【要約】BGP hijack infecting networks caused by a comedy of errors that’s not funny at all [Ars_Technica] | Summary by TechDistill
> Source: Ars_Technica
Execute Primary Source
// Problem
攻撃者がBGPハイジャックを用いて、Softaculous社のインフラを標的にした。これにより、正規の更新プログラムを装ったマルウェアの配布が可能となった。主な問題点は以下の通りである。
- ・Hetzner OnlineのRPKI設定が緩く、本来の/16より細かい/24の経路広告を許可していた。
- ・攻撃者がASパスを偽装したため、RPKIによる検証を回避された。
- ・Softaculousが更新パッケージのコード署名検証を行っていなかった。
- ・通信経路の監視が不十分で、ハイジャックの検知に22時間を要した。
// Approach
本件は攻撃事例であるが、記事では同様の事態を防ぐための技術的対策が示されている。インフラとアプリケーションの両面から防御を固める必要がある。
- ・RPKI ROV（Route Origin Validation）を適切に運用し、不正な経路を拒否する。
- ・ROA（Route Origin Authorization）により、許可するプレフィックス長を厳格に制限する。
- ・CAA（Certification Authority Authorization）レコードを用いて、証明書発行権限を制限する。
- ・ソフトウェア更新時にコード署名（Code Signing）による完全性検証を必須とする。
// Result
インフラプロバイダーとソフトウェア開発者の双方が、重大な教訓を得た。攻撃は限定的であったとされるが、防御の連鎖が崩れるリスクが浮き彫りになった。
- ・RPKIの適切な設定により、より詳細なプレフィックスによるハイジャックを阻止できる。
- ・コード署名の導入により、配布されたマルウェアの実行を確実に阻止できる。
- ・監視体制の強化により、ハイジャックの検知時間を大幅に短縮できる。
Senior Engineer Insight
> インフラの信頼性に依存しすぎる設計は致命的だ。BGPの脆弱性は、RPKIの運用ミス一つで無効化される。また、ネットワーク層の防御が突破されることを前提とした「多層防御」が不可欠だ。具体的には、通信経路の保護（RPKI/CAA）に加え、アプリケーション層での完全性検証（コード署名）を組み合わせるべきである。単一の防御層の失敗が、システム全体の崩壊を招くことを忘れてはならない。