El secuestro de BGP es una vulnerabilidad que afecta al funcionamiento básico de Internet. Este tipo de ataque se produce cuando los atacantes redirigen el tráfico de Internet con fines maliciosos, falsificando su pertenencia a grupos de direcciones IP conocidos como prefijos IP.
¿Qué es BGP y cómo funciona?
BGP (Border Gateway Protocol) es el protocolo de enrutamiento que permite que Internet funcione. Su función principal es facilitar la comunicación entre redes interconectadas, asegurando que los datos viajen desde una dirección IP a otra de forma eficiente.
El mecanismo del secuestro de BGP
Un ataque de este tipo ocurre cuando un Sistema Autónomo (AS) anuncia falsamente que posee prefijos IP que no controla realmente. Si esta información se propaga por Internet, el tráfico se redirigirá hacia ese AS, lo cual puede llevar a la interceptación o al acceso a sitios web falsos.
Para que un secuestro de BGP tenga éxito, el atacante debe ofrecer una ruta más específica o más corta que las ya existentes. Esto permite que el tráfico se dirija erróneamente hacia un destino no autorizado.
Ejemplos reales
En abril de 2018, un proveedor ruso anunció una serie de prefijos IP pertenecientes a servidores DNS de Amazon Route53. Como resultado, usuarios intentando acceder a un sitio web de criptomonedas fueron redirigidos a una versión falsa del sitio controlada por atacantes.
Impacto y consecuencias
El secuestro de BGP puede provocar que el tráfico se dirija al camino equivocado, lo cual puede llevar a la vigilancia o interceptación de datos. También puede resultar en que ciertos paquetes de datos sean enviados a un «agujero negro», es decir, no lleguen nunca a su destino.
Además, los atacantes pueden utilizar este método para falsificar direcciones IP legítimas con fines de spam. Esto puede aumentar la latencia en las conexiones y hacer que las páginas web tarden más tiempo en cargarse.
Riesgos y limitaciones
El BGP no está diseñado para garantizar la seguridad, sino para permitir el funcionamiento eficiente de Internet. Por esta razón, es intrínsecamente vulnerable a este tipo de ataques. Aunque se están desarrollando soluciones más seguras como BGPsec y RPKI, estas aún no han sido adoptadas universalmente.
Actualmente existen miles de proveedores que no implementan medidas de seguridad adecuadas para proteger contra el secuestro de BGP. Por ejemplo, SpaceX Starlink (AS14593) no utiliza RPKI para garantizar la seguridad de sus rutas.
¿Cómo se puede prevenir?
La supervisión constante del enrutamiento es una medida clave para detectar y mitigar estos ataques. Sin embargo, los usuarios y las redes poco pueden hacer para prevenirlos a menos que se implementen soluciones como RPKI.
Se puede consultar https://isbgpsafeyet.com para verificar si el ISP de un usuario implementa BGP de forma segura o no.