L'Iceberg du BGP

La surface : un protocole sans chef

BGP, le Border Gateway Protocol, ne relie pas des machines : il relie des réseaux entiers. Chacun de ces réseaux est un AS, un Autonomous System, identifié par un numéro unique — Google porte l'AS 15169, Cloudflare l'AS 13335. Il n'existe aucun cœur central, aucun chef d'orchestre : seulement des dizaines de milliers d'AS qui négocient des accords bilatéraux. Tout transite sur un seul port, le 179, en TCP.

Le protocole est né en 1989, esquissé par Yakov Rekhter et Kirk Lougheed. La version encore en service aujourd'hui, BGP-4, date de 2006. Elle n'a quasiment pas changé depuis.

Dix mètres : peering, transit et l'AS_PATH

Toute la mécanique commerciale d'Internet tient dans une question : qui paie qui. En transit, tu paies un fournisseur qui t'annonce le monde entier. En peering, tu te branches directement à un autre réseau, souvent gratuitement, et chacun n'annonce que ses propres clients. Ces échanges se font physiquement dans des points d'échange, les IXP — le DE-CIX de Francfort est l'un des plus gros au monde.

Chaque route porte un AS_PATH : la liste de tous les réseaux qu'elle a traversés, comme des tampons sur un passeport. Sa fonction première est d'empêcher les boucles — un réseau qui se voit déjà dans la liste refuse la route. Retiens ce mécanisme : dans les abysses, il devient une arme.

Cinquante mètres : comment un routeur choisit

Quand plusieurs routes mènent au même endroit, l'ordre de décision est strict : d'abord la préférence locale de l'opérateur, ensuite l'AS_PATH le plus court, puis l'origine, le MED, et d'autres critères. Mais une règle écrase tout, avant même cet algorithme : le longest prefix match. Le préfixe le plus précis gagne, toujours — un slash vingt-quatre l'emporte sur un slash vingt-deux.

Deux cents mètres : les leaks légendaires

Le 25 avril 1997, un seul routeur, chez un petit opérateur, redécoupe les routes du monde entier en blocs ultra-précis. Par le longest prefix match, ces routes sont préférées partout, et Internet se vide dans un trou noir. Le pire : même après le débranchement du routeur fautif, les fausses routes restent collées dans les tables. C'est l'incident AS 7007, le premier effondrement mondial de l'histoire de BGP.

Le 24 février 2008, le Pakistan veut bloquer YouTube chez lui. Pakistan Telecom annonce un préfixe plus précis que celui de YouTube, son fournisseur PCCW le propage sans filtrer, et en deux minutes le trafic mondial de YouTube file vers le Pakistan. Pour riposter, YouTube annonce des blocs encore plus précis : la même règle se retourne, et le trafic revient. Ils ont battu l'attaque avec l'arme de l'attaque.

Cinq cents mètres : la défense, et sa faille

La parade s'appelle RPKI : une infrastructure pour signer cryptographiquement qui possède quoi, standardisée par l'IETF en 2012. Chaque registre régional devient une sorte de notaire. Le titre de propriété s'appelle un ROA : un objet signé qui déclare qu'un AS donné a le droit d'annoncer un préfixe donné. Face à une route, un routeur qui valide rend alors l'un de trois verdicts.

1. Valid : l'annonce correspond à un ROA. On accepte.
2. Invalid : elle contredit un ROA. On rejette.
3. NotFound : aucun ROA n'existe. On accepte quand même.

Les abysses : voler sans laisser de trace

Le 24 avril 2018, un petit opérateur de l'Ohio annonce soudain des blocs d'adresses appartenant à Amazon — le lendemain du lancement de MANRS, l'initiative censée empêcher exactement cela. Le trafic DNS d'Amazon file vers un faux serveur à Chicago, qui répond à la place du vrai. Les visiteurs d'un portefeuille de cryptomonnaie atterrissent sur une copie piégée : environ 150 000 dollars d'Ethereum siphonnés, en deux heures.

Parfois, ce n'est même pas une attaque. Le 4 octobre 2021 à 15h39 UTC, une commande de maintenance retire par erreur les routes BGP de Facebook. Ses serveurs DNS deviennent injoignables, et Facebook, Instagram et WhatsApp s'effacent du monde pendant six heures. Coup de grâce : les badges d'accès ne fonctionnent plus, et les ingénieurs se retrouvent enfermés dehors, devant leurs propres centres de données. Ce n'était pas un hijack — c'était un retrait.

Mais le vrai fond, c'est l'invisibilité. En 2008, à la conférence Defcon, deux chercheurs interceptent en direct une partie du trafic de la salle. Comme un hijack classique, ils détournent le trafic vers eux — mais ils gardent volontairement une route de retour vers la vraie destination, en empoisonnant l'AS_PATH. Ils y insèrent les réseaux du chemin de retour, qui refusent alors la route par anti-boucle : une voie de sortie survit. Le trafic passe par eux, puis repart intact. Aucune coupure. Le mécanisme anti-boucle vu à dix mètres devient le mouchard parfait.