🌐 Cloudflare opublikował szczegółową analizę poincydentalną 25-minutowego wycieku tras BGP w IPv6, który spowodował wymierne przeciążenia, utratę pakietów i około 12 Gb/s porzuconego ruchu.
📡 Incydent wywołała przypadkowa zmiana polityki routingu na routerze w Miami. Modyfikacja, która miała zapobiec rozgłaszaniu na zewnątrz określonych prefiksów IPv6, okazała się zbyt liberalna, w wyniku czego wewnętrzne trasy IPv6 Cloudflare zostały rozgłoszone na zewnątrz.
📘 Zgodnie z RFC 7908 zdarzenie kwalifikuje się jako wyciek tras BGP typu 3 i 4, naruszający zasady routingu valley-free i kierujący ruch do sieci, które nigdy nie były zaprojektowane do jego obsługi — co prowadziło do utraty pakietów i niestabilności.
⚠️ Choć był to przede wszystkim incydent dotyczący niezawodności, Cloudflare podkreślił jego skutki dla bezpieczeństwa:
- Wycieki tras mogą umożliwiać przechwytywanie ruchu
- Zwiększają ryzyko przejęcia tras BGP (BGP hijacking)
- Sieci chronione zaporami mogą po cichu odrzucać błędnie skierowany ruch
🛠️ Cloudflare szybko wykrył problem, wycofał konfigurację w ciągu 25 minut, wstrzymał automatyzację, a po usunięciu przyczyn bezpiecznie ją ponownie włączył.
🔐 Planowane usprawnienia obejmują:
- Bardziej rygorystyczne kontrole eksportu oparte na społecznościach (community)
- Walidację polityk routingu w CI/CD
- Szybsze wykrywanie anomalii
- Walidację zgodną z RFC 9234
- Szersze wdrożenie RPKI ASPA
📌 Wniosek: incydenty routingu w internecie to nie tylko awarie — to zdarzenia o charakterze ryzyka systemowego. Zabezpieczenia, walidacja i kryptograficzna ochrona routingu mają dziś większe znaczenie niż kiedykolwiek.
