BGP i RPKI: zabezpieczanie tras w Internecie
BGP wskazuje sieciom, którędy wysyłać ruch. Jego słabości (przejęcia, wycieki tras) i zabezpieczenie RPKI, wyjaśnione pracownikom.
W 30 sekund
- Gdzie to się dzieje
- Między sieciami, poza zasięgiem wzroku pracownika i firmy. NIST mówi o anomaliach płaszczyzny sterowania routingiem, takich jak przejęcie prefiksu BGP (prefix hijacking) i wycieki tras2.
- Do czego prowadzi
- Do odmowy usługi, niepożądanych objazdów ruchu i pogorszenia wydajności2.
- Zabezpieczenie operatorów
- RPKI, walidacja pochodzenia BGP i filtrowanie prefiksów1.
- Odruch
- Zapytać dostawcę internetu lub hostingu, jak chroni swoje trasy, i nie polegać wyłącznie na sieci, jeśli chodzi o poufność.
O co chodzi
Gdy pracownik otwiera stronę internetową lub wysyła wiadomość, dane przechodzą przez kilka sieci, o których jego firma nie wie ani ile ich jest, ani kto je prowadzi. Protokół BGP (Border Gateway Protocol) służy do wyboru trasy między tymi sieciami. Amerykańska agencja NIST opisuje go jako protokół sterujący, który rozsyła i wylicza ścieżki między dziesiątkami tysięcy systemów autonomicznych tworzących Internet1.
Ta strona wyjaśnia, co ten protokół oznacza dla pracownika, do czego mogą prowadzić anomalie routingu i jaką ochronę (RPKI) zaleca NIST. Podaje też, czego źródło NIST nie mówi, aby nie obiecywać więcej, niż jest ustalone.
Pytania wprost
Do czego służy BGP?
BGP rozsyła i wylicza ścieżki między systemami autonomicznymi tworzącymi Internet1. Pracownik nigdy nie uczestniczy w tym mechanizmie: zależy od wyborów swojego dostawcy internetu i sieci, przez które przechodzi ruch.
Na czym polega problem?
NIST stwierdza, że w ostatnich latach liczne anomalie płaszczyzny sterowania routingiem, takie jak przejęcie prefiksu BGP i wycieki tras, powodowały odmowę usługi, niepożądane objazdy ruchu i pogorszenie wydajności2.
Co oznacza RPKI?
RPKI to skrót od Resource Public Key Infrastructure. NIST zalicza ją, razem z walidacją pochodzenia BGP (BGP-OV) i filtrowaniem prefiksów, do technologii zalecanych do zabezpieczania ruchu sterującego routingiem między domenami1. Cytowane tu źródła nie opisują jej wewnętrznego działania, dlatego ta strona go nie przedstawia.
Czy pracownik może się chronić przed przejęciem trasy?
Nie bezpośrednio. Te zabezpieczenia wdrażają operatorzy. Pracownik i jego przełożony mogą natomiast zadawać pytania dostawcom, jak wyjaśniono niżej.
Czy RPKI rozwiązuje wszystko?
Cytowane tu źródła tego nie mówią. NIST przedstawia RPKI jako jedną z zalecanych technologii obok innych i dodaje środki przeciw podszywaniu się pod adresy IP oraz atakom odmowy usługi1. Starsza publikacja NIST o BGP już ostrzegała, że jej zalecenia nie stanowią pełnej obrony przed wszystkimi zagrożeniami3.
1Jak to działa1 min
W grudniu 2019 roku NIST opublikował przewodnik SP 800-189, poświęcony odpornej wymianie ruchu między domenami (RITE). Daje on wstępne wskazówki dotyczące ochrony ruchu sterującego routingiem, zapobiegania podszywaniu się pod adresy IP oraz wykrywania i łagodzenia niektórych ataków odmowy usługi2. Zastępuje publikację SP 800-54, wydaną w lipcu 2007 roku i wycofaną 17 grudnia 2019 roku3.
Zalecenia z 2019 roku obejmują liczne środki dotyczące BGP. W zakresie routingu wymieniają RPKI, walidację pochodzenia BGP i filtrowanie prefiksów1. Przeciw atakom odmowy usługi dotyczą przede wszystkim podszywania się pod adresy IP, z walidacją adresu źródłowego (SAV) za pomocą list kontroli dostępu oraz uRPF (unicast Reverse Path Forwarding). Wymieniają też filtrowanie czarną dziurą wyzwalane zdalnie (RTBH), Flowspec i ograniczanie tempa odpowiedzi (RRL)1.
Tekst z 2007 roku już wyjaśniał, czym jest BGP i jakie ma znaczenie dla Internetu, oraz proponował dobre praktyki możliwe do zastosowania w niemal wszystkich dostępnych wówczas routerach BGP. Zauważał, że proponowane ulepszone protokoły zazwyczaj wymagały istotnych zmian w protokole i mogły nie działać z istniejącymi implementacjami3.
2Co można zrobić1 min
Źródła nie są adresowane do pracowników: poniższe wskazówki stosują ich ustalenia w codziennej pracy, nie twierdząc, że źródła je nakazują.
- Osoba odpowiedzialna za IT lub zakupy: zapytać dostawcę internetu lub hostingu, czy stosuje walidację pochodzenia BGP, RPKI i filtrowanie prefiksów, które NIST zaleca operatorom1.
- Osoba odpowiedzialna za IT: poprosić też dostawcę o sprawdzanie, czy adresy źródłowe wysyłanych przez niego pakietów są prawdziwe, co należy do walidacji adresu źródłowego zalecanej przez NIST1.
- Firma, która padła ofiarą działalności przestępczej: zgłosić ją, poprosić dostawców sieciowych o ustalenie pochodzenia sfałszowanego ruchu i podzielić się informacją ze społecznością, radzi Google4.
- Pracownik: traktować sieć jako teren, którego się nie kontroluje. Przypadki poniżej pokazują, że ruch przechodzi przez sieci, których nikt nie kontroluje od końca do końca, dlatego poufności wymiany informacji nie należy powierzać wyłącznie sieci.
3Pułapki1 min
Pierwszą jest przekonanie, że sieć firmowa to obwód zamknięty. Ruch przechodzi przez sieci osób trzecich, poza kontrolą firmy.
Drugą pułapką jest założenie, że wystarczy ochrona routingu. NIST umieszcza ją w zestawie środków, w którym są także zabezpieczenia przed podszywaniem się pod adresy i filtrowanie przeciw odmowie usługi1.
Trzecią jest mylenie różnych incydentów sieciowych. Atak odmowy usługi zalewa cel zbędnym ruchem; według Google nie ujawnia danych użytkowników i nie prowadzi do skompromitowania systemu, ale może wywołać awarię i utratę zaufania, jeśli nie zostanie szybko złagodzony4.
4Przykłady z praktyki1 min
Marzec 2014: YouTube zalany przez przeglądarki
Według Google w marcu 2014 roku złośliwy kod JavaScript wstrzyknięty do tysięcy stron internetowych w ataku typu man-in-the-middle na sieć sprawił, że setki tysięcy przeglądarek zalały YouTube żądaniami, aż do szczytu 2,7 miliona żądań na sekundę4. To nie jest przejęcie BGP, a tekst Google nie przedstawia go jako takiego. Pokazuje, że ruch może zostać zmieniony po drodze i zwrócony przeciw usłudze, co uzasadnia ostrożność pracownika wobec sieci.
Wrzesień 2017: odmowa usługi o przepustowości 2,5 Tbps
Google twierdzi, że we wrześniu 2017 roku wchłonęło atak o przepustowości 2,5 Tbps, będący zwieńczeniem sześciomiesięcznej kampanii. Atakujący użył kilku sieci, by sfałszować 167 milionów pakietów na sekundę kierowanych do 180 000 wystawionych serwerów CLDAP, DNS i SNMP, które następnie odsyłały duże odpowiedzi do Google. Atak nie miał żadnego wpływu4. Google zgłosiło tysiące podatnych serwerów ich dostawcom sieciowym i współpracowało z nimi, by ustalić pochodzenie sfałszowanych pakietów, tak aby je filtrowano4. Ten przypadek ilustruje podszywanie się pod adresy IP, któremu zalecenia NIST mają zapobiegać1.
Przejęcia ruchu Google w 2018 roku oraz incydent YouTube i Pakistan Telecom z 2008 roku nie występują w żadnym z cytowanych tu źródeł, więc nie są tu opisane.
Karta
- Identyfikator
- CP-231
- Skrzydło
- 3. Protokoły i obrona
- Kompetencja Brain
- Bezpiecznie przeglądać sieć (browse_safely)
- Odruch Brain
- cr-059
- Schemat
- G3 · Przekrój anatomiczny
- Języki
- de, en, es, fr, it, nl, pl, pt
- Źródła
- Źródła sprawdzone 3 listopada 2026: 4
ŹródłaŹródła: 4
- NIST, „Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation”, 17 grudnia 2019. https://csrc.nist.gov/pubs/sp/800/189/final (dostęp 3 listopada 2026)
- NIST, „Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation”, 17 grudnia 2019. https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation (dostęp 3 listopada 2026)
- NIST, „Border Gateway Protocol Security”, 17 lipca 2007. https://csrc.nist.gov/pubs/sp/800/54/final (dostęp 3 listopada 2026)
- Google, „Identifying and protecting against the largest DDoS attacks”, 17 października 2020. https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks (dostęp 3 listopada 2026)
Zacytuj ten artykuł
Brain, „BGP i RPKI: zabezpieczanie tras w Internecie”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp231_pl_2026,
author = {Brain},
title = {BGP i RPKI: zabezpieczanie tras w Internecie},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pl/articles/bgp-rpki-bezpieczenstwo-tras-internetu/},
note = {CC BY 4.0}
}