Иранский мобильный оператор MCCI 20 сентября начал объявлять через BGP сотни IP-маршрутов, которые ему не принадлежат. Мониторинговая система Qrator.Radar выявила ошибку, которая создала конфликты маршрутизации в сетях более чем 100 стран. Среди ошибочных объявлений оказались крупные адресные блоки Ford, африканского интернет-регистратора AFRINIC и американского Министерства обороны.
Источником стала автономная система AS197207, принадлежащая MCCI. По словам интернет-аналитика Дага Мэдори, сеть начала объявлять сотни чужих маршрутов. Среди них 19.0.0.0/8 (Ford), 102.0.0.0/8 (AFRINIC), а также 21.0.0.0/8, 22.0.0.0/8, 26.0.0.0/8 и 29.0.0.0/8, связанные с американским оборонным ведомством. Один IPv4-блок /8 содержит более 16,7 млн адресов. MCCI фактически сообщала другим участникам интернета, что может доставлять трафик к огромным диапазонам, которыми не управляет.
BGP используется для обмена маршрутами между автономными системами. Оператор сообщает соседним сетям, к каким IP-адресам он может доставлять пакеты, и информация распространяется дальше. Конфигурационная ошибка у достаточно крупного участника выходит далеко за пределы его инфраструктуры, если соседи не отфильтруют неправильные объявления.
Однако число стран с конфликтующими маршрутами не означает полный перерыв интернета везде. BGP выбирает маршруты с учётом нескольких параметров, и более специфичный IP-префикс обычно имеет преимущество перед широким объявлением /8. Последствия различались от сети к сети: недоступность отдельных адресов, изменение пути трафика, рост задержек или полная незаметность для пользователя.
Мэдори называет событие крупной утечкой маршрутов, а не кибератакой. Публичных свидетельств перехвата трафика нет. Подобные инциденты регулярно возникают из-за ошибок операторов, неправильных политик экспорта маршрутов или отсутствия фильтрации между провайдерами.
RPKI позволяет проверить, имеет ли автономная система право объявлять префикс, но часть маршрутов остаётся без ROA-записей и не блокируется только на RPKI. Механизм ASPA решает другую часть проблемы, проверяя соответствие цепочки AS_PATH реальным отношениям между клиентами и провайдерами.
К 23 сентября крупные ошибочные объявления исчезли из глобальной таблицы маршрутизации. 102.0.0.0/8 больше не виден как маршрут MCCI, а диапазоны 21.0.0.0/8, 26.0.0.0/8 и 29.0.0.0/8 снова объявляются через AS749, принадлежащую американскому оборонному ведомству. Инцидент показал уязвимость глобальной маршрутизации. Одной ошибки в BGP-конфигурации достаточно, чтобы локальная проблема за несколько минут затронула операторов на другом конце планеты.
