2024年6月27日Cloudflare 1.1.1.1事件
内容提要
2024年6月27日，由于BGP劫持和路由泄露，全球少数用户可能会发现1.1.1.1无法访问或降级。Cloudflare是早期采用RPKI进行路由起源验证的公司之一。事件中1.1.1.1/32由ELETRONET S.A.（AS267613）发起并被多个网络接受，导致来自70个国家的300多个网络的DNS解析器地址无法访问。Cloudflare将继续改进检测方法，鼓励采用基于RPKI的劫持和泄露预防机制。
延伸解读
为何/32路由能覆盖Cloudflare的正常通告
BGP选路遵循最长前缀匹配原则。Cloudflare正常通告的是1.1.1.0/24，而攻击者ELETRONET通告了更具体的1.1.1.1/32。由于/32掩码更长，它会被优先选中，导致流量被导向错误网络。即使Cloudflare的/24已通过RPKI签名，只要其他网络接受并转发这个/32，劫持就会生效。这提醒我们，路由安全不仅依赖RPKI，还需网络运营商拒绝不合理的长前缀。
路由泄露如何放大影响
本次事件中，Nova（AS262504）将来自ELETRONET的1.1.1.0/24路由错误地上传给了上游AS1031，而AS1031又将其广泛传播给对等体和路由服务器。虽然该路由的起源AS是正确的（AS13335），但路径本身无效，属于典型的路由泄露。AS1031缺乏严格过滤，导致泄露扩散至全球，放大了对1.1.1.1的访问影响。这说明仅靠起源验证不足以防范路径泄露。
RTBH被滥用导致流量被黑洞
一家Tier 1运营商将ELETRONET通告的1.1.1.1/32当作远程触发黑洞（RTBH）路由接受，丢弃了所有发往该地址的流量。RTBH本用于缓解DDoS攻击，但过滤通常较宽松，仅依赖IRR中的AS-SET对象，无法验证黑洞授权。Cloudflare指出，只有它自己才有权对1.1.1.1/32执行RTBH。这暴露了RTBH机制缺乏严格授权验证的风险，未来可能需要类似DOA的RPKI对象来授权黑洞操作。
RPKI部署现状与未来方向
尽管RPKI起源验证部署已达到50%，但本次事件中1.1.1.1/32仍被劫持并被多个网络接受，说明仅靠起源验证不够。Cloudflare呼吁更广泛采用RPKI，并推动ASPA（自治系统提供商授权）等AS路径验证方案，以预防路由泄露。同时，Cloudflare计划扩展路由泄露检测系统的数据源并引入实时数据，以加快响应速度。这些措施需要全球网络运营商共同合作才能见效。
Q&A
2024年6月27日1.1.1.1事件的主要原因是什么？
事件的主要原因是BGP劫持和路由泄露。
Cloudflare在此次事件中采取了哪些措施来应对影响？
Cloudflare禁用了与AS267613的多个对等连接，并提高了检测方法以快速响应。
RPKI在防止BGP劫持中起什么作用？
RPKI通过验证路由源，帮助限制BGP劫持的影响，确保IP前缀的所有权信息安全共享。
此次事件对用户的影响有多大？
事件影响了来自70个国家的300多个网络，但总体用户影响较小，低于1%。
Cloudflare如何计划改进未来的路由泄露检测？
Cloudflare计划扩展路由泄露检测系统的数据源，并引入实时数据以提高响应速度。
BGP劫持和路由泄露的区别是什么？
BGP劫持是指错误地宣告一个IP前缀，而路由泄露是指网络不当转发不应转发的路由。
