💻 computer science

Understanding the Stealthy BGP Hijacking Risk in the ROV Era

Este artículo introduce el concepto de secuestro de BGP sigiloso, una amenaza en la que las rutas maliciosas evaden la detección de las víctimas debido al despliegue parcial de la Validación de Origen de Ruta (ROV), y lo aborda a través del primer estudio empírico de incidentes del mundo real y el desarrollo de SHAMAN, un marco de alta eficiencia que revela un riesgo global significativo con hasta un 99.5% de probabilidad de éxito para ataques dirigidos.

Autores originales: Yihao Chen, Qi Li, Ke Xu, Zhuotao Liu, Jianping Wu

Publicado 2026-06-23

📖 6 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Yihao Chen, Qi Li, Ke Xu, Zhuotao Liu, Jianping Wu

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

La visión general: El libro de direcciones de Internet

Imagina que Internet es un sistema postal global masivo. Cada computadora y servidor tiene una dirección (un prefijo IP) y cada oficina de correos (llamada Sistema Autónomo o AS) tiene un libro de reglas sobre cómo entregar el correo. El protocolo que mantiene estos libros de reglas sincronizados se llama BGP.

¿El problema? El viejo libro de reglas tiene un enorme fallo de seguridad: cualquiera puede entrar en una oficina de correos y decir: "¡Oigan, yo soy el dueño de esta dirección! ¡Envíen todo el correo de este vecindario hacia mí!". Si las otras oficinas de correos les creen, envían todo el tráfico hacia allá. Esto se llama Secuestro de BGP (BGP Hijacking). Normalmente, esto es obvio porque el correo se pierde o llega al lugar equivocado de inmediato.

El nuevo "Guardia de Seguridad": ROV

Para solucionar esto, la comunidad de Internet introdujo un sistema de guardia de seguridad llamado RPKI y ROV (Validación de Origen de Ruta).

La Analogía: Imagina una lista de "Propietario Verificado". Antes de que una oficina de correos acepte una nueva instrucción de entrega, consulta esta lista. Si la instrucción dice: "Yo soy el dueño", pero la lista dice: "No, ese no eres tú", la oficina de correos rechaza la instrucción falsa.

El inconveniente: No todas las oficinas de correos han contratado a este guardia de seguridad todavía. Al momento de la redacción del artículo, solo alrededor del 10% de las oficinas de correos del mundo usan ROV. El resto sigue usando el viejo e inseguro libro de reglas.

La trampa "Sigilosa": El secuestro invisible

Aquí es donde entra el principal descubrimiento del artículo. Los autores descubrieron que tener algunos guardias de seguridad en realidad crea un nuevo tipo de secuestro invisible llamado Secuestro de BGP Sigiloso (Stealthy BGP Hijacking).

La analogía del ladrón invisible:

La Víctima (AS A): Una oficina de correos que sí ha contratado al guardia de seguridad (ROV).
El Objetivo (AS E): Un negocio legítimo que es dueño de una dirección específica.
El Ladrón (AS G): Un criminal intentando robar el tráfico destinado al Objetivo.
El Intermediario (AS C): Una oficina de correos que no ha contratado un guardia de seguridad.

Así es como ocurre el robo sin que la Víctima lo sepa:

El Ladrón intenta decirle a la Víctima: "¡Yo soy el dueño de la dirección del Objetivo!".
El guardia de seguridad de la Víctima (ROV) revisa la lista, ve que el Ladrón es falso y bloquea el mensaje. La Víctima ni siquiera sabe que el Ladrón existe.
Sin embargo, el Ladrón sí le dice al Intermediario (AS C). El Intermediario no tiene guardia de seguridad, por lo que le cree al Ladrón.
La Víctima envía el correo al Objetivo. El correo viaja a través del Intermediario.
El Intermediario, creyendo al Ladrón, desvía el correo a la casa del Ladrón.
El Resultado: La Víctima piensa: "Estoy enviando el correo al Objetivo", pero el correo está siendo robado por el Ladrón. Debido a que el guardia de seguridad de la Víctima bloqueó el anuncio del robo, la Víctima permanece completamente inconsciente de ello. Es un robo "silencioso".

Lo que hicieron los investigadores

Los autores, liderados por Yihao Chen y sus colegas, querían entender qué tan grande es este problema. No podían simplemente esperar a que la gente lo reportara, porque las víctimas no saben que están siendo robadas.

El trabajo de detective (Estudio empírico): Construyeron un sistema para escanear los "registros de correo" de Internet (tablas de rutas) desde diferentes puntos de observación. Buscaron discrepancias: "Veo una ruta hacia el Objetivo, pero no veo una ruta hacia el Ladrón, sin embargo, el camino hacia el Objetivo pasa a través de alguien que podría hablar con el Ladrón".
- Encontraron 318 incidentes reales de alta confianza de esto sucediendo.
- Descubrieron que estos ataques suelen ser de corta duración, pero ocurren casi a diario.
La Supercomputadora (Marco de trabajo SHAMAN): Para entender el riesgo total, necesitaban simular todo Internet. Los métodos existentes eran demasiado lentos (tomaban meses para calcular las rutas de todo el mundo).
- Construyeron una herramienta llamada SHAMAN (nombrada así por un guía que navega peligros invisibles).
- El truco de magia: En lugar de simular cada oficina de correos una por una, utilizaron un enfoque de "matriz" matemática (como una hoja de cálculo gigante) para calcular todas las rutas posibles a la vez.
- La aceleración: Redujeron el tiempo para mapear todas las rutas de Internet de más de 3 meses a solo 5.22 horas.

Los hallazgos impactantes

Usando su herramienta súper rápida, analizaron 8.3 mil millones de rutas posibles. Esto fue lo que encontraron:

La tasa de éxito: Incluso con los guardias de seguridad en su lugar, un intento de secuestro "sigiloso" aleatorio tiene un 14.1% de probabilidad de éxito.
El peligro dirigido: Si un ladrón apunta específicamente a una víctima y a una ruta específica, la tasa de éxito puede saltar al 99.5%. Es un robo casi garantizado.
La "espada de doble filo": ROV es excelente para detener el secuestro obvio (donde el ladrón anuncia la ruta y todos lo ven). Pero debido a que oculta al ladrón de la víctima, accidentalmente hace que el secuestro sigiloso sea mucho más probable.
"Los pocos vitales": El riesgo no se distribuye uniformemente. Solo el 2.9% de las oficinas de correos "Intermediarias" son responsables del 80% de todos estos robos sigilosos. Si arreglas a esos pocos, arreglas la mayor parte del problema.
El futuro: A medida que más oficinas de correos contraten guardias de seguridad, el riesgo aumentará por un tiempo, pero eventualmente, si todos tienen un guardia, el riesgo caerá de nuevo a cero. Actualmente estamos en la fase de "riesgo creciente".

Resumen

El artículo revela una paradoja: la seguridad parcial crea un nuevo tipo de invisibilidad. Al bloquear los anuncios maliciosos para algunas personas pero no para otras, Internet ha creado un punto ciego donde el tráfico puede ser robado sin que el propietario lo sepa. Los autores construyeron una herramienta matemática rápida para mapear este peligro y demostraron que, si bien el riesgo es significativo actualmente, está concentrado en un pequeño número de ubicaciones clave, ofreciendo un camino claro para solucionarlo.

Resumen Técnico: Comprensión del Riesgo de Secuestro de BGP Sigiloso en la Era de ROV

1. Planteamiento del Problema

El Protocolo de Puerta de Enlace de Frontera (BGP) es vulnerable al secuestro (hijacking), donde Sistemas Autónomos (AS) maliciosos anuncian falsamente prefijos IP para desviar el tráfico. Para mitigar esto, la comunidad ha desplegado la Validación de Origen de Ruta (ROV) utilizando la Infraestructura de Clave Pública de Recursos (RPKI). Los AS habilitados para ROV verifican los anuncios de BGP contra las Autorizaciones de Origen de Ruta (ROA) y descartan las rutas inválidas.

Sin embargo, el despliegue de ROV es actualmente parcial e incompleto. Este documento identifica una amenaza de seguridad inesperada que surge de este despliegue parcial: el Secuestro de BGP Sigiloso (Stealthy BGP Hijacking).

El Mecanismo: En un entorno de ROV parcial, un AS víctima (protegido por ROV) puede no recibir el anuncio de ruta malicioso porque un AS vecino habilitado para ROV lo filtra. En consecuencia, la tabla de rutas de la víctima carece de una ruta hacia el secuestrador, lo que hace que el ataque sea invisible en el plano de control.
La Realidad: A pesar de que la tabla de rutas de la víctima parece limpia, el tráfico destinado a un objetivo legítimo puede atravesar un AS "legado" (no habilitado para ROV) a lo largo del camino de datos. Si este AS legado acepta la ruta maliciosa (por ejemplo, debido a preferencias de política o anuncios de subprefijos), desvía el tráfico de la víctima hacia el secuestrador.
La Brecha: Esta forma de secuestro es "sigilosa" porque la víctima permanece inconsciente de la ruta maliciosa, lo que hace que las defensas estándar del plano de control sean ineficaces. Antes de este trabajo, no existían incidentes reales documentados, ni una caracterización sistemática, ni herramientas para evaluar la escala de este riesgo.

2. Metodología

Los autores emplean un enfoque de dos vertientes: un estudio empírico para descubrir instancias en el mundo real y un marco analítico para evaluar el riesgo global.

A. Descubrimiento Empírico (Heurísticas)

Para identificar el secuestro sigiloso en la naturaleza, los autores formalizaron el riesgo y desarrollaron heurísticas basadas en las discrepancias de las tablas de rutas observadas a través de múltiples puntos de observación (recolectores de RouteViews).

Definición Formal: Una terna "víctima-objetivo-secuestrador" $(u, v, w)$ $(u, v, w)$ constituye una instancia de secuestro sigiloso si:
1. La víctima $u$ tiene una ruta válida hacia el objetivo $v$ .
2. La víctima $u$ no tiene una ruta hacia el secuestrador $w$ (debido al filtrado de ROV).
3. Un AS intermedio $a_i$ en el camino desde $u$ hasta $v$ sí tiene una ruta hacia $w$ y redirige el tráfico hacia $w$ .
Heurísticas: Los autores propusieron heurísticas "laxas" y "estrictas" para detectar estas instancias mediante el cotejo de la validez de RPKI, conflictos de IRR y discrepancias de WHOIS.
Recolección de Datos: Analizaron instantáneas diarias de RIB desde enero hasta febrero de 2025, capturando 1,393 incidentes potenciales. Tras la deduplicación y validación contra una amplia base de conocimientos (RPKI, IRR, WHOIS), curaron un conjunto de datos de alta confianza de 318 incidentes del mundo real que cubren 2,178 rutas.

B. Marco Analítico (SHAMAN)

Para ir más allá de la observación y realizar una evaluación de riesgo determinista a nivel de Internet, los autores desarrollaron SHAMAN, un marco de inferencia de rutas BGP.

Consolidación de Entradas: SHAMAN agrega datos de despliegue de ROV de tres fuentes (APNIC, RoVista, Cloudflare) para construir una visión precisa de qué AS están habilitados para ROV.
Compresión de Topología: Reconstruye la topología de Internet y la comprime eliminando AS de conexión única (que pueden derivarse de sus upstreams), reduciendo el recuento de vértices en aproximadamente un 36%.
Inferencia de Rutas Basada en Matrices:
- En lugar de la simulación tradicional, SHAMAN utiliza un enfoque basado en matrices con un esquema único de codificación de un byte para la prioridad de la ruta (codificando la Preferencia Local y la Longitud de Ruta).
- Realiza actualizaciones iterativas de matrices para inferir rutas completas a nivel de AS tanto para el "alcance benigno" (rutas legítimas) como para el "alcance malicioso" (rutas donde ROV bloquea la propagación).
- Este enfoque reduce el tiempo para generar rutas a escala de Internet de más de tres meses (usando literatura previa como BGPsim) a 5.22 horas.
Evaluación de Riesgo: Utilizando las rutas inferidas, SHAMAN evalúa exhaustivamente todas las tuplas "víctima-objetivo-secuestrador" para calcular la probabilidad de éxito del secuestro sigiloso bajo los niveles actuales de despliegue de ROV.

3. Contribuciones Clave

Formalización y Heurísticas: La primera definición formal del secuestro de BGP sigiloso y la derivación de heurísticas para detectarlo mediante discrepancias en las tablas de rutas.
Primer Estudio Empírico: El primer seguimiento del secuestro sigiloso en la naturaleza, resultando en un conjunto de datos curado de 318 incidentes de alta confianza y un servicio de monitoreo a largo plazo.
Marco SHAMAN: Un nuevo marco de alto rendimiento para la evaluación sistemática de riesgos que integra datos de ROV de múltiples fuentes y utiliza operaciones de matriz para una inferencia de rutas eficiente a escala de Internet.
Análisis de Riesgo Exhaustivo: La primera evaluación exhaustiva del riesgo de secuestro sigiloso a través de 8.3 mil millones de rutas generadas, proporcionando información estadística sobre la prevalencia, distribución y factores topológicos impulsores.

4. Resultados Clave

Probabilidad de Éxito: Bajo el despliegue actual de ROV parcial, la probabilidad general de éxito para el secuestro de BGP sigiloso es del 14.1%. En contraste, sin ROV, este riesgo es del 0% (ya que los ataques serían directos y visibles).
Ataques Dirigidos: Mientras que el riesgo promedio es del 14.1%, los ataques dirigidos (pares específicos víctima-objetivo-secuestrador) pueden alcanzar una probabilidad de éxito de hasta el 99.5%.
Espada de Doble Filo: El despliegue parcial de ROV reduce con éxito el riesgo de secuestro directo (el secuestro directo de subprefijo cae de ~100% a ~42%), pero simultáneamente introduce y amplifica el riesgo de secuestro sigiloso.
Concentración de Riesgo:
- Los Pocos Vitales: Una pequeña fracción de los AS impulsa la mayor parte del riesgo. Específicamente, el 2.94% de los AS críticos para el riesgo (245 de 8,323) y el 2.24% de los AS habilitados para ROV (36 de 1,608) son responsables del 80% de todos los casos de secuestro sigiloso.
- Distribución Geográfica: Los secuestradores potenciales se concentran en Europa, América del Sur y América del Norte. Las víctimas se encuentran principalmente en América del Norte, mientras que los objetivos se concentran en América del Sur y el Sudeste Asiático.
Patrón de Evolución: El riesgo sigue un patrón de "ascenso y descenso". A medida que el despliegue de ROV aumenta desde el 0%, el riesgo sigiloso aumenta (alcanzando su punto máximo alrededor de los niveles actuales). Las simulaciones de los autores sugieren que una vez que la adopción de ROV supera el 40%, el riesgo comienza a disminuir significativamente, acercándose a cero con una adopción casi universal.
Precisión del Marco: La validación contra el conjunto de datos del mundo real muestra que SHAMAN alcanza hasta un 95.9% de precisión a nivel de incidente.
Rendimiento: SHAMAN logra una aceleración de 500 veces respecto a los métodos existentes (BGPsim), generando rutas para 77,600 AS en 5.22 horas.

5. Significancia y Reivindicaciones

El documento afirma llenar un vacío crítico en la investigación de seguridad de BGP al exponer un vector de ataque previamente inexplorado creado por la transición a RPKI/ROV.

Consecuencia No Deseada: El trabajo destaca que el despliegue parcial de seguridad puede crear nuevas superficies de ataque invisibles. El carácter "sigiloso" es un subproducto del estado mixto actual del ecosistema, no un fallo de ROV en sí mismo.
Información Accionable: Al identificar que una pequeña fracción de los AS (los "pocos vitales") es responsable de la gran mayoría del riesgo, el documento aboga por estrategias de mitigación enfocadas. El despliegue de contramedidas avanzadas (como ROV++ con enrutamiento proactivo) en estos AS clave específicos podría neutralizar eficazmente la mayor parte de la amenaza.
Avance Metodológico: La introducción de SHAMAN demuestra que la evaluación de riesgos determinista a escala de Internet es factible con una inferencia basada en matrices eficiente, yendo más allá del muestreo limitado o las simulaciones lentas.

Los autores concluyen que, si bien ROV es esencial, la fase actual de despliegue parcial es un periodo de vulnerabilidad sigilosa aumentada. Abogan por un monitoreo continuo y una mitigación dirigida en los AS de alto riesgo identificados hasta que la adopción global de ROV alcance un umbral donde el riesgo colapse naturalmente.