12. Considerazioni sulla Sicurezza
L'introduzione di protocolli di routing che supportano prefissi senza classi e un passaggio a un modello di inoltro che richiede che i percorsi più specifici (corrispondenza più lunga) siano preferiti quando si sovrappongono a percorsi verso prefissi meno specifici introduce almeno due preoccupazioni di sicurezza:
12.1. Dirottamento del Traffico (Traffic Hijacking)
Il traffico può essere dirottato annunciando un prefisso per una determinata destinazione che è più specifico dell'aggregato normalmente annunciato per quella destinazione. Ad esempio, supponiamo che un sistema terminale popolare con l'indirizzo 192.168.17.100 sia connesso a un fornitore di servizi che annuncia 192.168.16.0/20.
Un operatore di rete malevolo interessato a intercettare il traffico per questo sito potrebbe annunciare, o almeno tentare di annunciare, 192.168.17.0/24 nel sistema di routing globale. Poiché questo prefisso è più specifico del prefisso "normale", il traffico verrà deviato dal sistema terminale legittimo alla rete di proprietà dell'operatore malevolo.
Il rimedio per l'attacco basato su CIDR è tuttavia lo stesso di un attacco pre-CIDR: stabilimento di relazioni di fiducia tra fornitori, accoppiato con forti filtri di policy di routing ai confini dei fornitori.
12.2. Attacchi Denial-of-Service
Gli attacchi denial-of-service possono essere lanciati contro molte parti dell'infrastruttura Internet annunciando un gran numero di percorsi nel sistema. Tale attacco mira a causare guasti del router sovraccaricando le tabelle di routing e inoltro.
Un buon esempio di un incidente non malevolo che ha causato questo tipo di guasto è stato il famigerato evento "AS 7007" [7007], in cui una configurazione errata del router da parte di un operatore ha causato la propagazione di un enorme numero di percorsi non validi attraverso il sistema di routing globale.