BGPハイジャック

BGPハイジャック（プレフィックスハイジャック、ルートハイジャック、またはIPハイジャックとも呼ばれる）は、Border Gateway Protocol（BGP）を使用して維持されるインターネットのルーティングテーブルを改ざんすることにより、IPアドレスのグループを不正に乗っ取る行為である。

背景インターネットは、一意のIPアドレスで識別される接続されたすべてのホストが、世界中のどこにいても他のホストと通信できるようにするグローバルネットワークである。これは、データがパケットとしてあるルーターから別のルーターへと渡され、目的地に向かって繰り返し移動して配信されることによって実現される。これを行うために、各ルーターには最新のルーティングテーブルが定期的に提供されなければならない。グローバルレベルでは、個々のIPアドレスはプレフィックスにグループ化される。これらのプレフィックスは、自律システム（AS）によって生成、または所有され、AS間のルーティングテーブルはBGPを使用して維持される。

単一の外部ルーティングポリシーの下で動作するネットワークのグループは、自律システムとして知られている。たとえば、Sprint、Verizon、AT&TはそれぞれASである。各ASは、独自の一意のAS識別番号を持っている。BGPは、自律システム間でIPルーティングに関する情報を交換するために使用される標準のルーティングプロトコルである。

各ASはBGPを使用して、トラフィックを配信できるプレフィックスをアドバタイズ（広告）する。たとえば、ネットワークプレフィックスがAS 64496の内部にある場合、そのASはプロバイダーやピアに対して、宛てのすべてのトラフィックを配信できることをアドバタイズする。

BGPにはセキュリティ拡張機能があり、ルートを検証するためのサードパーティのルートデータベースも存在するが、デフォルトではBGPプロトコルはピアから送信されたすべてのルートアナウンスメントを信頼するように設計されている。多くのISPは、BGPセッションに対するチェックを厳密に実施していない。

メカニズム IPハイジャックは、以下のいずれかの方法によって、意図的または偶発的に発生する可能性がある。

ASが、実際には生成していないプレフィックスを生成しているとアドバタイズする。 ASが、真の生成元ASによってアドバタイズされるプレフィックスよりも詳細なプレフィックスをアドバタイズする。 ASが、ルートが存在するかどうかに関係なく、すでに利用可能なルートよりも短いルートを通じて、ハイジャックされたASにトラフィックをルーティングできるとアドバタイズする。

これらの方法に共通しているのは、通常のネットワークルーティングが混乱することである。パケットは最終的にネットワークの誤った部分に転送され、無限ループに入って（破棄されるか）、あるいは攻撃側のASのなすがままになってしまう。

通常、ISPはBGPトラフィックをフィルタリングし、下流ネットワークからのBGPアドバタイズメントに有効なIP空間のみが含まれるようにしている。しかし、過去のハイジャック事件の歴史を見ると、常にそうであるとは限らないことがわかる。

リソースPKI（RPKI）は、アドレスブロック範囲の所有権を示す暗号化証明書チェーンを介してルートの起源を認証するように設計されているが、まだ広く導入されていない。これが導入されれば、起源での誤った発行（事故や意図的なものを含む）によるIPハイジャックは検出可能となり、フィルタリングできるようになるはずである。

IPハイジャックは悪意のあるユーザーによって、スパム送信や分散型サービス拒否（DDoS）攻撃で使用するIPアドレスを取得するために利用されることがある。

ルーターが誤ったBGPルーティング情報を意図的または偶発的に拡散させた場合、Internet Engineering Task Force（IETF）のRFC 7908において「ルートリーク」と定義されている。これらのリークは「ルーティングアナウンスメントが意図された範囲を超えて拡散すること」として特徴づけられる。「言い換えれば、ある自律システム（AS）から別のASへの、学習したBGPルートに関するアナウンスメントが、受信者、送信者、または先行するASパス上のいずれかのASの意図したポリシーに違反すること」である。このようなリークは、「Border Gateway Protocolルーティングシステムの長年にわたる構造的な脆弱性」のために可能となっている。

トランジットASの問題 TCPリセット攻撃と同様に、セッションハイジャックは進行中のBGPセッションへの侵入を伴う。つまり、攻撃者はBGPセッションのピアの1つに成りすまし、リセット攻撃を完了させるために必要な情報と同じ情報を必要とする。違いは、セッションハイジャック攻撃が、BGPピア間のセッションを単にダウンさせる以上のことを達成するように設計されている可能性がある点である。たとえば、目的は、盗聴、ブラックホール化、またはトラフィック分析を容易にするために、ピアが使用するルートを変更することかもしれない。

デフォルトでは、BGPピアは別のピアから受信したすべてのルートをデバイスのルーティングテーブルに追加しようとし、次にこれらのルートのほぼすべてを他のBGPピアにアドバタイズし続ける。マルチホーム組織が、ある自律システム（AS）から学習したプレフィックスを誤って別の自律システムにアドバタイズし、最終顧客が関連するプレフィックスへの新しい最適パスになってしまう可能性があるため、これは問題となる。

たとえば、AT&TとVerizonの両方とピアリングしているCiscoルーターを使用している顧客が、フィルタリングを使用していない場合、誤って2つの主要なキャリア間のリンクを確立してしまう可能性がある。これにより、プロバイダーは高速の専用回線を使用する代わりに、トラフィックの一部またはすべてを顧客を介して（おそらくT1回線で）ルーティングすることを選択してしまう可能性がある。この問題は、これら2つのプロバイダーとピアリングしている他のエンティティにも影響を与え、それらのASが誤って構成されたリンクを優先するようになる可能性がある。

実際には、大規模なインターネットサービスプロバイダー（ISP）は通常、エンドユーザーがアドバタイズできる内容に制限を課しているため、この問題が発生することはほとんどない。ただし、顧客のアドバタイズメントをフィルタリングしないISPは、誤った情報がグローバルルーティングテーブルに伝播することを誤って許可してしまい、大規模なTier-1プロバイダーにさえ影響を与える可能性がある。

BGPハイジャックの概念は、意図的かどうかにかかわらずアドバタイズメントをフィルタリングしないインターネットサービスプロバイダ（ISP）を特定すること、または中間者攻撃の標的になりやすい脆弱な内部セッションやISP間BGPセッションを持つISPを特定することを伴う。特定されると、攻撃者は選択した任意のプレフィックスをアドバタイズできる可能性があり、その結果、正当なソースから攻撃者へトラフィックの一部またはすべてが迂回されることになる。このアクションは、侵入されたISPを過負荷にしたり、プレフィックスがアドバタイズされているエンティティに対してサービス拒否（DoS）攻撃やなりすまし攻撃を実行したりするために実行される可能性がある。攻撃者が接続の完全な喪失を含む重大な混乱を引き起こすことは珍しくない。

2008年初頭の事件では、ある朝、米国の少なくとも8つの大学のトラフィックが約90分間にわたってインドネシアにリルートされるという攻撃が発生したが、関係者によってその大部分が隠蔽されていた。また、2008年2月、パキスタン電気通信庁（PTA）が国内からのYouTubeへのアクセスをブロックすることを決定した際、誤ってグローバルBGPテーブルでルートをブラックホール化してしまい、YouTubeのアドレス空間の大部分がパキスタンにリダイレクトされた。

ほとんどのBGP実装ではフィルタリングとMD5/TTL保護がすでに利用可能であり（したがって、ほとんどの攻撃の発生源を防ぐことができる）、各ASが発信できる許可されたプレフィックスのリストを決定するための一般的で効率的な方法がないため、ISPが他のISPからのアドバタイズメントをフィルタリングすることはめったにないという概念に問題の根本がある。誤った情報のアドバタイズを許可したことに対するペナルティは、他のまたは大規模なISPによる単純なフィルタリングから、隣接するISPによるBGPセッションの完全なシャットダウン（2つのISP間のピアリングの停止を引き起こす）に及ぶ可能性があり、問題が繰り返されると、すべてのピアリング契約の永久的な終了に終わることがよくある。また、大規模なプロバイダーが、問題のある小規模なプロバイダーをブロックしたりシャットダウンしたりした場合でも、すべてのピアがアクションを起こすまで、または問題のあるISPが発生源で問題を解決するまで、グローバルBGPテーブルは多くの場合再構成され、利用可能な別のルートを介してトラフィックをリルートすることに注意する必要がある。

この概念の有用な派生として、BGPエニーキャストと呼ばれるものがあり、複数のサーバーが同じIPアドレスを使用できるようにするために、ルートDNSサーバーで頻繁に使用され、数百のサーバーのIPアドレスを公開することなく、冗長性とDoS攻撃に対する保護レイヤーを提供している。この状況の違いは、プレフィックスをアドバタイズする各ポイントが実際に実データ（この場合はDNS）にアクセスでき、エンドユーザーのリクエストに正しく応答することである。

公のインシデント

1997年4月：「AS 7007インシデント」。 2004年12月24日：トルコのTTNetがインターネットをハイジャックした。 2005年5月7日：Googleの2005年5月の大規模障害。 2006年1月22日：Con Edison Communicationsがインターネットの大部分をハイジャックした。 2008年2月24日：パキスタンが国内でのYouTubeへのアクセスをブロックしようとした結果、YouTube全体がダウンした。 2008年11月11日：ブラジルのISPであるCTBCが、グローバルBGPテーブルに内部テーブルを漏洩させた。5分以上続いたが、RIPEルートサーバーによって検出され、その後伝播されなかったため、事実上彼ら自身のISP顧客と少数の他の人々にのみ影響を与えた。 2010年4月8日：中国のISPがインターネットをハイジャックした。 2013年7月：SantrexのIPv4プレフィックス 46.166.163.0/24 が永久に到達不能になり、コントロールサーバーの1つへのアクセスが突然失われた後、Hacking TeamはROS（イタリア国家憲兵隊の特別作戦群）がリモートアクセスツール（RAT）クライアントへのアクセスを回復するのを支援した。ROSとHacking Teamは、コントロールサーバーへのアクセスを回復するために、イタリアのネットワーク事業者であるAruba S.p.A.（AS31034）と協力して、プレフィックスをBGPでアナウンスさせた。 2014年2月：カナダのISPがISPからのデータをリダイレクトするために利用された。2月から5月までの間に22件のインシデントが発生し、ハッカーは各セッションで約30秒間トラフィックをリダイレクトした。ビットコインなどの暗号通貨のマイニング操作が標的となり、通貨が盗まれた。 2017年1月：イランによるポルノ検閲。 2017年4月：ロシアの通信会社Rostelecom（AS12389）が、他の多数の自律システムに対して37のプレフィックスを生成した。ハイジャックされたプレフィックスは、金融機関（特にMasterCardとVisa）、その他の通信会社、およびさまざまな組織に属していた。ハイジャックされた可能性のある期間は7分以内であったが、トラフィックが傍受されたり変更されたりしたかどうかは不明である。 2017年12月：Google、Apple、Facebook、Microsoft、Twitch、NTT Communications、Riot Gamesなどが通常アナウンスしている80のトラフィックの多いプレフィックスが、ロシアのASであるDV-LINK-AS（AS39523）によってアナウンスされた。 2018年4月：Amazon Route 53専用のAmazon Web Servicesスペース内の約1300のIPアドレスが、オハイオ州コロンバスにあるISPであるeNet（またはその顧客）によってハイジャックされた。Hurricane Electricなど、いくつかのピアリングパートナーがアナウンスメントを盲目的に伝播した。 2018年7月：イラン電気通信会社（AS58224）がTelegramメッセンジャーの10個のプレフィックスを生成した。 2018年11月：米国に拠点を置く中国電信（China Telecom）のサイトがGoogleのアドレスを生成した。 2019年5月：Taiwan Network Information Center（TWNIC）が運営するパブリックDNSへのトラフィックがブラジルのエンティティ（AS268869）にリルートされた。 2019年6月：欧州の大規模なモバイルトラフィックがChina Telecom（AS4134）を経由してリルートされた。「このルートリークは、[スイスの] SafeHost（AS21217）が、他のピアやプロバイダから学習した4万件以上のIPv4ルートを、そのプロバイダであるChina Telecom（AS 4134）にアナウンスしたことから始まった。…そして、China Telecomはこれらのルートを受け入れ、伝播した…」。 2021年2月：Cablevision Mexico（AS28548）が282のプレフィックスをリークし、80カ国で763のASNに競合を発生させ、主にメキシコで影響が出たと当初報告された。Isolario MRTダンプのデータは、7,200のIPv4プレフィックスがアナウンスされ、AS1874にリークし、100カ国以上から1290以上のASNに影響を与えたことを示唆している。 2021年4月：インドからの大規模なBGPルーティングリーク。Vodafone Idea Ltd（AS55410）を介して3万件以上のBGPプレフィックスがハイジャックされ、インバウンドトラフィックが13倍に急増した。プレフィックスは世界中のものであったが、主にGoogle、Microsoft、Akamai、Cloudflareなど米国のものであった。 2022年2月：攻撃者が韓国の暗号通貨プラットフォームに属するBGPプレフィックスをハイジャックし、ZeroSSLを介してドメインの証明書を発行して悪意のあるJavaScriptファイルを提供し、190万ドル相当の暗号通貨を盗み出した。 2022年3月：RTCommがTwitterで使用されているプレフィックスをハイジャックした。

BGPハイジャック

Źródło i licencja