DNS协议因多部署于UDP易遭篡改。2021年11月墨西哥用户无法访问whatsapp.net和facebook.com，经查询被路由至本地K-root实例并遭中间设备拦截注入伪造响应。格勒诺布尔大学团队利用RIPE Atlas测量发现，该路由泄露在被报告前至少两个月已影响15个经济体的57个探测点，且根服务器查询在无异常时亦存在被篡改风险。
**BGP路由泄露将本地根实例泛播全网：**
根服务器采用任播部署，13组根服务器各宣告IPv4/IPv6两个前缀，分流至全球1.6k余个实例。本地实例本仅服务特定ISP或经济体，依赖NO_EXPORT或NOPEER社区属性限制路由传播（RFC 4786）。但偶发路由泄露会将本地实例路由宣告至全网。2010年I-root泄露导致twitter.com、facebook.com、youtube.com返回伪造响应；2021年K-root泄露同样引发whatsapp.net和facebook.com响应注入。根运营商不提供伪造数据，说明中间设备拦截并注入了响应。
**泄露持续两月未被察觉，影响跨15经济体：**
RIPE Atlas内置测量显示，2021年11月K-root泄露事件中，该本地实例在被报告前至少两个月即可在域外访问。来自澳大利亚、乌克兰、哥伦比亚、中国香港、斯里兰卡、瑞士、法国、美国、韩国、丹麦、墨西哥、赞比亚、比利时、英国、尼泊尔、肯尼亚等15个经济体的57个探测点，其DNS查询均被路由至该本地K-root实例。原文未给出具体数据说明泄露何时开始、何时结束，亦未给出受影响终端用户总数。
**无泄露时根查询亦面临篡改风险：**
研究进一步评估常态下发往根服务器查询的篡改程度。原文未给出具体数据量化正常条件下的篡改比例、篡改类型或地理分布。但已确认中间设备具备拦截并注入DNS响应的能力，且此类拦截不依赖路由异常即可发生。
对运维工程师而言，需监控本地根实例路由是否意外泄露至全网，部署RPKI ROA与BGP社区属性双重防护；同时推广DNS over TLS/HTTPS加密传输，规避中间设备明文拦截。RIPE Atlas等主动测量平台可作为早期预警手段，及时发现异常路由与响应篡改。
原文: APNIC Blog（2023-04-28）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog