BGP 安全了嗎？還沒。測試你的網路服務供應商

背景

邊界網關協定（BGP）被譽為網際網路的郵政系統，負責在數以萬計的自治系統間尋找最佳數據傳輸路徑。然而，這項協定在設計之初並未內建安全驗證機制，導致惡意節點可以透過偽造路由資訊發動「BGP 劫持」，造成網路中斷或流量竊聽。Cloudflare 藉由這篇文章推廣 RPKI（資源公鑰基礎設施）驗證技術，並提供線上測試工具，讓使用者檢查自己的網路服務供應商（ISP）是否已採取安全防護措施。

社群觀點

針對 Cloudflare 提供的 ISP 安全清單，Hacker News 社群展開了熱烈討論。部分網友指出，雖然首頁顯示的 31 家主要電信商看似覆蓋率不錯，但點開完整清單後會發現，仍有超過兩百家業者被標記為不安全，其中不乏 British Telecom、NTT Docomo、Starlink 與 Rogers 等大型跨國企業。這顯示出 BGP 安全防護並非僅是舊技術的包袱，連新興的衛星網路服務也尚未完全落實。有使用者發現測試結果與清單標註不符，推測是因為 RPKI 的部署正在全球快速推進，靜態清單的更新速度可能趕不上 ISP 實際改善的進度。

關於 BGP 劫持的危害程度，社群進行了深度的技術辯論。有人質疑在 HTTPS 普及的今天，即便路由被劫持，攻擊者也難以偽造網站內容，頂多只能造成連線中斷。然而，資深技術人員反駁指出，攻擊者若能控制路由，便可透過 ACME 協定（如 Let's Encrypt 使用的機制）通過 HTTP-01 挑戰，進而申請到合法的 TLS 憑證。雖然目前憑證頒發機構已引入多點驗證機制來降低此風險，但 BGP 漏洞依然是網路信任鏈中的重大隱患。

此外，針對 RPKI 是否能徹底解決問題，討論中出現了分歧。有觀點認為 RPKI 僅能驗證路由前綴的所有權，卻無法驗證路徑本身的真實性，攻擊者仍可能宣稱自己位於通往目標系統的路徑上。雖然曾有 BGPSec 提案試圖解決路徑安全問題，但因部署難度過高而被視為難以落地。至於是否有更激進的替代方案，部分網友提到了 SCION 這種新型網路架構，但隨即遭到網路營運社群的強烈批評。反對者認為 SCION 缺乏硬體支援且帶有過多商業炒作色彩，在現有 BGP 體系已經過數十年大規模驗證且運作良好的情況下，更換基礎設施的成本與收益完全不成比例。

延伸閱讀

• MANRS (Mutually Agreed Norms for Routing Security)：一個由安全導向組織組成的全球倡議，致力於強化路由基礎設施的安全。
• Using BGP to Acquire Bogus TLS Certificates (2017)：探討如何利用 BGP 漏洞獲取偽造憑證的學術論文。
• SCION (Scalability, Control, and Isolation on Next-Generation Networks)：一種旨在從根本上重新設計網際網路路由安全性的架構提案。