## 概述 2024年1月3日，西班牙第二大移动运营商Orange España全国性断网三个多小时，Cloudflare Radar监测到其流量骤降50%。事故根因既不是光缆被挖，也不是设备宕机，而是：攻击者用一条泄露口令"ripeadmin"登录了该运营商在RIPE NCC的会员账号，然后反手把运营商自己的防劫持武器RPKI，变成了断网工具。本文以APNIC官方博客刊发的Kentik技术复盘为主轴，完整还原时间线与攻击链，讲清BGP信任模型的先天缺陷、RPKI的工作原理与maxLength陷阱，并给出对电信运营商的四条可落地经验。 ## 目录 - 一、事发：2024年1月3日，一张网的至暗三小时 - 二、BGP的世界观：先来后到，不查身份证 - 三、RPKI：给路由发的身份证 - 四、复盘：防御武器如何被改造成凶器 - 五、前科与进化：从YouTube断网到ROA过半 - 六、给电信运营商的四条硬经验 - 七、结语：身份证发下来了，保管好 ## 一、事发：2024年1月3日，一张网的至暗三小时 先交代主角。Orange España（AS12479）是西班牙第二大移动运营商，其自治域承载着移动回传、家宽和企业专线，同时向全球宣告约9200条路由、700万个IPv4地址。这个体量的网络在西班牙说“举足轻重”不算夸张。 当天按UTC时间（当地时间+1小时）推进的事件线如下，数据来自Kentik对RPKI存档系统RPKIviews与BGP观测的复盘，刊发于APNIC官方博客： | 时间（UTC） | 事件 | 影响 | |---|---|---| | 09:28 | 攻击者登录RIPE NCC门户，开始增删Orange的ROA记录 | 初始动作无实质影响 | | 09:42 | 发布3条ROA：93.117.88.0/21、/22、149.74.0.0/16，maxLength一律填16 | 149.74.0.0/16的全部明细路由被判定RPKI无效 | | 09:45前后 | 追补一批/23明细ROA | 大部分明细恢复valid，唯独漏了149.74.172.0/22，其全球可达性在四小时内跌到20% | | 上午 | 签发4条伪源ROA，origin冒用AS49581 | 62.36.0.0/16及其大量明细被判无效，可达性持续受损 | | 14:20 | 摊牌：再签4条伪源ROA，其中两个/12大段 | 覆盖上千条路由，骨干网开始丢弃 | | 14:20–18:00 | 全国性断网 | 全球路由表上AS12479的路由从约9200条跌到7400条；去往该网的流量腰斩 | | 18:00前后 | Orange工程师夺回RIPE账号，重签正确的ROA | 服务逐步恢复 | | 1月8日16:00 | 清理残留：把三个大段ROA的maxLength改为24 | 上千条遗留无效路由转回valid | The Record等媒体的报道口径是“三小时断网”，Cloudflare Radar观测到Orange的流量下降50%。1月3日到4日间，该网对外宣告的IPv4地址量从700万缩水到500万——丢失的三成地址空间，就是被全球骨干“拒收”的部分。 事发后，RIPE NCC作为欧洲互联网注册机构启动了调查。APNIC/Kentik的复盘还点出一个耐人寻味的细节：事发前，Orange España这个RIPE账号从没创建过任何一条ROA——RPKI对它来说是个从未用过的功能，最终却成了攻击的凶器。 ## 二、BGP的世界观：先来后到，不查身份证 要看懂这起事故，得先接受一个反直觉的事实：全球互联网的路由系统，运行在一套“谁喊得响路就归谁”的信任模型上。 每个网络以自治系统（AS）为单位，用BGP协议向邻居宣告“某某IP段在我这儿，请把发往它的流量给我”。邻居再转告自己的邻居，一传十、十传百，全世界都“知道”了。但问题在于：**BGP从设计上不验证宣告者是否真的拥有这段地址**。1980年代这套协议诞生时，互联网是一张熟人网，大家默认彼此不使坏。到了今天，任何一台配置失误的路由器、任何一个恶意运营商，都能把别人的IP段喊成自己的。 由此产生两类经典事故： - **路由劫持（hijack）**：恶意或误操作地宣告不属于自己的前缀，轻则流量被吸走监听，重则前缀被黑洞。 - **路由泄露（leak）**：把从上游学来的路由错误地传给不该传的对等体，造成流量改道甚至协议崩溃。 业界补这块短板的方案，就是给“谁拥有哪段地址”这件事上一套密码学证明体系：RPKI（Resource Public Key Infrastructure）。APNIC/Kentik的复盘标题里那把“双刃剑”，说的就是它——这起事故里，它既是补丁，又是凶器。 ## 三、RPKI：给路由发的身份证 RPKI的核心思想很朴素：让IP地址和AS号的合法持有者，到区域互联网注册机构（欧洲是RIPE NCC）的体系里签发一张“路由起源授权”（ROA）。一张ROA声明三个字段： - **prefix**：我拥有哪个前缀； - **origin ASN**：允许哪个AS宣告它； - **maxLength**：允许宣告的最长前缀长度。 全网的路由器（或旁边的校验缓存）按RPKI-ROV流程验证每条收到的BGP路由，结果分三档： ```mermaid flowchart TD A["收到一条BGP路由"] --> B{"查询ROA覆盖"} B -->|源AS匹配且长度合规| C["valid 正常转发"] B -->|源不匹配或超长| D["invalid 丢弃"] B -->|查无ROA| E["not-found 按策略放行"] ``` 注意第三档：**没有签过ROA的路由并不会被丢**。所以运营商的上心程度，直接决定RPKI这层保险是装饰还是钢筋。Kentik的测量显示，当一条路由被评估为RPKI-invalid后，其全球传播能力会被腰斩甚至更低——主流骨干网已经真的在丢弃无效路由，而不再是象征性记一笔日志。这个“真的会丢”，正是Orange事故得以发生的行业前提。 ## 四、复盘：防御武器如何被改造成凶器 对照Kentik的取证细节，攻击者的三步棋走得很清楚。 **第一步，进门只花了一条口令。** 攻击者从公开的泄露口令库里翻出"ripeadmin"，直接登进了Orange España的RIPE NCC门户。没有0day，没有内网渗透，RIR门户就是这家全国性运营商的“证书生产网”，而它的门锁配了一把万能钥匙。 **第二步，先用自己的武器误伤自己。** 09:42那三条ROA，源AS填的是对的，坏就坏在maxLength=16：149.74.0.0/16下所有更明细的路由（运营商网络里明细路由才是常态）瞬间全部判invalid。攻击者随即意识到了，追补了一批/23 ROA修复——却漏掉149.74.172.0/22，这条路由的全球可达性随后四小时里跌到只剩两成。这一段说明两件事：maxLength是个新手坟场；而"配错ROA"本身就能造成局部断网，根本不需要恶意。 **第三步，用伪源ROA发动全国DoS。** 14:20，攻击者签出四条origin为AS49581的伪源ROA，其中85.48.0.0/12和90.160.0.0/12两个大段，一举覆盖Orange上千条路由。伪源意味着这些路由与ROA不匹配→invalid→被严格执行ROV的骨干网丢弃。全球路由表上Orange的路由从9200条掉到7400条，Cloudflare观测到流量下降50%，一个全国性运营商就这样在光天化日之下“被下线”了整整三个多小时。攻击全程没有发出一条欺骗性BGP宣告、没有吸走任何流量——纯粹借全球验证机制之手杀人。据报道，攻击者自称Snow。 当晚18点前后，Orange夺回账号、重签正确ROA，服务恢复。但清理拖到了1月8日16:00才完成：两个/12的ROA把maxLength从12改到24，上千条残留的invalid路由才转回valid。Kentik作者的提醒值得抄在运维手册扉页：**maxLength是可选字段，不填就只按源AS匹配**——这是已被收录的最佳实践，也是最省心的写法。 完整的攻击与恢复链如下图： ```mermaid flowchart TD A["用泄露口令登录RIPE门户"] --> B["篡改ROA记录"] B --> C["maxLength配错
自家明细变invalid"] B --> D["伪源ROA两个/12
上千条路由中招"] C --> E["ROV判定为无效"] D --> E E --> F["骨干网丢弃无效路由"] F --> G["路由9200跌至7400"] G --> H["全国流量腰斩约三小时"] H --> I["夺回账号重签ROA"] ``` ## 五、前科与进化：从YouTube断网到ROA过半 Orange不是BGP信任缺陷的第一位受害者，只是死法最新颖的一例： | 年份 | 事件 | 手法 | 后果 | RPKI防得住吗 | |---|---|---|---|---| | 2008 | YouTube断网 | 巴基斯坦电信为屏蔽YouTube，把对方208.65.153.0/24宣告成黑洞并泄露至全球（经上游PCCW扩散） | YouTube全球不可达约两小时 | 防得住，有ROA即invalid | | 2020 | Rostelecom劫持 | 据Cloudflare当时监测，一次性宣告约8800条属于约200家网络（含Cogent等）的前缀 | 万幸未演变成大规模断网 | 防得住，前提是被害方签了ROA | | 2024 | Orange España | 盗用RIR账号篡改ROA，借全球ROV机制做DoS | 全国断网约三小时 | 揭示新风险面：证书运维面 | 必须说句公道话：这起事故之后，不少人喊“RPKI引入了新风险”，这话说反了。APNIC/Kentik的原话是——不能因为对手偷了登录凭证开始禁用端口就去怪路由器，同理也不能怪RPKI。真正暴露的短板是：运营商把RIR账号当成了普通网站账号来管理。 好消息是行业确实在进化。MANRS（路由安全相互约定）与NIST RPKI Monitor的数据显示，2024年5月，全球IPv4路由表过半已被ROA覆盖——这是RPKI诞生以来的第一次；IPv6则在前一年底率先过线。APNIC 2026年2月发布的《RPKI's 2025 year in review》显示，2025年ROA覆盖的地址量又增长了10%，而用于声明“上游授权”关系的ASPA对象数量在2025年出现爆发式增长——针对BGP路径段（不只是起源段）的防护工具正在铺开。欧盟层面，NIS2指令把BGP路由操纵明确列入风险管理清单，路由安全正从“最佳实践”变成“合规义务”。 ## 六、给电信运营商的四条硬经验 把Kentik复盘和后续行业动作压成四条，给同行： **1. RIR账号就是生产网账号。** 管它叫"第0平面"也不为过：ROA错一条，等于全网路由器错配置。强制MFA、独立口令、权限最小化、账号变更进告警——这套网元侧的纪律，对RIPE/ARIN门户要原样照搬。Orange那条"ripeadmin"就是最好的反面教材。 **2. 先建立RPKI运维能力，再扩大RPKI签发。** maxLength填错一次，代价就是全国性的。默认不填maxLength（只按源匹配），签发变更走双人复核与预校验，把“签ROA”纳入和“改路由策略”同级的变更管理。 **3. 应急预案必须包含证书平面。** 传统预案只覆盖设备、链路、电源——Orange当晚真正的恢复动作发生在RIPE门户里：夺回账号、重签ROA、等ROA全球传播。演练要专门设计“ROA被篡改”场景，明确谁有权限登录RIR门户、恢复顺序是什么、ROA传播延迟大概多久。 **4. 监控要把RPKI状态当一等公民。** 用RIPE RIS、Cloudflare Radar、NIST RPKI Monitor等公开工具盯自己AS的invalid率和可达性；遇到invalid突增，第一反应不该是“网内有攻击”，还要查一句“我的证书体系是否被动了”。对等互联侧，按MANRS的四项行动（过滤、反欺骗、协作、全球验证）逐项对表。 标准允许各厂家在ROV执行策略上有实现差异，具体行为以各厂家官方文档为准；但“invalid会被主流骨干丢弃”已经是可测量的行业现实，Kentik给出的量级是传播能力砍半。 ## 七、结语：身份证发下来了，保管好 这起事故最讽刺的地方在于：Orange España是为数不多已经签署了RPKI的网络，防护体系就位、骨干网真的在执行验证——结果防线被一条弱口令绕开，防御机制本身成了攻击路径。技术没有失效，失效的是“证书生产网还停留在2010年的账号管理”这个错位。 对通信工程师，它给出的启示跨出了路由领域：当我们给网络加每一层新锁时，钥匙串的管理成本也在同步上升。5G核心网把接口全面API化时如此，网络云化把控制面搬上虚拟机时如此，RPKI把路由表交给证书体系时，同样如此。新能力上线的第一课，永远是先问一句：管这套东西的账号，配了几把钥匙，锁了几道门？ ## 参考来源 1. [Digging into the Orange España Hack — APNIC Blog（Doug Madory / Kentik）](https://blog.apnic.net/2024/01/26/digging-into-the-orange-espana-hack/) — 本文主轴来源：完整时间线、ROA取证数据、maxLength分析 2. [Digging into the Orange España Hack — Kentik Blog 原文](https://www.kentik.com/blog/digging-into-the-orange-espana-hack/) — Kentik 2024年1月4日首发的事故分析 3. [Major Spanish mobile carrier suffers three-hour outage after account hijack — The Record](https://therecord.media/orange-espana-outage-hacker-internet-ripe-bgp-rpki) — 断网时长与Cloudflare流量下降50%的媒体佐证 4. [RPKI ROV Deployment Reaches Major Milestone — MANRS](https://manrs.org/2024/05/rpki-rov-deployment-reaches-major-milestone/) — 2024年5月IPv4路由ROA覆盖率过半的行业里程碑 5. [RPKI's 2025 year in review — APNIC Blog](https://blog.apnic.net/2026/02/20/rpkis-2025-year-in-review/) — 2025年ROA覆盖增长10%、ASPA爆发式增长的最新数据 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。