谷歌云遭遇BGP劫持攻击，部分服务受影响

醉酒撩诗仙

    据solidot消息，Google 证实，周一下午 13:12 到 14:35 之间，它的流量被重定向路由经过俄罗斯的 TransTelekom、中国电信以及尼日利亚的 MainOne，导致了 Google Cloud 连接出现问题，连带影响使用 Google Cloud 的网站和服务如 Spotify 和 Snapchat。这是一次典型的 BGP 劫持事故，但事故是无意造成的还是有意为之？网络监视公司 ThousandEyes 的 Ameet Naik 认为，根据这次事故的规模和涉及的国家，它不太可能是意外。

    近日爆出了一起教科书般的边界网关协议（BGP）劫持攻击，众多美国用户连接至谷歌（包括谷歌云、YouTube及其他网站）的流量突然经过俄罗斯重新路由至中国境内。

    这就意味着，得克萨斯州、加利福尼亚州和俄亥俄州等州的网民启动浏览器和软件、并连接到谷歌及其服务后，不是与属于这家硅谷巨头的服务器进行联系，而是与俄罗斯和中国的系统进行联系。美国境外的网民也可能受到了影响。

    谷歌已证实，在星期一下午太平洋标准时13：12至14：35的一段时间，连接至谷歌云、API及网站的流量经过属于境外互联网服务提供商（ISP）的IP地址改道而行。在谷歌云上构建的网站和应用程序（比如Spotify、Nest和Snapchat）也因这次拦截而中招。

    具体来说，通向谷歌的网络连接改而经过俄罗斯境内的TransTelekom（mskn17ra-lo1.transtelecom.net）路由传输，进入到中国电信公司的一个网关（ChinaTelecom-gw.transtelecom.net），该网关将数据包引入到黑洞。两个节点此后都已停止解析到IP地址。

    这个黑洞效应意味着谷歌和YouTube以及依赖谷歌云的众多应用和网站在广大网民看来似乎是离线的。未经安全加密的信息有可能被上述的恶意节点拦截；不过据我们所知，由于黑洞效应，大多数连接可能并没有被拦截：TCP连接将无法建立，任何信息不会被传输。起码这是最好的情况了。

    行迹可疑

    从本质上讲，有人向负责引导互联网高速公路的核心系统通告：发送到谷歌IP地址的数据包最好经过TransTelekom、进入到中国电信来传输。曾尝试经过尼日利亚的一家ISP来进行第三次重新路由，但似乎没有成功。此处解释了如何准确地操纵路由（https://www.bishopfox.com/blog/2 ... w-of-bgp-hijacking/），这并不是什么新技术；只是全世界的骨干网络希望这种现象不常发生。这通常是意外的，一个网络无意中充当了别人流量的管道，不过这个现象通常持续几秒，而不是持续一个多小时。

    这个互联网广告巨头不愿指名道姓，表示：“在这个问题的整个持续过程中，谷歌服务按预期正常运行；我们认为问题的根本原因是谷歌之外的因素。我们将内部调查此问题，并对我们的系统进行必要的改进，有助于防止或尽量减少将来再次发生。”

    这个搜索巨头早些时候特别指出：

从2018年11月12日周一太平洋标准时14：16开始，我们接到了谷歌云网络出现问题的报告。我们获悉，谷歌云IP地址被谷歌之外的互联网服务提供商错误地通告。我们将在2018年11月12日太平洋标准时15：00之前发布更多的信息。

    云计算网络监控公司ThousandEyes的高级技术营销经理埃米特•奈克（Ameet Naik）今天告诉IT外媒The Register：“我们的分析是，从规模和范围以及所牵涉的国家来看，这种情况纯属意外的可能性极小。”

    奈克表示，数据包窃贼可能一直在伺机而动，无论是暂时禁用谷歌平台和API，还是有可能窥视来自谷歌服务用户的流量。他特别指出，早在4月份同样的攻击技术就用于重新路由AWS流量，企图获得加密货币钱包。

    考虑到BGP具有的开放性，这类BGP攻击对于ISP内部的不法分子可能很容易得逞。许多网络使用BGP，在全世界的服务提供商之间高效地路由传输流量。

    奈克说：“互联网建立在这样一条开放的信任链上，任何人都不难往里面注入虚假信息。确实很简单。”