BGP hijacking
El BGP hijacking es el anuncio de un prefijo IP por parte de una red que no tiene autoridad sobre él, lo que hace que el tráfico destinado al titular legítimo se encamine a otro sitio. Es un fallo de confianza del sistema de enrutamiento, no una vulnerabilidad de software: los routers aceptan el anuncio porque el protocolo se hizo para eso.
Dos mecánicas explican la mayoría de los incidentes. Anunciar un prefijo más específico que el legítimo, que gana porque el enrutamiento prefiere la coincidencia más específica, y manipular el camino para que una ruta parezca más corta o más fiable de lo que es. Una parte importante de los sucesos son errores de configuración y no ataques, y el efecto sobre la víctima es idéntico en los dos casos.
La consecuencia que importa más allá de la disponibilidad es la emisión de certificados. A una autoridad de certificación que valida el control del dominio contactando con él por la red le responde quien esté recibiendo ese tráfico en ese momento. Eso convierte un suceso de enrutamiento en un certificado emitido válidamente para el nombre de otro, y es la razón por la que hay que decir claramente que un certificado validado por dominio demuestra el control de un nombre en un instante, no la identidad de una organización, y por la que esto va en la misma conversación que el DNS hijacking y la infraestructura de clave pública en general.
La defensa es la validación del origen de la ruta con RPKI, donde el titular de un prefijo publica qué red está autorizada a anunciarlo y las demás redes rechazan los anuncios que lo contradicen. RPKI es el control, no otro nombre del ataque. Para la mayoría de las organizaciones esto queda fuera del alcance de un proyecto y dentro del alcance de una pregunta al proveedor: si sus operadores de tránsito y su proveedor de distribución de contenido validan orígenes de ruta, y si sus propios prefijos están firmados.