BGP AS_PATHにおけるFirst ASの強制について

最近報告されたBGPハイジャック事件では、攻撃者が偽のAS_PATHを作成し、トラフィックを意図しない経路に誤誘導する手口が用いられている。この問題に対処するため、BGPピアが広告ルートにおいて自身のネットワークを「First AS」として含めることを検証・強制する基本的な解決策が提案されている。記事では、このFirst ASルールの強制が、特に偽造されたAS_PATHによるハイジャックを防ぐ上で重要であることを解説している。具体例として、Orange S.A.やCloudflareのプレフィックスを対象としたハイジャック事例が挙げられ、偽のAS_PATHがどのように作成され、一部のネットワークではFirst ASの検証が不十分であることが示されている。さらに、主要なTier 1ネットワークを対象に、First ASルールを意図的に破るアナウンスメントを送信し、どのネットワークがこのルールを強制しているかを測定した結果が示されている。測定の結果、Tier 1ネットワークの半数がFirst ASルールの違反に対して脆弱であることが判明した。また、主要なBGP実装におけるFirst AS強制のデフォルト設定についても調査されており、CiscoやAristaなどはデフォルトで強制する一方、JuniperやNokiaなどはデフォルトでは強制しないことが明らかになった。記事は、IXルートサーバーとのセッションを除き、すべての外部BGP(EBGP)セッションでFirst ASを強制することをネットワークオペレーターに推奨している。