BGP Hijacking

hacking

Définition

Le BGP Hijacking est une attaque de détournement du routage Internet consistant, pour un système autonome (AS) malveillant ou compromis, à annoncer frauduleusement via le protocole BGP (Border Gateway Protocol, port TCP 179) des préfixes IP qui ne lui appartiennent pas. Les routeurs voisins, qui font confiance par défaut aux annonces reçues, propagent cette route illégitime si elle paraît plus spécifique ou plus courte, ce qui redirige tout ou partie du trafic destiné aux préfixes visés vers l'AS attaquant. Celui-ci peut alors intercepter, analyser, modifier ou simplement faire disparaître (route to null, blackholing) ce trafic, ou usurper des services pour du phishing et de l'interception de trafic chiffré via des attaques de type man-in-the-middle. Des incidents notables ont touché des plages IP de banques, de fournisseurs cloud et de services de cryptomonnaies. Les contre-mesures incluent le déploiement de RPKI (Resource Public Key Infrastructure) avec ROA (Route Origin Authorization) pour valider cryptographiquement l'origine des annonces, le filtrage de préfixes chez les opérateurs, les IRR (Internet Routing Registries), et la surveillance via des services de monitoring BGP tiers permettant une détection rapide d'anomalie de routage et une réaction en quelques minutes plutôt qu'en heures.

Écriture de fichier bloquée dans cette session (permission non accordée), donc voici le fragment directement — environ 2 350 caractères.

Fonctionnement

BGP assure le routage entre les systèmes autonomes (AS) d'Internet. Fondé sur une confiance implicite, il accepte sans vérification native les annonces de préfixes IP de ses pairs : un AS compromis peut annoncer un préfixe qu'il ne détient pas, et le trafic converge vers lui.

Deux règles rendent l'attaque efficace : la préférence pour le préfixe le plus spécifique (un /24 supplante un /16 légitime) et pour l'AS_PATH le plus court, aisément falsifié.

Exploitation

Hijack de sous-préfixe : captation du trafic destiné à la victime.
Interception : trafic réémis vers sa destination après inspection, soit un man-in-the-middle à l'échelle mondiale.
Détournement de validation de domaine : certificats frauduleux cassant la confiance TLS, au service du phishing.
Blackholing : trafic absorbé sans retransmission, équivalent à un DDoS.

YouTube (2008) et MyEtherWallet (2018) illustrent le blackholing accidentel et le détournement criminel.

Outils

Démons BIRD, FRRouting, ExaBGP en laboratoire (GNS3, Containerlab).
Flux RIPE RIS, RouteViews, BGPStream archivant les tables mondiales.

Détection

Elle repose sur la comparaison des annonces observées avec les enregistrements légitimes : les plateformes d'alerte (BGPmon, Qrator Radar) signalent tout AS d'origine inattendu. Côté victime, hausse brutale de latence, TTL anormal ou certificat inconnu dans les journaux Certificate Transparency sont des indicateurs sérieux.

Contre-mesures

RPKI et validation ROV : les ROA signées lient préfixe et AS autorisé, les annonces invalides étant rejetées.
Filtrage des pairs par listes de préfixes IRR et limites max-prefix.
Adhésion au cadre MANRS, déploiement d'ASPA et de BGPsec.
Chiffrement de bout en bout, qui limite l'impact d'une interception.

Deux points à vérifier de votre côté : les 6 slugs (`man-in-the-middle`, `tls`, `phishing`, `ddos`, `rpki`, `chiffrement`) doivent exister dans votre glossaire, et le comptage exact est une estimation — je n'ai pas pu exécuter `wc -m` (redirections et pipes bloqués ici).

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis