Secuestro de ASN: por qué la geolocalización va con retraso
El secuestro de ASN, más exactamente el secuestro de rutas BGP, ocurre cuando una red anuncia prefijos IP que no está autorizada a originar, o los anuncia de un modo que hace que otras redes envíen tráfico hacia ella. Como los conjuntos de datos de geolocalización IP y de ASN se construyen a partir de instantáneas periódicas, por lo general no muestran un secuestro mientras este se produce.
Cómo funciona un secuestro BGP
Cada red de internet se identifica mediante un número de sistema autónomo (ASN) y utiliza el Border Gateway Protocol (BGP) para indicar a sus vecinas qué prefijos puede alcanzar. BGP se diseñó sobre la confianza: por defecto, una red vecina que recibe un anuncio no dispone de ningún mecanismo integrado para comprobar que la red que lo emite es realmente la propietaria del prefijo. Los routers eligen entonces la mejor ruta con reglas como el camino de AS más corto y, sobre todo, la coincidencia de prefijo más largo.
Esa última regla es la que explotan los atacantes y los errores de configuración. Si una red legítima anuncia un /22 y otra anuncia un /24 más específico dentro de él, los routers que acepten el /24 lo preferirán, porque la ruta más específica gana. El tráfico de esas 256 direcciones acaba en la red equivocada. Las variantes incluyen originar directamente el prefijo de otro, falsificar parte del camino de AS y filtrar rutas que debían haberse mantenido internas. Muchos incidentes reales son accidentes, como un cliente que filtra una tabla completa a su proveedor de tránsito, pero el efecto sobre el tráfico es el mismo.
Qué ocurre con el tráfico
Un atacante que atrae tráfico puede descartarlo (un agujero negro), inspeccionarlo o reenviarlo al destino real para que los usuarios solo noten un ligero retraso. El cifrado limita el daño en el contenido protegido con TLS, aunque también se han usado secuestros para obtener certificados interceptando el tráfico de validación de dominio, y para interceptar DNS. La duración varía de minutos a horas, y por eso la rapidez de detección es tan importante.
Por qué los conjuntos de datos de geolocalización y ASN van con retraso
Los conjuntos de datos de geolocalización y de correspondencia entre ASN y prefijos se compilan a partir de datos de registros, instantáneas de enrutamiento y otras fuentes, y después se publican por versiones. Responden a «quién tiene normalmente este rango», no a «quién lo está anunciando en este minuto». En ipto, los conjuntos de datos de IP y ASN se actualizan a diario y los feeds de amenazas cada 6 horas, por lo que un secuestro de una hora de duración habrá empezado y terminado, por lo general, entre dos actualizaciones. Durante el incidente, la consulta de una dirección afectada seguirá mostrando muy probablemente al propietario legítimo, que es la respuesta correcta a la pregunta para la que se diseñó el conjunto de datos.
Otros dos efectos se suman al retraso. Los registros cambian despacio, de modo que un bloque de direcciones no cambia de organización por un evento de enrutamiento. Y una base de datos de geolocalización que infiere una ciudad a partir de un prefijo no vuelve a inferirla cada vez que cambia la ruta. En todo caso, los datos estables son útiles como línea base: te dicen quién debería estar originando un prefijo, que es lo que se compara con los datos de enrutamiento en vivo.
Cómo detectar un enrutamiento sospechoso
- Conoce el origen esperado. La consulta de ASN muestra el propietario registrado, la organización, el país y el número de rangos de un número de AS, y el directorio de rangos IP te permite explorar qué redes poseen un bloque /8 o /16 determinado.
- Comprueba el registro. La consulta whois de IP devuelve el registro del RIR mediante RDAP, incluido el contacto de abuso al que notificarías.
- Valida el origen de la ruta. La consulta RPKI comprueba en directo, a través de RIPEstat, si la ruta anunciada actualmente para una IP está cubierta por una Route Origin Authorization válida. Se informa de un resultado de válida, no válida o no cubierta.
Interpreta con cuidado el resultado de RPKI. Un resultado «no válido» significa que el AS de origen o la longitud del prefijo no coinciden con lo que autorizó el propietario, lo cual merece una investigación. «No cubierto» solo significa que no existe ninguna ROA, algo habitual que no demuestra un secuestro. Además, RPKI no protege frente a todos los ataques, como los caminos de AS falsificados que conservan el origen correcto. Los operadores que publican ROA y filtran en función de ellas reducen la exposición, y los servicios de monitorización que alertan de orígenes inesperados para tus prefijos avisan antes que cualquier actualización de un conjunto de datos.
Qué implica esto para las aplicaciones
Si tu aplicación usa datos de ASN o de geolocalización para decisiones como la puntuación de fraude o las reglas por región, trátalos como un contexto que cambia despacio y no como prueba de dónde termina físicamente una conexión. La consulta de IP de ipto devuelve los campos asn y org, y puedes consultar el formato de la respuesta en la documentación de la API. Un cambio repentino en la red desde la que se conecta un cliente conocido es una señal útil, pero un secuestro es solo una de las muchas explicaciones posibles, y la mayoría de estos cambios son mundanos: un nuevo ISP, un traspaso de red móvil o una VPN.