BGP (Border Gateway Protocol) dient om de route tussen die netwerken te kiezen. Het Amerikaanse agentschap NIST beschrijft het als het controleprotocol dat de paden verdeelt en berekent tussen de tienduizenden autonome netwerken waaruit het internet bestaat1.
Deze pagina legt uit wat dit protocol voor een medewerker betekent, wat routeringsafwijkingen kunnen veroorzaken en welke bescherming (RPKI) het NIST aanbeveelt. Ze zegt ook wat de NIST-bron niet zegt, om niet meer te beloven dan vaststaat.
Directe vragen
Waarvoor dient BGP?
BGP verdeelt en berekent de paden tussen de autonome netwerken waaruit het internet bestaat1. De medewerker grijpt nooit in dit mechanisme in: hij hangt af van de keuzes van zijn internetprovider en van de netwerken waar het verkeer doorheen gaat.
Wat is het probleem?
Het NIST stelt vast dat de afgelopen jaren veel afwijkingen in het controlevlak van de routering, zoals het kapen van BGP-prefixen en routelekken, hebben geleid tot denial-of-service, ongewenste omleidingen van verkeer en lagere prestaties2.
Waar staat RPKI voor?
RPKI staat voor Resource Public Key Infrastructure. Het NIST rekent RPKI, samen met BGP-oorsprongsvalidatie (BGP-OV) en prefixfiltering, tot de aanbevolen technologieën om het controleverkeer van de routering tussen domeinen te beveiligen1. De hier aangehaalde bronnen beschrijven de werking van RPKI niet in detail, dus doet deze pagina dat ook niet.
Kan een medewerker zich beschermen tegen het kapen van een route?
Niet rechtstreeks. Deze beschermingen worden bij de operators ingevoerd. De medewerker en zijn leidinggevende kunnen wel vragen stellen aan hun leveranciers, zoals hieronder uitgelegd.
Lost RPKI alles op?
De hier aangehaalde bronnen zeggen dat niet. Het NIST presenteert RPKI als één aanbevolen technologie naast andere, en voegt maatregelen toe tegen het vervalsen van IP-adressen en tegen denial-of-service-aanvallen1. Een oudere NIST-publicatie over BGP waarschuwde al dat haar aanbevelingen geen volledige verdediging tegen alle bedreigingen vormden3.
1Hoe het werkt1 min
In december 2019 publiceert het NIST de gids SP 800-189, gewijd aan veerkrachtige uitwisseling van verkeer tussen domeinen (RITE). Die geeft eerste richtlijnen om het controleverkeer van de routering te beschermen, het vervalsen van IP-adressen te voorkomen en bepaalde denial-of-service-aanvallen te detecteren en te beperken2. Ze vervangt publicatie SP 800-54, verschenen in juli 2007 en ingetrokken op 17 december 20193.
De aanbevelingen van 2019 bevatten veel maatregelen voor BGP. Voor de routering noemen ze RPKI, BGP-oorsprongsvalidatie en prefixfiltering1. Tegen denial-of-service-aanvallen richten ze zich eerst op het vervalsen van IP-adressen, met bronadresvalidatie (SAV) via toegangscontrolelijsten en uRPF (unicast Reverse Path Forwarding). Ze noemen ook filtering met een op afstand geactiveerd zwart gat (RTBH), Flowspec en het beperken van de snelheid van antwoorden (RRL)1.
De tekst van 2007 legde al uit wat BGP is en waarom het belangrijk is voor het internet, en stelde best practices voor die gelden voor bijna alle toen beschikbare BGP-routers. Hij merkte op dat de voorgestelde verbeterde protocollen doorgaans ingrijpende wijzigingen van het protocol vereisten en mogelijk niet werkten met bestaande implementaties3.
2Wat u doet1 min
De bronnen richten zich niet tot medewerkers: wat volgt past hun bevindingen toe op het dagelijks werk, zonder te beweren dat zij het voorschrijven.
- Verantwoordelijke voor IT of inkoop: vraag de internet- of hostingprovider of die BGP-oorsprongsvalidatie, RPKI en prefixfiltering toepast, die het NIST aan operators aanbeveelt1.
- Verantwoordelijke voor IT: vraag de provider ook te controleren dat de bronadressen van de pakketten die hij verstuurt legitiem zijn, wat valt onder de bronadresvalidatie die het NIST aanbeveelt1.
- Bedrijf dat het doelwit is van criminele activiteit: meld dit, vraag uw netwerkleveranciers het vervalste verkeer tot de oorsprong te herleiden en deel de informatie met de gemeenschap, adviseert Google4.
- Medewerker: behandel het netwerk als terrein dat u niet beheerst. De onderstaande gevallen laten zien dat verkeer door netwerken loopt die niemand van begin tot eind beheert. Daarom is het verstandig de vertrouwelijkheid van uitwisselingen niet alleen aan het netwerk toe te vertrouwen.
3De valkuilen1 min
Geloven dat het bedrijfsnetwerk een gesloten circuit is, is de eerste. Het verkeer loopt door netwerken van derden, buiten de controle van het bedrijf.
De tweede valkuil is aannemen dat een routeringsbescherming volstaat. Het NIST plaatst die in een geheel van maatregelen waartoe ook bescherming tegen adresvervalsing en filtering tegen denial-of-service behoren1.
De derde is de verschillende netwerkincidenten door elkaar halen. Een denial-of-service-aanval overspoelt het doelwit met nutteloos verkeer. Volgens Google stelt die de gegevens van gebruikers niet bloot en leidt ze niet tot een compromittering, maar ze kan een storing en verlies van vertrouwen veroorzaken als ze niet snel wordt beperkt4.
4Praktijkgevallen2 min
Maart 2014: YouTube overspoeld door browsers
Volgens Google zorgde kwaadaardig JavaScript, in maart 2014 door een man-in-the-middle-aanval op het netwerk in duizenden websites geplaatst, ervoor dat honderdduizenden browsers YouTube overspoelden met verzoeken, tot een piek van 2,7 miljoen verzoeken per seconde4. Dit is geen BGP-kaping, en de tekst van Google presenteert het ook niet zo. Het laat zien dat verkeer onderweg kan worden gewijzigd en tegen een dienst kan worden gekeerd, wat de voorzichtigheid van de medewerker tegenover het netwerk rechtvaardigt.
September 2017: een denial-of-service van 2,5 Tbps
Google zegt in september 2017 een aanval van 2,5 Tbps te hebben opgevangen, het hoogtepunt van een campagne van zes maanden. De aanvaller had meerdere netwerken gebruikt om 167 miljoen pakketten per seconde te vervalsen, gericht op 180.000 blootgestelde CLDAP-, DNS- en SNMP-servers, die vervolgens grote antwoorden naar Google terugstuurden. De aanval had geen enkel effect4. Google meldde duizenden kwetsbare servers aan hun netwerkproviders en werkte met hen samen om de oorsprong van de vervalste pakketten te achterhalen, zodat ze gefilterd werden4. Het geval illustreert het vervalsen van IP-adressen dat de aanbevelingen van het NIST proberen te voorkomen1.
De kapingen van Google-verkeer in 2018 en het incident met YouTube en Pakistan Telecom in 2008 komen in geen van de hier aangehaalde bronnen voor en worden daarom hier niet beschreven.
Fiche
- Identificatie
- CP-231
- Vleugel
- 3. Protocollen en verdediging
- Brain-competentie
- Veilig surfen (browse_safely)
- Brain-reflex
- cr-059
- Schema
- G3 · Anatomische doorsnede
- Talen
- de, en, es, fr, it, nl
- Bronnen
- 4 bronnen gecontroleerd op 3 november 2026
Bronnen4 bronnen
- NIST, “Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation”, 17 december 2019. https://csrc.nist.gov/pubs/sp/800/189/final (geraadpleegd op 3 november 2026)
- NIST, “Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation”, 17 december 2019. https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation (geraadpleegd op 3 november 2026)
- NIST, “Border Gateway Protocol Security”, 17 juli 2007. https://csrc.nist.gov/pubs/sp/800/54/final (geraadpleegd op 3 november 2026)
- Google, “Identifying and protecting against the largest DDoS attacks”, 17 oktober 2020. https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks (geraadpleegd op 3 november 2026)
Dit artikel citeren
Brain, “BGP en RPKI: de routes van het internet beveiligen”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp231_nl_2026,
author = {Brain},
title = {BGP en RPKI: de routes van het internet beveiligen},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/nl/articles/bgp-rpki-beveiliging-internetroutes/},
note = {CC BY 4.0}
}