Détournement d'ASN : pourquoi la géolocalisation IP est en retard
Le détournement d'ASN, plus précisément le détournement de routes BGP, se produit lorsqu'un réseau annonce des préfixes IP qu'il n'est pas autorisé à originer, ou les annonce de manière à ce que d'autres réseaux lui envoient du trafic. Comme les jeux de données de géolocalisation IP et d'ASN reposent sur des instantanés périodiques, ils n'affichent généralement pas un détournement pendant qu'il a lieu.
Fonctionnement d'un détournement BGP
Chaque réseau d'internet est identifié par un numéro de système autonome (ASN) et utilise le Border Gateway Protocol (BGP) pour indiquer à ses voisins les préfixes qu'il peut atteindre. BGP a été conçu sur la confiance : par défaut, un voisin qui reçoit une annonce n'a aucun moyen intégré de vérifier que le réseau annonceur possède réellement le préfixe. Les routeurs choisissent ensuite le meilleur chemin selon des règles telles que le chemin AS le plus court et, avant tout, la correspondance de préfixe la plus longue.
Cette dernière règle est celle qu'exploitent les attaquants et les erreurs de configuration. Si un réseau légitime annonce un /22 et que quelqu'un d'autre annonce un /24 plus spécifique à l'intérieur, les routeurs qui acceptent le /24 le préféreront, car la route la plus spécifique l'emporte. Le trafic destiné à ces 256 adresses part alors vers le mauvais réseau. Les variantes incluent l'origination pure et simple du préfixe d'autrui, la falsification d'une partie du chemin AS et la fuite de routes qui auraient dû rester internes. De nombreux incidents réels sont accidentels, par exemple un client qui laisse fuiter une table complète vers un opérateur amont, mais l'effet sur le trafic est identique.
Ce qui arrive au trafic
Un attaquant qui attire du trafic peut l'abandonner (trou noir), l'inspecter, ou le relayer vers la vraie destination pour que les utilisateurs ne remarquent qu'un léger retard. Le chiffrement limite les dégâts pour le contenu protégé par TLS, bien que des détournements aient aussi servi à obtenir des certificats en interceptant le trafic de validation de domaine, et à intercepter le DNS. La durée varie de quelques minutes à plusieurs heures, ce qui explique précisément l'importance de la rapidité de détection.
Pourquoi les jeux de données de géolocalisation et d'ASN sont en retard
Les jeux de données de géolocalisation et de correspondance ASN-préfixe sont compilés à partir de données de registres, d'instantanés de routage et d'autres sources, puis publiés sous forme de versions. Ils répondent à « qui détient normalement cette plage » plutôt qu'à « qui l'annonce à cet instant ». Sur ipto, les jeux de données IP et ASN sont actualisés quotidiennement et les flux de menaces toutes les 6 heures : un détournement d'une heure aura donc généralement commencé et pris fin entre deux actualisations. Pendant l'incident, la recherche d'une adresse concernée affichera très probablement encore le propriétaire légitime, ce qui est la bonne réponse à la question pour laquelle le jeu de données est conçu.
Deux autres effets s'ajoutent au retard. Les enregistrements des registres évoluent lentement, de sorte qu'un bloc d'adresses ne change pas d'organisation à cause d'un événement de routage. Et une base de géolocalisation qui déduit une ville à partir d'un préfixe ne refait pas cette déduction à chaque changement de route. Les données stables sont même utiles comme référence : elles indiquent qui devrait originer un préfixe, ce que vous comparez ensuite aux données de routage en direct.
Comment repérer un routage suspect
- Connaître l'origine attendue. La recherche ASN indique le propriétaire enregistré, l'organisation, le pays et le nombre de plages pour un numéro d'AS, et l'annuaire des plages IP permet de parcourir les réseaux qui détiennent un bloc /8 ou /16 donné.
- Vérifier l'enregistrement. La recherche whois IP renvoie l'enregistrement du registre via RDAP, y compris le contact abus à prévenir.
- Valider l'origine de la route. La recherche RPKI vérifie en direct, via RIPEstat, si la route actuellement annoncée pour une IP est couverte par une Route Origin Authorization valide. Un résultat valide, invalide ou non couvert est indiqué.
Interprétez le résultat RPKI avec prudence. Un résultat « invalide » signifie que l'AS d'origine ou la longueur du préfixe ne correspond pas à ce que le propriétaire a autorisé, ce qui mérite une enquête. « Non couvert » signifie seulement qu'aucune ROA n'existe, ce qui est courant et ne prouve pas un détournement. RPKI ne protège pas non plus contre toutes les attaques, comme les chemins AS falsifiés qui conservent la bonne origine. Les opérateurs qui publient des ROA et filtrent en conséquence réduisent leur exposition, et les services de surveillance qui alertent sur des origines inattendues pour vos préfixes préviennent plus vite que n'importe quelle actualisation de jeu de données.
Ce que cela implique pour les applications
Si votre application utilise des données d'ASN ou de géolocalisation pour des décisions comme le scoring de fraude ou des règles régionales, considérez-les comme un contexte qui évolue lentement et non comme une preuve de l'endroit où une connexion aboutit physiquement. La recherche IP d'ipto renvoie les champs asn et org, et vous pouvez consulter le format de réponse dans la documentation de l'API. Un changement soudain du réseau depuis lequel se connecte un client connu est un signal utile, mais un détournement n'est qu'une explication parmi de nombreuses autres, et la plupart de ces changements sont anodins : un nouveau FAI, un passage d'une antenne mobile à une autre ou un VPN.