12. 安全考虑 (Security Considerations)

引入支持无类别前缀的路由协议和转向要求更特定 (最长匹配) 路由在与较不特定前缀的路由重叠时优先的转发模型，至少引入了两个安全问题:

12.1. 流量劫持 (Traffic Hijacking)

通过为给定目的地广告比通常为该目的地广告的聚合更特定的前缀，流量可以被劫持。例如，假设一个具有地址192.168.17.100的流行终端系统连接到广告192.168.16.0/20的服务提供商。

对劫持此站点流量感兴趣的恶意网络运营商可能会广告或至少试图广告192.168.17.0/24到全局路由系统中。因为此前缀比"正常"前缀更特定，流量将从合法终端系统转移到恶意运营商拥有的网络。

在CIDR出现之前，可以诱导来自网络某些部分的流量遵循与特定网络号完全匹配的错误广告; CIDR使这个问题有所恶化，因为最长匹配路由通常导致所有流量优先选择更特定的路由而不是较不特定的路由。

然而，基于CIDR的攻击的补救措施与基于前CIDR的攻击相同: 在提供商之间建立信任关系，再加上提供商边界的强大路由策略过滤器。不幸的是，在高度去中心化的互联网中，实施此类过滤器很困难。

作为变通方法，许多提供商确实实施了通用过滤器，这些过滤器基于RIR指南为它们分配的块大小设置上限，对从其他提供商接受的前缀长度进行限制。请注意，已经观察到"垃圾邮件发送者"使用这种攻击临时劫持地址空间，以隐藏他们生成的流量("垃圾邮件"电子邮件消息) 的来源。

可以通过向系统广告大量路由来对互联网基础设施的许多部分发起拒绝服务攻击。此类攻击旨在通过溢出路由和转发表来导致路由器故障。

一个导致这种故障的非恶意事件的好例子是臭名昭著的"AS 7007"事件 [7007]，其中运营商的路由器配置错误导致大量无效路由通过全局路由系统传播。

再次，这种攻击在CIDR中并不是真正新的; 使用传统A/B/C类路由，可以向全局路由系统广告最多16,843,008个唯一网络号，这个数字足以对2005年制造的最现代的路由设备造成问题。

不同的是，在CIDR存在的情况下正确配置路由器的中等复杂性往往使这种意外"攻击"更有可能发生。防止这种攻击的措施与上述劫持的措施大致相同，此外，最佳通用实践还要配置边界路由器将从其邻居接受的前缀的合理最大数量。

请注意，这并不打算成为CIDR使更容易的攻击类型的详尽分析; 对全局路由系统中安全漏洞的更全面分析超出了本文档的范围。