Het experiment dat een stille herschrijving blootlegde

Op 24 juli publiceerden twee engineers van Cloudflare het resultaat van een opzettelijk luidruchtig experiment. Iliana Xygkou en Bryton Herdes kondigden IPv4- en IPv6-prefixen aan vanuit het eigen netwerk van Cloudflare, AS13335, elk met een andere waarde in een oud BGP-veld met de naam ORIGIN. Daarna trokken ze de prefixen terug om het internet tot path hunting te dwingen, lazen met het BGPKIT-gereedschap uit wat terugkwam via de collectors RIPE RIS en RouteViews en via de eigen BMP-feeds van Cloudflare, en vergeleken de verzonden waarde met de waarde die de rest van de wereld zag.

De waarden kwamen niet overeen. ORIGIN is een van de oudste attributen in BGP en legt vast hoe een route het protocol binnenkwam: IGP, EGP of INCOMPLETE, in die volgorde van voorkeur. Ongeveer 70% van de waargenomen IPv4-paden en 67% van de IPv6-paden kwam aan met ORIGIN teruggezet op IGP, de waarde met de hoogste voorkeur. Ongeveer 10% van hun 352 directe IPv4-peers deed de herschrijving, met een vergelijkbaar aandeel bij 315 IPv6-peers.

Het mechanisme verklaart het motief. ORIGIN wordt bij de bestepadselectie gebruikt wanneer twee routes gelijk staan op Local Preference en op de lengte van het AS_PATH, en de laagste ORIGIN-waarde wint. Terugzetten naar IGP duwt een pad voorbij zijn concurrenten zonder het AS_PATH aan te raken, precies het veld waar iedereen naar kijkt. Vandaag draagt 89,8% van de routes IGP, 3,5% EGP en 6,7% INCOMPLETE, een verdeling die vooral netjes lijkt omdat een groot deel ervan onderweg wordt gemaakt.

De cijfers wijzen naar de grootste netwerken

Niet de omvang is interessant, maar de concentratie. Cloudflare vond dat 26% van de 50 grootste autonome systemen volgens AS Rank ORIGIN manipuleert, plus 20% van de top 100, en dat 20,3% van alle herschrijvende netwerken binnen die top 50 zit. Zes van de zestien Tier-1-netwerken doen het. De netwerken die het best verkeer naar hun eigen paden kunnen trekken, zijn onevenredig vaak de netwerken die het veld forceren dat krappe keuzes beslecht.

Een detail leest als commercieel en niet als toeval. Een enkel Tier-1-netwerk herschrijft ORIGIN op routes die het van peers leert en bewaart de waarde op routes die het van klanten leert. Dat is niet de signatuur van een vergeten template op een router: het is een regel die betaald transitverkeer en gratis peeringverkeer verschillend behandelt.

De opbrengst was in de test zelf meetbaar. De herschrijvende netwerken kregen 12 extra IPv4-paden via zichzelf, een stijging van 18%, en 33 extra IPv6-paden, een stijging van 40%. Daar gaat het om: het herschrijven van een enkel attribuut, onzichtbaar voor het netwerk dat het zette, verschoof een aanzienlijk deel van de kandidaatpaden naar de herschrijver.

De beoordeling van Cloudflare is helder. Het vond geen geldige technische rechtvaardiging voor de praktijk en noemt twee vormen van schade: netwerken die de RFC volgen worden benadeeld ten opzichte van netwerken die dat niet doen, en verkeer wordt weggetrokken bij alternatieve aanbieders die de gelijkstand anders hadden gewonnen. Het voorstel is de invloed van het attribuut op de routekeuze helemaal te laten vallen, te beginnen met implementaties die elke ontvangen en aangekondigde route op IGP zetten.

Waar een weerbaarheidsclaim stil sneuvelt

Het gevolg voor de operatie gaat niet echt over ORIGIN, maar over wat de zin "wij zijn multi-homed" bewijst. Multi-homing geeft u meer dan een fysieke weg naar buiten, en dat deel is echt. Wat het niet geeft, is grip op de weg waarlangs verkeer werkelijk bij u terugkomt, want de meeste attributen die voorkeur uitdrukken zijn buiten uw grens slechts adviserend. Local Preference is de uitzondering die telt: u zet die op uw eigen routers, hij staat in de beslissingsvolgorde boven ORIGIN en hij steekt nooit een eBGP-grens over, en juist daarom is het de enige voorkeur die niemand anders kan overschrijven.

Dat onderscheid telt inmiddels ook op papier. Onder NIS2 is netwerkweerbaarheid iets wat u aantoont en niet iets wat u stelt, en paddiversiteit hoort bij de makkelijkste beweringen in een leveranciersvragenlijst. Als een enkel centraal netwerk een meetbaar deel van de kandidaatpaden naar zich toe kan halen door een attribuut terug te zetten, dan is een diversiteitsclaim die op announcements rust, en niet op contracten en Local Preference, een claim die u bij navraag niet kunt onderbouwen.

Ook de richting van de standaardisatie hoort uw wachttijd te bekorten. Een IETF-concept met de titel "Scrubbing BGP ORIGIN Attribute", gepubliceerd op 3 november 2025, werkt RFC 4271 en RFC 7606 bij om het attribuut half-optioneel te maken en het terugzetten naar IGP expliciet toe te staan. De eigen meting van de default-free zone in september 2025 vond ongeveer 9% van de routes met INCOMPLETE en minder dan 1% met EGP. Lees die richting eerlijk: het standaardisatieproces beweegt naar het legitimeren van de herschrijving in plaats van het inperken ervan, dus dit gedrag wordt niet voor u opgelost.

Drie controles voor uw volgende transitverlenging

Stel de vraag die door de meting beantwoordbaar wordt. Vraag ten eerste elke transitleverancier schriftelijk wat hij doet met de BGP-attributen op uw announcements, en of hij routes van peers en routes van klanten verschillend behandelt. Stop ten tweede met het gebruik van ORIGIN als stuursignaal ergens in uw eigen policy, want de meting laat zien dat het de eerste hops niet overleeft. Verplaats ten derde de echte uitdrukking van uw voorkeur naar Local Preference op uw eigen grens en naar communities waarvan u bij de leverancier hebt bevestigd dat ze worden gehonoreerd, en test dat daarna in plaats van het aan te nemen.

Zet er daarna een prijs op. Transitcontracten in Europa worden meestal genoteerd in euro per toegezegde Mbps, in het Verenigd Koninkrijk in pond, en routebehandeling komt er bijna nooit in voor. Betaalt u een opslag voor een tweede of derde leverancier juist om paddiversiteit te houden, dan is die diversiteit het waard om als toezegging over routebehandeling in het contract te staan. Een leverancier die niet wil zeggen wat hij met uw attributen doet, heeft u al iets nuttigs verteld over welke paden echt van u zijn.

Lees hierna: Een bericht bereikte de SSH-sleutels  |  Een test-AI hackte een echt bedrijf om te spieken