Cloudflare 的「Is BGP Safe Yet」網站點名未做路由過濾的 ISP

2020 年 4 月初，一起邊界閘道協定（BGP）事故讓原本要前往 Google、Facebook 等主要網站的流量，繞道經由一家俄羅斯電信業者超過一小時——這不是駭客入侵，只是以信任為基礎的路由又一次失靈。BGP 洩漏經常因意外而發生，但這個協定也可能遭劫持，用於監控或攔截；同一個月，美國政府機構著手封鎖中國電信，理由包括 BGP 攻擊在內的活動。只要任何地方出了問題，Cloudflare 都會被怪罪，而它無法自行修好這個協定——因此執行長 Matthew Prince 表示，該是開始公開點名、讓失職者難堪的時候了。

它推出的網站「Is BGP Safe Yet」會測試訪客自己的連線：網站提供一條合法路由與一條無效路由，並分別透過兩者載入頁面。已部署密碼學驗證與路由過濾的 ISP 會攔下那條假路由，只載入真正的頁面；兩者都照單全收的 ISP 則會失敗，而且顯而易見。Cloudflare 估計，由於 AT&T、瑞典的 Telia 與日本的 NTT 等重量級業者，當時約有一半的網際網路已受保護——這足以讓即使身處未受保護 ISP 的使用者，在事故期間也往往還能改用仍可運作的替代方案。

這項設計同時倚賴兩個槓桿：消費者獲得一鍵方式，得以檢查他們原本根本看不見的東西；業界玩家則獲得一個容易看見與被看見的途徑。Cloudflare 也承認有其限制——部分路由器製造商仍未支援這些保護措施——但希望公開壓力能推動雙方前進。

讓協定衛生可由外部人士測試：提供一條有效路由與一條無效路由，讓訪客自己的瀏覽器揭示其 ISP 是否進行過濾。

BGP 是已有四十多年歷史、以信任為基礎的協定；沒有任何單一參與者——甚至連 Cloudflare 也不例外——能獨力保障其安全，採用必須夠廣泛才有意義。

未採用者原本是隱形的：沒有任何東西告訴消費者，他們的 ISP 正是那個接受遭劫持路由的一方。

逐連線測試把抽象的基礎管線標準，轉化為會點名個別 ISP 的聲譽評斷。

隨著覆蓋範圍擴大，所有人的安全性都會提升，因此讓落後者難堪，會放大早期採用者的價值。

你無法強迫相互依存的採用者去保護一個共享系統，但你可以讓未採用的事實對他們的客戶顯而易見。

該網站於 2020 年 4 月 17 日上線，Cloudflare 將 AT&T、Telia 與 NTT 列為當時已在過濾路由的業者；尚未內建支援這些保護措施的骨幹設備供應商，仍是落後的另一半。