概述

2024年1月3日，西班牙第二大移动运营商Orange España全国性断网三个多小时，Cloudflare Radar监测到其流量骤降50%。事故根因既不是光缆被挖，也不是设备宕机，而是：攻击者用一条泄露口令"ripeadmin"登录了该运营商在RIPE NCC的会员账号，然后反手把运营商自己的防劫持武器RPKI，变成了断网工具。本文以APNIC官方博客刊发的Kentik技术复盘为主轴，完整还原时间线与攻击链，讲清BGP信任模型的先天缺陷、RPKI的工作原理与maxLength陷阱，并给出对电信运营商的四条可落地经验。

目录

• 一、事发：2024年1月3日，一张网的至暗三小时
• 二、BGP的世界观：先来后到，不查身份证
• 三、RPKI：给路由发的身份证
• 四、复盘：防御武器如何被改造成凶器
• 五、前科与进化：从YouTube断网到ROA过半
• 六、给电信运营商的四条硬经验
• 七、结语：身份证发下来了，保管好

一、事发：2024年1月3日，一张网的至暗三小时

先交代主角。Orange España（AS12479）是西班牙第二大移动运营商，其自治域承载着移动回传、家宽和企业专线，同时向全球宣告约9200条路由、700万个IPv4地址。这个体量的网络在西班牙说“举足轻重”不算夸张。

当天按UTC时间（当地时间+1小时）推进的事件线如下，数据来自Kentik对RPKI存档系统RPKIviews与BGP观测的复盘，刊发于APNIC官方博客：

The Record等媒体的报道口径是“三小时断网”，Cloudflare Radar观测到Orange的流量下降50%。1月3日到4日间，该网对外宣告的IPv4地址量从700万缩水到500万——丢失的三成地址空间，就是被全球骨干“拒收”的部分。

事发后，RIPE NCC作为欧洲互联网注册机构启动了调查。APNIC/Kentik的复盘还点出一个耐人寻味的细节：事发前，Orange España这个RIPE账号从没创建过任何一条ROA——RPKI对它来说是个从未用过的功能，最终却成了攻击的凶器。

二、BGP的世界观：先来后到，不查身份证

要看懂这起事故，得先接受一个反直觉的事实：全球互联网的路由系统，运行在一套“谁喊得响路就归谁”的信任模型上。

每个网络以自治系统（AS）为单位，用BGP协议向邻居宣告“某某IP段在我这儿，请把发往它的流量给我”。邻居再转告自己的邻居，一传十、十传百，全世界都“知道”了。但问题在于：BGP从设计上不验证宣告者是否真的拥有这段地址。1980年代这套协议诞生时，互联网是一张熟人网，大家默认彼此不使坏。到了今天，任何一台配置失误的路由器、任何一个恶意运营商，都能把别人的IP段喊成自己的。

由此产生两类经典事故：

• 路由劫持（hijack）：恶意或误操作地宣告不属于自己的前缀，轻则流量被吸走监听，重则前缀被黑洞。
• 路由泄露（leak）：把从上游学来的路由错误地传给不该传的对等体，造成流量改道甚至协议崩溃。

业界补这块短板的方案，就是给“谁拥有哪段地址”这件事上一套密码学证明体系：RPKI（Resource Public Key Infrastructure）。APNIC/Kentik的复盘标题里那把“双刃剑”，说的就是它——这起事故里，它既是补丁，又是凶器。

三、RPKI：给路由发的身份证

RPKI的核心思想很朴素：让IP地址和AS号的合法持有者，到区域互联网注册机构（欧洲是RIPE NCC）的体系里签发一张“路由起源授权”（ROA）。一张ROA声明三个字段：

• prefix：我拥有哪个前缀；
• origin ASN：允许哪个AS宣告它；
• maxLength：允许宣告的最长前缀长度。

全网的路由器（或旁边的校验缓存）按RPKI-ROV流程验证每条收到的BGP路由，结果分三档：

flowchart TD
    A["收到一条BGP路由"] --> B{"查询ROA覆盖"}
    B -->|源AS匹配且长度合规| C["valid 正常转发"]
    B -->|源不匹配或超长| D["invalid 丢弃"]
    B -->|查无ROA| E["not-found 按策略放行"]

注意第三档：没有签过ROA的路由并不会被丢。所以运营商的上心程度，直接决定RPKI这层保险是装饰还是钢筋。Kentik的测量显示，当一条路由被评估为RPKI-invalid后，其全球传播能力会被腰斩甚至更低——主流骨干网已经真的在丢弃无效路由，而不再是象征性记一笔日志。这个“真的会丢”，正是Orange事故得以发生的行业前提。

四、复盘：防御武器如何被改造成凶器

对照Kentik的取证细节，攻击者的三步棋走得很清楚。

第一步，进门只花了一条口令。 攻击者从公开的泄露口令库里翻出"ripeadmin"，直接登进了Orange España的RIPE NCC门户。没有0day，没有内网渗透，RIR门户就是这家全国性运营商的“证书生产网”，而它的门锁配了一把万能钥匙。

第二步，先用自己的武器误伤自己。 09:42那三条ROA，源AS填的是对的，坏就坏在maxLength=16：149.74.0.0/16下所有更明细的路由（运营商网络里明细路由才是常态）瞬间全部判invalid。攻击者随即意识到了，追补了一批/23 ROA修复——却漏掉149.74.172.0/22，这条路由的全球可达性随后四小时里跌到只剩两成。这一段说明两件事：maxLength是个新手坟场；而"配错ROA"本身就能造成局部断网，根本不需要恶意。

第三步，用伪源ROA发动全国DoS。 14:20，攻击者签出四条origin为AS49581的伪源ROA，其中85.48.0.0/12和90.160.0.0/12两个大段，一举覆盖Orange上千条路由。伪源意味着这些路由与ROA不匹配→invalid→被严格执行ROV的骨干网丢弃。全球路由表上Orange的路由从9200条掉到7400条，Cloudflare观测到流量下降50%，一个全国性运营商就这样在光天化日之下“被下线”了整整三个多小时。攻击全程没有发出一条欺骗性BGP宣告、没有吸走任何流量——纯粹借全球验证机制之手杀人。据报道，攻击者自称Snow。

当晚18点前后，Orange夺回账号、重签正确ROA，服务恢复。但清理拖到了1月8日16:00才完成：两个/12的ROA把maxLength从12改到24，上千条残留的invalid路由才转回valid。Kentik作者的提醒值得抄在运维手册扉页：maxLength是可选字段，不填就只按源AS匹配——这是已被收录的最佳实践，也是最省心的写法。

完整的攻击与恢复链如下图：

flowchart TD
    A["用泄露口令登录RIPE门户"] --> B["篡改ROA记录"]
    B --> C["maxLength配错<br/>自家明细变invalid"]
    B --> D["伪源ROA两个/12<br/>上千条路由中招"]
    C --> E["ROV判定为无效"]
    D --> E
    E --> F["骨干网丢弃无效路由"]
    F --> G["路由9200跌至7400"]
    G --> H["全国流量腰斩约三小时"]
    H --> I["夺回账号重签ROA"]

五、前科与进化：从YouTube断网到ROA过半

Orange不是BGP信任缺陷的第一位受害者，只是死法最新颖的一例：

必须说句公道话：这起事故之后，不少人喊“RPKI引入了新风险”，这话说反了。APNIC/Kentik的原话是——不能因为对手偷了登录凭证开始禁用端口就去怪路由器，同理也不能怪RPKI。真正暴露的短板是：运营商把RIR账号当成了普通网站账号来管理。

好消息是行业确实在进化。MANRS（路由安全相互约定）与NIST RPKI Monitor的数据显示，2024年5月，全球IPv4路由表过半已被ROA覆盖——这是RPKI诞生以来的第一次；IPv6则在前一年底率先过线。APNIC 2026年2月发布的《RPKI's 2025 year in review》显示，2025年ROA覆盖的地址量又增长了10%，而用于声明“上游授权”关系的ASPA对象数量在2025年出现爆发式增长——针对BGP路径段（不只是起源段）的防护工具正在铺开。欧盟层面，NIS2指令把BGP路由操纵明确列入风险管理清单，路由安全正从“最佳实践”变成“合规义务”。

六、给电信运营商的四条硬经验

把Kentik复盘和后续行业动作压成四条，给同行：

1. RIR账号就是生产网账号。 管它叫"第0平面"也不为过：ROA错一条，等于全网路由器错配置。强制MFA、独立口令、权限最小化、账号变更进告警——这套网元侧的纪律，对RIPE/ARIN门户要原样照搬。Orange那条"ripeadmin"就是最好的反面教材。

2. 先建立RPKI运维能力，再扩大RPKI签发。 maxLength填错一次，代价就是全国性的。默认不填maxLength（只按源匹配），签发变更走双人复核与预校验，把“签ROA”纳入和“改路由策略”同级的变更管理。

3. 应急预案必须包含证书平面。 传统预案只覆盖设备、链路、电源——Orange当晚真正的恢复动作发生在RIPE门户里：夺回账号、重签ROA、等ROA全球传播。演练要专门设计“ROA被篡改”场景，明确谁有权限登录RIR门户、恢复顺序是什么、ROA传播延迟大概多久。

4. 监控要把RPKI状态当一等公民。 用RIPE RIS、Cloudflare Radar、NIST RPKI Monitor等公开工具盯自己AS的invalid率和可达性；遇到invalid突增，第一反应不该是“网内有攻击”，还要查一句“我的证书体系是否被动了”。对等互联侧，按MANRS的四项行动（过滤、反欺骗、协作、全球验证）逐项对表。

标准允许各厂家在ROV执行策略上有实现差异，具体行为以各厂家官方文档为准；但“invalid会被主流骨干丢弃”已经是可测量的行业现实，Kentik给出的量级是传播能力砍半。

七、结语：身份证发下来了，保管好

这起事故最讽刺的地方在于：Orange España是为数不多已经签署了RPKI的网络，防护体系就位、骨干网真的在执行验证——结果防线被一条弱口令绕开，防御机制本身成了攻击路径。技术没有失效，失效的是“证书生产网还停留在2010年的账号管理”这个错位。

对通信工程师，它给出的启示跨出了路由领域：当我们给网络加每一层新锁时，钥匙串的管理成本也在同步上升。5G核心网把接口全面API化时如此，网络云化把控制面搬上虚拟机时如此，RPKI把路由表交给证书体系时，同样如此。新能力上线的第一课，永远是先问一句：管这套东西的账号，配了几把钥匙，锁了几道门？

参考来源

1. Digging into the Orange España Hack — APNIC Blog（Doug Madory / Kentik） — 本文主轴来源：完整时间线、ROA取证数据、maxLength分析
2. Digging into the Orange España Hack — Kentik Blog 原文 — Kentik 2024年1月4日首发的事故分析
3. Major Spanish mobile carrier suffers three-hour outage after account hijack — The Record — 断网时长与Cloudflare流量下降50%的媒体佐证
4. RPKI ROV Deployment Reaches Major Milestone — MANRS — 2024年5月IPv4路由ROA覆盖率过半的行业里程碑
5. RPKI's 2025 year in review — APNIC Blog — 2025年ROA覆盖增长10%、ASPA爆发式增长的最新数据

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。