在《专家解读:亚马逊DNS遭遇路由劫持事件》一文中，我们报道了今年4月亚马逊DNS权威服务器被路由劫持，导致用户数字货币财产损失的新闻。在这次事故中，亚马逊DNS服务器的IP地址段应该来源于AS16509。攻击者通过宣布这些地址段源自AS10297，劫持用户的DNS查询流量到其伪造的DNS权威服务器，并返回虚假的IP地址响应，从而达到劫持的目的。
在本文的最后，我们给出了为这些权威服务器颁发RPKI路由起源认证的建议，可以有效避免这种路由劫持。今年6月，亚马逊委托北美互联网地址注册机构ARIN为被劫持的DNS服务器所在的IP地址段颁发ROA，授权这些地址段的合法来源为编号16509，如下图所示:
亚马逊为被劫持的DNS权威服务器发布ROA
RPKI依赖方可以从ARIN的RPKI数据库下载这些roa并验证其有效性。如果验证成功，这些路由源认证结果将被发送到启用了RPKI的BGP。此时，如果攻击者正在亚马逊DNS服务器上发起路由劫持，BGP路由器中会出现两组路由信息:
如果BGP遵循严格的RPKI验证规则，根据获得的绑定关系，路由器会判定源自AS16509的第一组路由公告为真并保留，判定源自AS10297的第二组路由公告为假并丢弃，从而彻底抵御这种路由劫持。
现在我们可以从bgp.he.net查询AS16509，可以看到标有绿键的条目是启用了RPKI ROA认证保护的IPv4路由通告，如下图所示:
源自AS16509并已被验证为有效的路由信息。
继微软和facebook之后，亚马逊成为第三家使用RPKI保护其IP地址的大型互联网公司。与前两者在大规模部署阶段针对所有IP地址段发出ROA保护自己不同，亚马逊在成为路由劫持的受害者后，首先针对DNS服务器发出RPKI ROA作为应急，后来又陆续针对其他IP地址段发出ROA，如下图所示:
源自AS16509并已被验证为有效的路由信息。
在RPKI逐步部署的过程中，运营商、政府企业和其他IP地址持有者也可以采取类似的措施。首先，他们为DNS服务器和官方网站等更容易被劫持的关键互联网基础设施部署RPKI，然后，他们陆续为其他常见的IP地址段签发roa。这是一个有针对性的RPKI部署方案。
ZDNS的RPKI研究工作
作为专业的互联网基础服务提供商，ZDNS非常重视RPKI作为互联网基础设施安全系统的价值。自2015年以来，ZDNS一直在进行RPKI相关技术的研究，RPKI的发明者Stephen Kent博士担任研究顾问。为了未来在中国RPKI安全体系上有所作为，ZDNS实验室主任马迪人博士和Stephen Kent博士共同起草了“RPKI安全威胁模型”，为未来RPKI安全体系的建设奠定了技术基础。
由ZDNS牵头的一系列RPKI安全运行技术要求标准已获工信部批准，审批流程已完成。参与单位包括:ZDNS、CNNIC、中国信息通信研究院、中国联通、中科院信息产业研究所、中兴通讯股份有限公司。
在RPKI验证软件方面，ZDNS实验室主任马迪人博士负责RPKI验证软件RPSTIR国际开源项目后，ZDNS负责协调全球范围内的软件更新和维护。
参考读物
RPKI与互联网路由安全
RPKI与互联网路由安全
https://blog . cloud flare . com/BGP-leaks-and-crypto-currency/
https://blogs . Oracle . com/internet intelligence/BGP-jack-of-Amazon-DNS-to-steak-crypto-currency
