研究人员发现 BGP Communities 正被用作隐蔽流量劫持手段：通过在路由更新中附加社区属性，攻击者可在不触发传统劫持告警的情况下丢弃或重定向流量，且极难溯源。
社区属性传播范围超预期：
据 RIPE RIS、RouteViews、PCH 与 Isolario 公开数据，2010 年至 2018 年观测到的社区数量近乎翻三倍。测量显示，10% 的社区经历超过六个 AS 跳转，超过 50% 穿越四个以上 AS。这种跨域传播特性使得单个社区指令能在多个自治系统间生效，远超运维人员的预期控制范围。
32 位 AS 编号暴露编码缺陷：
RFC 1997 约定将 32 位社区值拆为高 16 位 AS 号与低 16 位自定义值，但 32 位 AS 编号（AS32）无法塞入 16 位字段，导致 AS32 无法按约定语义使用社区。RFC 8092 为此定义了 BGP Large Communities，采用 96 位结构（32 位 AS 号 + 两个 32 位值），但部署进度原文未给出具体数据，旧格式与新格式并存进一步增加了解析复杂度。
RPKI 保护缺失加剧风险：
社区攻击与 BGP 劫持效果相似，却更难被检测与归因。RPKI 仅校验源 AS 与前缀授权，不覆盖社区属性的完整性与授权。若上游或对等体未对入站社区实施严格过滤，恶意社区即可顺着传播链路触发黑洞或重定向动作，且日志中仅留下合法的路由更新记录。
运维人员需在路由策略中显式过滤非预期社区，并在 RPKI 验证之外部署社区属性完整性校验，将隐蔽重定向风险纳入日常巡检指标。
原文: APNIC Blog（2019-03-21）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog