💻 computer science

Understanding the Stealthy BGP Hijacking Risk in the ROV Era

Dit artikel introduceert het concept van stealthy BGP-hijacking, een dreiging waarbij kwaadwillige routes detectie door slachtoffers ontwijken vanwege gedeeltelijke Route Origin Validation (ROV)-implementatie, en behandelt dit via de eerste empirische studie van real-world incidenten en de ontwikkeling van SHAMAN, een hoogefficiënt framework dat een aanzienlijk globaal risico onthult met een succespercentage van tot 99,5% voor gerichte aanvallen.

Oorspronkelijke auteurs: Yihao Chen, Qi Li, Ke Xu, Zhuotao Liu, Jianping Wu

Gepubliceerd 2026-06-23

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Yihao Chen, Qi Li, Ke Xu, Zhuotao Liu, Jianping Wu

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Grote Plaatje: Het Adresboek van het Internet

Stel je voor dat het internet een enorme, wereldwijde postdienst is. Elke computer en server heeft een adres (een IP-prefix) en elk postkantoor (een Autonomous System of AS) heeft een regelboek over hoe de post bezorgd moet worden. Het protocol dat deze regelboeken synchroon houdt, wordt BGP genoemd.

Het probleem? Het oude regelboek heeft een groot beveiligingslek: iedereen kan een postkantoor binnenlopen en zeggen: "Hé, ik ben de eigenaar van dit adres! Stuur alle post voor deze buurt naar mij toe!" Als de andere postkantoren hen geloven, sturen ze alle verkeer daarheen. Dit wordt BGP Hijacking genoemd. Meestal is dit direct zichtbaar omdat de post verloren gaat of direct op de verkeerde plek aankomt.

De Nieuwe "Beveiliger": ROV

Om dit op te lossen, heeft de internetgemeenschap een beveiligersysteem geïntroduceerd genaamd RPKI en ROV (Route Origin Validation).

De Analogie: Stel je een "Geverifieerde Eigenaar"-lijst voor. Voordat een postkantoor een nieuwe bezorginstructie accepteert, controleert het deze lijst. Als de instructie zegt: "Ik ben de eigenaar," maar de lijst zegt: "Nee, dat ben jij niet," dan wijst het postkantoor de valse instructie af.

De Haken en ogen: Niet elk postkantoor heeft nog zo'n beveiliger ingehuurd. Op het moment van schrijven van het paper gebruikte slechts ongeveer 10% van de wereldwijde postkantoren ROV. De rest gebruikt nog steeds het oude, onveilige regelboek.

De "Stealthy" Val: De Onzichtbare Hijack

Hier komt de belangrijkste ontdekking van het paper om de hoek kijken. De auteurs ontdekten dat het hebben van sommige beveiligers eigenlijk een nieuw, onzichtbaar type hijacking creëert, genaamd Stealthy BGP Hijacking.

De Analogie van de Onzichtbare Dief:

Het Slachtoffer (AS A): Een postkantoor dat wel een beveiliger heeft ingehuurd (ROV).
Het Doelwit (AS E): Een legitiem bedrijf dat een specifiek adres bezit.
De Dief (AS G): Een crimineel die probeert het verkeer dat bedoeld is voor het Doelwit te stelen.
De Tussenpersoon (AS C): Een postkantoor dat geen beveiliger heeft ingehuurd.

Zo vindt de diefstal plaats zonder dat het Slachtoffer het merkt:

De Dief probeert tegen het Slachtoffer te zeggen: "Ik bezit het adres van het Doelwit!"
De beveiliger van het Slachtoffer (ROV) controleert de lijst, ziet dat de Dief nep is, en blokkeert het bericht. Het Slachtoffer weet niet eens dat de Dief bestaat.
De Dief vertelt de boodschap echter wél aan de Tussenpersoon (AS C). De Tussenpersoon heeft geen beveiliger, dus gelooft de Tussenpersoon de Dief.
Het Slachtoffer stuurt de post naar het Doelwit. De post reist via de Tussenpersoon.
De Tussenpersoon, die de Dief gelooft, leidt de post af naar het huis van de Dief.
Het Resultaat: Het Slachtoffer denkt: "Ik stuur de post naar het Doelwit," maar de post wordt in werkelijkheid gestolen door de Dief. Omdat de beveiliger van het Slachtoffer de melding van de diefstal blokkeerde, blijft het Slachtoffer er volledig onbewust van. Het is een "stille" diefstal.

Wat de Onderzoekers Deden

De auteurs, onder leiding van Yihao Chen en collega's, wilden begrijpen hoe groot dit probleem is. Ze konden niet simpelweg wachten tot mensen het zouden melden, want de slachtoffers weten immers niet dat ze worden beroofd.

Het Detectiewerk (Empirische Studie): Ze bouwden een systeem om de "postlogs" (routingtabellen) van het internet vanuit verschillende standpunten te scannen. Ze zochten naar discrepanties: "Ik zie een route naar het Doelwit, maar ik zie geen route naar de Dief, en toch gaat de weg naar het Doelwit via iemand die met de Dief zou kunnen praten."
- Ze vonden 318 incidenten met een hoog vertrouwen in de echte wereld waarbij dit gebeurde.
- Ze ontdekten dat deze aanvallen vaak kortstondig zijn, maar bijna dagelijks voorkomen.
De Supercomputer (SHAMAN Framework): Om het volledige risico te begrijpen, moesten ze het hele internet simuleren. Bestaande methoden waren te traag (het duurde maanden om de routes voor de hele wereld te berekenen).
- Ze bouwden een tool genaamd SHAMAN (genoemd naar een gids die onzichtbare gevaren navigeert).
- De Magische Truc: In plaats van elk postkantoor één voor één te simuleren, gebruikten ze een wiskundige "matrix"-benadering (zoals een gigantisch spreadsheet) om alle mogelijke routes tegelijkertijd te berekenen.
- De Versnelling: Ze verkortten de tijd om de routes van het hele internet in kaart te brengen van ruim 3 maanden naar slechts 5,22 uur.

De Schokkende Bevindingen

Met behulp van hun supersnelle tool analyseerden ze 8,3 miljard mogelijke routes. Dit is wat ze ontdekten:

Het Succespercentage: Zelfs met de beveiligers in het spel heeft een willekeurige "stealthy" hijackingpoging een kans van 14,1% op succes.
Het Gerichte Gevaar: Als een dief specif eigenlijk een slachtoffer en een specifieke route target, stijgt het succespercentage naar 99,5%. Het is bijna een gegarandeerde diefstal.
Het "Tweesnijdend Zwaard": ROV is geweldig in het stoppen van duidelijke hijacking (waarbij de dief de route aankondigt en iedereen het ziet). Maar omdat het de dief voor het slachtoffer verbergt, maakt het per ongeluk stealthy hijacking veel waarschijnlijker.
De "Vitale Enkele": Het risico is niet gelijkmatig verdeeld. Slechts 2,9% van de "Tussenpersoon"-postkantoren is verantwoordelijk voor 80% van al deze stealthy diefstalen. Als je die paar postkantoren aanpakt, los je het grootste deel van het probleem op.
De Toekomst: Naarmate meer postkantoren beveiligers inhuren, zal het risico een tijdje toenemen, maar uiteindelijk, als iedereen een beveiliger heeft, zal het risico weer naar nul dalen. We bevinden ons momenteel in de "risico-stijgende" fase.

Samenvatting

Het paper onthult een paradox: Partiële beveiliging creëert een nieuw soort onzichtbaarheid. Door slechte aankondigingen voor sommigen te blokkeren maar voor anderen niet, heeft het internet een blinde vlek gecreëerd waar verkeer gestolen kan worden zonder dat de eigenaar het ooit weet. De auteurs bouwden een snelle, wiskundige tool om dit gevaar in kaart te brengen en toonden aan dat hoewel het risico momenteel aanzienlijk is, het geconcentreerd is in een klein aantal cruciale locaties, wat een duidelijke weg biedt voor een oplossing.

Technische Samenvatting: Begrip van het Stealthy BGP Hijacking Risico in het ROV-tijdperk

1. Probleemstelling

Het Border Gateway Protocol (BGP) is kwetsbaar voor hijacking, waarbij kwaadwillende Autonomous Systems (AS'en) IP-prefixes onterecht aankondigen om verkeer om te leiden. Om dit te mitigeren, heeft de community Route Origin Validation (ROV) uitgerold met behulp van de Resource Public Key Infrastructure (RPKI). ROV-geactiveerde AS'en verifiëren BGP-aankondigingen tegen Route Origin Authorizations (ROA's) en verwerpen ongeldige routes.

Echter, de ROV-implementatie is momenteel gedeeltelijk en incompleet. Dit artikel identificeert een onverwacht beveiligingsrisico dat voortvloeit uit deze gedeeltelijke implementatie: Stealthy BGP Hijacking.

Het Mechanisme: In een gedeeltelijke ROV-omgeving kan een slachtoffer-AS (beschermd door ROV) de kwaadwillende route-aankondiging mogelijk niet ontvangen omdat een naburig ROV-geactiveerd AS deze route filtert. Bijgevolg ontbreekt de route naar de hijacker in de routingtabel van het slachtoffer, waardoor de aanval onzichtbaar is op de control plane.
De Realiteit: Ondanks dat de routingtabel van het slachtoffer er schoon uitziet, kan het verkeer bestemd voor een legitiem doelwit een "legacy" (niet-ROV) AS langs de datapaden passeren. Als deze legacy AS de kwaadwillende route accepteert (bijvoorbeeld door belevoorkeuren of sub-prefix aankondigingen), wordt het verkeer van het slachtoffer naar de hijacker omgeleid.
De Kloof: Deze vorm van hijacking is "stealthy" (sluipend) omdat het slachtoffer zich niet bewust is van de kwaadwillende route, waardoor standaard defensieve maatregelen op de control plane ineffectief zijn. Vóór dit werk waren er geen gedocumenteerde real-world incidenten, geen systematische karakterisering en geen tools om de omvang van dit risico te beoordelen.

2. Methodologie

De auteurs hanteren een tweeledige aanpak: een empirische studie om real-world instanties te ontdekken en een analytisch kader om het wereldwijde risico te beoordelen.

A. Empirische Ontdekking (Heuristieken)

Om stealthy hijacking in de praktijk te identificeren, hebben de auteurs het risico geformaliseerd en heuristieken ontwikkeld op basis van discrepanties in routingtabellen die worden waargenomen via meerdere vantage points (RouteViews collectors).

Formele Definitie: Een "victim-target-hijacker" 3-tuple $(u, v, w)$ $(u, v, w)$ vormt een stealthy hijacking instantie als:
1. Het slachtoffer $u$ een geldige route heeft naar het doelwit $v$ .
2. Het slachtoffer $u$ geen route heeft naar de hijacker $w$ (door ROV-filtering).
3. Een tussenliggende AS $a_i$ op het pad van $u$ naar $v$ wel een route naar $w$ heeft en verkeer naar $w$ doorstuurt.
Heuristieken: De auteurs stelden "losse" en "strikte" heuristieken voor om deze instanties te detecteren door RPKI-geldigheid, IRR-conflicten en WHOIS-mismatches met elkaar te vergelijken.
Dataverzameling: Ze analyseerden dagelijkse RIB-snapshots van januari tot februari 2025, waarbij 1.393 potentiële incidenten werden vastgelegd. Na deduplicatie en validatie tegen een brede kennisbank (RPKI, IRR, WHOIS), cureerden ze een dataset met een hoog vertrouwen van 318 real-world incidenten die 2.178 routes beslaan.

B. Analytisch Kader (SHAMAN)

Om verder te gaan dan observatie en een deterministische, internetbrede risicobeoordeling uit te voeren, hebben de auteurs SHAMAN ontwikkeld, een BGP route-inferentie framework.

Input Consolidatie: SHAMAN aggregeert ROV-implementatiedata van drie bronnen (APNIC, RoVista, Cloudflare) om een nauwkeurig beeld te vormen van welke AS'en ROV-geactiveerd zijn.
Topologie Compressie: Het reconstrueert de internettopologie en comprimeert deze door single-homed AS'en te verwijderen (die afgeleid kunnen worden van upstreams), waardoor het aantal vertices met ~36% wordt verminderd.
Matrix-gebaseerde Route-inferentie:
- In plaats van traditionele simulatie gebruikt SHAMAN een matrix-gebaseerde aanpak met een uniek one-byte coderingsschema voor routeprioriteit (het coderen van Local Preference en Path Length).
- Het voert iteratieve matrix-updates uit om volledige AS-niveau routes te infereren voor zowel "benign reach" (legitieme paden) als "malicious reach" (paden waar ROV propagatie blokkeert).
- Deze aanpak reduceert de tijd om internet-schaal routes te genereren van meer dan drie maanden (met gebruik van eerdere methoden zoals BGPsim) naar 5,22 uur.
Risicobeoordeling: Met behulp van de geïnferred routes evalueert SHAMAN exhaustief alle "victim-target-hijacker" tuples om de slaagkans van stealthy BGP hijacking te berekenen onder de huidige ROV-implementatieniveaus.

3. Belangrijkste Bijdragen

Formalisering en Heuristieken: De eerste formele definitie van stealthy BGP hijacking en de afleiding van heuristieken om dit te detecteren via routingtabel-discrepanties.
Eerste Empirische Studie: De eerste tracking van stealthy hijacking in de praktijk, resulterend in een gecureerde dataset van 318 high-confidence incidenten en een langetermijn monitoringdienst.
SHAMAN Framework: Een nieuw, hoogwaardig framework voor systematische risicobeoordeling dat multi-source ROV-data integreert en matrix-operaties gebruikt voor efficiënte, internetbrede route-inferentie.
Uitgebreide Risicoanalyse: De eerste uitgebreide beoordeling van het stealthy hijacking risico over 8,3 miljard gegenereerde routes, wat statistische inzichten biedt in prevalentie, distributie en topologische drijfveren.

4. Belangrijkste Resultaten

Succeskans: Onder de huidige gedeeltelijke ROV-implementatie is de algehele succeswaarschijnlijkheid voor stealthy BGP hijacking 14,1%. In tegenstelling hiermee is het risico zonder ROV 0% (omdat aanvallen dan direct en zichtbaar zouden zijn).
Doelgerichte Aanvallen: Hoewel het gemiddelde risico 14,1% is, kunnen gerichte aanvallen (specifieke victim-target-hijacker paren) een succeswaarschijnlijkheid van wel 99,5% bereiken.
Tweesnijdend Zwaard: Gedeeltelijke ROV-implementatie vermindert het directe hijacking risico succesvol (sub-prefix directe hijacking daalt van ~100% naar ~42%), maar introduceert en vergroot tegelijkertijd het stealthy hijacking risico.
Risicoconcentratie:
- De Vitale Enkeleenheden: Een klein deel van de AS'en drijft het grootste deel van het risico aan. Specifiek zijn 2,94% van de risicokritische AS'en (245 van de 8.323) en 2,24% van de ROV-geactiveerde AS'en (36 van de 1.608) verantwoordelijk voor 80% van alle stealthy hijacking instanties.
- Geografische Distributie: Potentiële hijackers zijn geconcentreerd in Europa, Zuid-Amerika en Noord-Amerika. Slachtoffers bevinden zich voornamelijk in Noord-Amerika, terwijl doelwitten geconcentreerd zijn in Zuid-Amerika en Zuid-Azië.
Evolutiepatroon: Het risico volgt een "stijging-dan-daling" patroon. Naarmate de ROV-adoptie toeneemt vanaf 0%, stijgt het stealthy risico (met een piek rond het huidige niveau). De simulaties van de auteurs suggereren dat zodra de ROV-adoptie de 40% overschrijdt, het risico significant begint te dalen en nadert tot nul bij bijna universele adoptie.
Framework Accuratesse: Validatie tegen de real-world dataset laat zien dat SHAMAN een incident-niveau accuratesse van tot 95,9% bereikt.
Prestaties: SHAMAN bereikt een 500-voudige versnelling ten opzichte van bestaande methoden (BGPsim), waarbij routes voor 77.600 AS'en worden gegenereerd in 5,22 uur.

5. Betekenis en Claims

Het paper claimt een kritieke leemte in BGP-beveiligingsonderzoek te vullen door een voorheen onverkend aanvalsvector bloot te leggen die wordt gecreëerd door de transitie naar RPKI/ROV.

Onbedoeld Gevolg: Het werk benadrukt dat gedeeltelijke beveiligingsimplementatie nieuwe, onzichtbare aanvalsoppervlakken kan creëren. De "stealthiness" is een bijproduct van de huidige gemengde staat van het ecosysteem, en niet een fout in ROV zelf.
Actiegerichte Inzichten: Door te identificeren dat een zeer klein deel van de AS'en (de "vitale enkeleenheden") verantwoordelijk is voor het overgrote deel van het risico, pleit het paper voor gerichte mitigatiestrategieën. Het implementeren van geavanceerde tegenmaatregelen (zoals ROV++ met proactieve herroutering) op deze specifieke sleutel-AS'en zou het merendeel van de dreiging effectief kunnen neutraliseren.
Methodologische Vooruitgang: De introductie van SHAMAN toont aan dat internet-schaal, deterministische risicobeoordeling haalbaar is met efficiënte matrix-gebaseerde inferentie, wat verder gaat dan beperkte sampling of trage simulaties.

De auteurs concluderen dat hoewel ROV essentieel is, de huidige fase van gedeeltelijke implementatie een periode is van verhoogde, stealthy kwetsbaarheid. Zij pleiten voor voortdurende monitoring en gerichte mitigatie op de geïdentificeerde hoog-risico AS'en totdat de wereldwijde ROV-adoptie een drempel bereikt waarbij het risico vanzelf wegvalt.