Sécurité du routage et détournement d’adresses IP

On aborde généralement la réputation email au niveau des IP et des domaines, mais la couche inférieure, celle de qui a le droit d’annoncer une plage d’adresses IP dans la table de routage mondiale, est elle-même un vecteur d’abus. Les spammeurs, les hébergeurs « bulletproof » et les opérateurs de botnets ont besoin d’un approvisionnement constant en espace IPv4 pas encore « grillé » (inscrit sur des listes de blocage), car leurs envois consument vite la réputation. L’IPv4 étant épuisé, trois moyens d’obtenir de l’espace neuf sont devenus des canaux d’abus : le détournement BGP ou d’adresses IP (annoncer un espace d’adresses qui ne vous appartient pas), le marché des transferts d’IPv4 (acheter des blocs, y compris des blocs au passé d’abus caché) et le marché de la location d’IPv4 (louer des blocs au mois, ce qui dissimule l’utilisateur réel dans le WHOIS). Cet article traite de ces vecteurs et de la parade, RPKI/ROA, qui permet à un expéditeur légitime de prouver, et à un serveur de réception de vérifier, que le routage d’une plage est autorisé.

C’est un contexte utile à quiconque acquiert ou vérifie de l’espace d’adresses IP pour un ESP. Pour la liste de contrôle opérationnelle de ce qu’il faut examiner avant d’attribuer à des clients un bloc loué ou acheté, voir IP-Acquisition Diligence. Pour la façon dont les inscriptions qui en résultent apparaissent et disparaissent, voir Listes de blocage et Spamhaus et Inscriptions Spamhaus en détail.

Pourquoi le détournement est un problème d’email

Les spammeurs font tourner les IP comme ils font tourner les domaines. Une IP source qui envoie du spam acquiert vite une mauvaise réputation et se fait inscrire ; l’opérateur a donc besoin d’IP neuves et propres en continu. Annoncer un espace d’adresses IP qui appartient légitimement à quelqu’un d’autre, ou qui a été délaissé, répond à ce besoin sans aucune démarche auprès d’un registre qui permettrait de remonter jusqu’à l’opérateur. L’espace volé sert à une rafale de spam ou à l’hébergement de logiciels malveillants, puis il est libéré avant (ou pendant) son inscription, et le cycle recommence. C’est l’équivalent, au niveau du réseau, du snowshoe spam : répartir la charge finement sur de nombreuses IP pour rester sous les seuils par IP, à ceci près que les IP elles-mêmes sont détournées.

Les jeux de données DROP, EDROP et ASN-DROP de Spamhaus, ainsi que le code de retour SBL DROP (127.0.0.9, « blocs d’adresses détournés ou loués à des spammeurs ; ne jamais les router »), existent précisément pour signaler ce phénomène ; voir Listes de blocage et Spamhaus.

Comment les criminels acquièrent des plages d’adresses IP

Spamhaus recense quatre voies d’acquisition, deux légitimes sur le papier et deux abusives :

L’espace historique est la cible favorite

Les plages attribuées avant la création de l’ARIN en 1997 (allocations « historiques », legacy) sont des cibles de choix pour le détournement. Elles représentent environ 35,9 % de tout l’espace d’adresses IPv4, sont antérieures à la rigueur moderne d’enregistrement, n’ont souvent pas de propriétaire qui paie ou qui s’en occupe, et ne peuvent pas être révoquées pour défaut de paiement : un bloc peut ainsi rester dormant et oublié pendant des années. Un attaquant le ressuscite.

Le cas Chemstress (147.50.0.0/16) : anatomie d’un détournement

Spamhaus documente la prise de contrôle type d’un /16 dormant, qui montre que le détournement est une opération d’ingénierie sociale contre le registre, et pas une simple astuce technique BGP :

Une fois la fiche du registre falsifiée, l’annonce de route frauduleuse paraît autorisée à tout réseau qui ne vérifie que le WHOIS.

Combattre les abus en bordure de réseau

L’approche « en bordure » de Spamhaus : bloquer le trafic malveillant au niveau du routage, sur les routeurs de bordure (via BGP), plutôt que d’attendre une détection au niveau applicatif (SMTP, HTTP). Les schémas d’abus qu’elle nomme :

• Systèmes autonomes malveillants : des acteurs malveillants exploitent leur propre AS et annoncent des routes via BGP. Les chaînes d’AS compromis sont fréquentes ; les criminels exploitent les relations de type « client d’un client », si bien qu’aucun fournisseur en amont ne se sent responsable.
• Acceptation aveugle des routes : les fournisseurs en amont propagent souvent des routes malveillantes pendant des mois, faute de vérification suffisante et en raison de « processus automatisés configurés pour accepter, presque aveuglément, tout ce que les clients annoncent ».
• Interconnexion directe pour rester invisible : des groupes criminels s’interconnectent directement avec un fournisseur cible, ce qui maintient leurs réseaux hors de la table de routage mondiale et leur évite d’être détectés par les outils de surveillance des routes.

Parades recommandées par Spamhaus aux opérateurs :

• Déployer les listes DROP / EDROP / ASN-DROP sur les routeurs de bordure pour refuser la connectivité aux réseaux criminels connus.
• Vérifier les annonces de routes BGP des clients : examiner l’historique d’abus et de routage d’un client avant d’accepter ses routes ; surveiller les schémas de rotation de routes (annoncer, spammer, retirer).
• Adopter BGP Flowspec (RFC 5575 / RFC 7674) pour pousser des ACL dynamiques en temps réel vers les équipements de bordure, par exemple pour injecter via Flowspec les données de la BCL (Botnet Controller List) et mettre en trou noir les serveurs de commande et de contrôle, IP par IP.
• Coordonner les équipes réseau et les équipes antiabus (qui travaillent généralement en silos séparés).

Ordres de grandeur fournis par Spamhaus : ses DNSBL protègent environ 2,7 milliards de boîtes aux lettres ; fondé en 1998 ; environ 30 enquêteurs dans 9 pays ; la liste BCL reste petite mais tend à augmenter.

Le marché des transferts d’IPv4 comme canal d’abus

Quand vous achetez un bloc sur le marché secondaire, vous achetez peut-être un passé d’abus caché, ou le vendeur est peut-être un abuseur récidiviste qui se débarrasse d’un espace grillé. Giotsas, Livadariu et Gigis (PAM 2020, « A first look at the misuse and abuse of the IPv4 Transfer Market ») ont chiffré ce phénomène sur une décennie de transferts (2009-10-12 → 2019-08-24), en croisant des listes de blocage d’IP, des données de pots de miel, la détection de détournements de préfixes et des listes de réputation d’AS :

Le calendrier trahit un contournement délibéré des filtres : les signalements sur les listes de blocage culminent dans l’année qui suit la date du transfert, pour tous les types d’activité malveillante (spam, phishing, logiciels malveillants, commande et contrôle de botnets, détournement de préfixes, scans non sollicités, contenus illicites), et l’abus apparaît après le transfert même quand l’espace d’adresses était déployé et visible des scans au moins un mois avant le transfert. La disproportion persiste après exclusion de l’espace légitime des clouds et des hyperscalers (AWS, Google Cloud), dont l’IaaS sert à des machines virtuelles éphémères de logiciels malveillants. Les auteurs de détournements BGP récidivistes et les hébergeurs bulletproof sont surreprésentés parmi les acteurs du marché. Les auteurs présentent ces chiffres comme une borne inférieure : les transactions non déclarées échappent entièrement aux bases des RIR.

Le marché de la location d’IPv4 : un canal plus récent, invisible dans le WHOIS

La location (louer un bloc pour une durée pouvant descendre à un mois, le préfixe restant enregistré au nom du bailleur) est pire pour la transparence que l’achat : comme aucun transfert n’est traité par le RIR, l’identité du locataire n’est jamais enregistrée dans le WHOIS, ce qui masque l’utilisateur réel d’un bloc d’adresses et met en échec les processus de plaintes pour abus et de notification des vulnérabilités. Les acteurs malveillants en profitent pour faire tourner rapidement des blocs « propres » et jeter ceux qui ont servi, contournant ainsi l’inscription des IP sur les listes de blocage.

Degen et al. (TMA 2025, University of Twente / CAIDA, « From Scarcity to Opportunity: Examining Abuse of the IPv4 Leasing Market ») ont mesuré les préfixes loués et non loués sur 82 jours (déc. 2024 à mars 2025) à l’aide des listes de blocage FireHOL :

La réputation des préfixes loués était stable avant le début de la location, puis s’est dégradée régulièrement tout au long de la période de mesure : la signature d’un bloc propre jusqu’à ce qu’un locataire commence à en abuser. Le chiffre Level 1 (2,89×) est un plancher prudent ; celui des listes étendues, un plafond.

Ordres de grandeur du marché (TMA 2025) : plus de 6 184 transferts portant sur 30,2 millions d’adresses ont été échangés en 2024 ; un seul courtier a déclaré 757 transferts pour 60,7 millions de dollars US ; l’IPv4 sert désormais de garantie de prêt (une entreprise a émis 206 millions de dollars US d’obligations garanties par ses actifs IPv4). Délais des listes d’attente des RIR en février 2025 : RIPE NCC 498 jours, ARIN 615 jours, LACNIC 1 417 jours ; c’est cette pénurie qui pousse d’abord les opérateurs vers les marchés secondaire et de la location. Fait notable, certains courtiers proposent désormais la gestion RPKI, le « parking » de préfixes (annonce d’un préfixe depuis l’AS du courtier), des services de réputation d’IP et le retrait de liste en tant que service comme prestations complémentaires : des usages légitimes des mêmes outils que ceux qu’exploitent les abuseurs.

À retenir pour les opérateurs : un bloc loué ou transféré est statistiquement plus sale qu’un espace routé choisi au hasard, et son historique est plus difficile à voir. Les vérifications de réputation avant acquisition (historique sur les listes de blocage, SWIP et WHOIS antérieurs, SenderScore et Talos) ne sont pas facultatives ; voir IP-Acquisition Diligence.

RPKI et ROA : la parade

La RPKI (Resource Public Key Infrastructure) lie cryptographiquement des préfixes IP aux numéros d’AS autorisés à les émettre, ce qui permet aux réseaux de rejeter les annonces de routes illégitimes. La validation de l’origine est actuellement la seule fonction de la RPKI utilisée en exploitation.

Route Origin Authorization (ROA)

Un ROA est un objet signé, publié par le détenteur légitime de la ressource, qui contient trois champs (RFC 6482) :

Exemple : un ROA pour 192.0.1.0/24 avec un maxLength /25 autorise l’annonce de ce /24 ou de ses deux /25 adjacents, mais rien de plus spécifique. Contraindre le maxLength bloque le détournement classique qui consiste à annoncer un sous-préfixe plus spécifique (que BGP préfère toujours) pour détourner le trafic.

États de la Route Origin Validation (ROV)

Un routeur compare chaque annonce BGP à l’ensemble des Validated ROA Payloads (VRP) et lui attribue l’un de trois états :

Comme l’espace non signé tombe dans l’état NotFound (et non Invalid), la RPKI ne protège que les préfixes dont le détenteur légitime a publié un ROA. C’est l’action directe pour un expéditeur qui établit un espace d’adresses propre : publiez des ROA pour vos plages d’envoi, afin que l’annonce plus spécifique ou à la mauvaise origine d’un pirate sur votre espace soit évaluée Invalid et écartée par les réseaux qui appliquent la ROV, et afin que l’infrastructure de routage d’un serveur de réception traite vos annonces comme autorisées. Cela vous protège aussi vous : le constat de PAM 2020 selon lequel 6 % des préfixes transférés couverts par un ROA avaient un ASN d’origine incohérent correspond exactement à l’incohérence que la ROV fait apparaître.

La documentation RPKI note que la grande majorité des détournements de routes sont involontaires (erreurs de saisie d’origine, fuites de routes) ; une large couverture ROA rend les erreurs d’origine, accidentelles comme malveillantes, faciles à repérer et à rejeter.

Au-delà de la validation de l’origine

• BGPsec (RFC 8205) valide tout le chemin d’AS, et pas seulement l’origine, mais son déploiement réel « pourrait s’avérer limité ».
• ASPA (Autonomous System Provider Authorization) : des travaux à l’état de projet pour la validation des chemins, une voie médiane émergente entre la ROV limitée à l’origine et BGPsec complet.

À retenir pour un ESP

1. L’espace d’adresses IP neuf est une marchandise pour les spammeurs ; le détournement, l’achat et la location sont autant de moyens de l’obtenir, et tous trois laissent des empreintes mesurables sur les listes de blocage.
2. Les blocs loués ont 1,84 à 2,89 fois, et les blocs transférés 4 à 25 fois, plus de chances d’être sales qu’un espace routé choisi au hasard, et la location masque délibérément l’opérateur dans le WHOIS. Vérifiez avant d’attribuer : voir IP-Acquisition Diligence.
3. Publiez des ROA pour vos préfixes d’envoi : les détournements de votre espace deviennent Invalid chez les réseaux qui appliquent la ROV, et cela témoigne d’une exploitation rigoureuse. Vérifiez la cohérence du ROA et de l’origine d’un bloc candidat avant de l’acquérir.
4. Les listes DROP, EDROP et ASN-DROP de Spamhaus et la BCL (éventuellement via BGP Flowspec) vous permettent de refuser le trafic des réseaux criminels connus en bordure de votre propre réseau.