Le site « Is BGP Safe Yet » de Cloudflare désigne les FAI qui ne filtrent pas les routes

Début avril 2020, un incident lié au protocole Border Gateway Protocol a détourné pendant plus d'une heure le trafic destiné à de grands sites comme Google et Facebook vers un opérateur télécom russe — sans piratage, juste une nouvelle défaillance du routage fondé sur la confiance. Les fuites BGP se produisent constamment par accident, mais le protocole peut aussi être détourné à des fins d'espionnage ou d'interception ; ce même mois, des agences américaines ont entrepris de bloquer China Telecom pour des activités incluant des attaques BGP. Cloudflare est blâmé dès que quelque chose tombe en panne quelque part, et il ne pouvait pas corriger le protocole lui-même — c'est pourquoi son PDG Matthew Prince a déclaré qu'il était temps de commencer à nommer et à pointer du doigt.

Le site lancé, Is BGP Safe Yet, teste la connexion du visiteur lui-même : il propose une route légitime et une route invalide et charge une page via chacune d'elles. Un FAI qui a déployé les vérifications cryptographiques et les filtres de routes intercepte la route frauduleuse et ne charge que la vraie page ; un FAI qui accepte les deux échoue, de manière visible. Cloudflare estimait qu'environ la moitié d'Internet était déjà protégée grâce à des poids lourds comme AT&T, Telia en Suède et NTT au Japon — assez pour que même les utilisateurs de FAI non protégés disposent souvent d'alternatives qui continuent de fonctionner pendant un incident.

La conception s'appuie sur deux leviers à la fois : les consommateurs disposent d'un moyen en un clic de vérifier quelque chose qu'ils ne pourraient jamais voir, et les acteurs du secteur disposent d'un moyen simple de voir et d'être vus. Cloudflare a reconnu des limites — certains fabricants de routeurs ne prenaient toujours pas en charge ces protections — mais espérait que la pression publique ferait avancer les deux camps.

Rendre l'hygiène des protocoles testable par des tiers : servir une route valide et une route invalide, et laisser le navigateur du visiteur révéler si son FAI filtre.

BGP est un protocole fondé sur la confiance vieux de plus de 40 ans ; aucun participant isolé, pas même Cloudflare, ne peut le sécuriser seul — l'adoption doit être large pour avoir un effet.

Les non-adoptants étaient invisibles : rien n'indiquait à un consommateur que son FAI était celui qui acceptait des routes détournées.

Un test par connexion convertit une norme d'infrastructure abstraite en un verdict réputationnel qui nomme les FAI individuellement.

La sécurité s'améliore pour tous à mesure que la couverture progresse, si bien que pointer les retardataires amplifie la valeur des premiers adoptants.

On ne peut pas forcer des adoptants interdépendants à sécuriser un système partagé, mais on peut rendre la non-adoption visible pour leurs clients.

Le site a été mis en ligne le 17 avril 2020, Cloudflare créditant AT&T, Telia et NTT parmi ceux qui filtraient déjà les routes ; les fabricants d'équipements de backbone qui n'avaient pas intégré la prise en charge de ces protections constituaient l'autre moitié du retard.