BGP如何被劫持？當一個 AS 宣布一條到它實際上并不控制的 IP 前綴的路由時，如果沒有過濾，這個宣布可以傳播并添加到 Internet 上的 BGP 路由器的路由表中。從那時起，直到有人注意到并更正路由，到這些 IP 的流量將被路由到該 AS。如果沒有地方政府來核實和執行財產契約，這就像聲稱領土一樣。

BGP 始終偏向于到達所需 IP 地址的最短、最具體的路徑。為了使 BGP 劫持成功，路由公告必須：

• 1) 通過宣布比其他 AS 先前宣布的更小的 IP 地址范圍，提供更具體的路由。
• 2) 為某些 IP 地址塊提供更短的路由。此外，并非任何人都可以向更大的 Internet 發布 BGP 路由。為了發生 BGP 劫持，必須由 AS 的運營商或已破壞 AS 的威脅行為者發布公告（第二種情況更罕見）。

大型網絡或網絡組（其中許多是 ISP）的運營商會厚顏無恥地進行此類惡意活動，這似乎令人驚訝。但考慮到從某些方面來看，現在全球有超過 80,000 個自治系統，因此有些不值得信賴也就不足為奇了。此外，BGP 劫持并不總是很明顯或易于檢測。不良行為者可能會在其他 AS 后面掩飾他們的活動，或者可能會宣布不太可能被注意到的未使用的 IP 前綴塊，以保持在雷達之下。

當BGP被劫持時會發生什么？

作為 BGP 劫持的結果，互聯網流量可能會走錯路、被監控或攔截、成為“黑洞”或作為路徑攻擊的一部分被定向到虛假網站。此外，垃圾郵件發送者可以使用 BGP 劫持或實施 BGP 劫持的 AS 網絡，以欺騙合法 IP 進行垃圾郵件發送。從用戶的角度來看，頁面加載時間會增加，因為請求和響應不會遵循最有效的網絡路由，甚至可能不必要地穿越世界。

在最好的情況下，流量只會走一條不必要的長路線，從而增加延遲。在最壞的情況下，攻擊者可能會進行路徑攻擊，或將用戶重定向到虛假網站以竊取憑據。

現實世界中的BGP劫持

有許多故意 BGP 劫持的真實例子。例如，在 2018 年 4 月，一家俄羅斯提供商宣布了許多實際上屬于 Route53 Amazon DNS 服務器的 IP 前綴（IP 地址組）。簡而言之，最終結果是嘗試登錄加密貨幣網站的用戶被重定向到由黑客控制的虛假網站版本。黑客因此能夠竊取大約 152,000 美元的加密貨幣。（更具體地說：通過 BGP 劫持，黑客劫持了 Amazon DNS 查詢，以便 myetherwallet.com 的 DNS 查詢轉到他們控制的服務器，返回錯誤的 IP 地址，并將HTTP請求定向到虛假網站。

BGP 劫持的無意實例也很普遍，它們可能對整個全球互聯網產生負面影響。2008 年，巴基斯坦國有的巴基斯坦電信試圖通過更新其網站的 BGP 路由來審查巴基斯坦境內的 Youtube。看似偶然，新路線被宣布給巴基斯坦電信的上游供應商，并從那里廣播到整個互聯網。突然間，所有對 Youtube 的網絡請求都被定向到了巴基斯坦電信，導致該網站幾乎整個互聯網都出現了長達數小時的中斷，并使 ISP 不堪重負。

用戶和網絡如何防御BGP劫持？

除了持續監控互聯網流量的路由方式外，用戶和網絡在防止 BGP 劫持方面幾乎無能為力。

• IP前綴過濾：大多數網絡應該只在必要時接受 IP 前綴聲明，并且應該只向某些網絡而不是整個 Internet 聲明它們的 IP 前綴。這樣做有助于防止意外的路由劫持，并可以防止 AS 接受虛假的 IP 前綴聲明；然而，在實踐中這很難執行。
• BGP劫持檢測：延遲增加、網絡性能下降和互聯網流量定向錯誤都是 BGP 劫持的可能跡象。許多大型網絡將監控 BGP 更新，以確保其客戶不會面臨延遲問題，而一些安全研究人員實際上確實會監控 Internet 流量并發布他們的發現。
• 使 BGP 更安全：BGP 旨在使 Internet 正常工作，而且它確實做到了這一點。但是 BGP 的設計并沒有考慮到安全性。正在為整個 Internet 開發更安全的路由解決方案（例如 BGPsec），但尚未采用它們。目前，BGP 本質上是脆弱的，并將繼續如此。