Résumé

  • Le 9 septembre, les participants à APNIC 62 ont entendu qu’un scan IPv4 ponctuel du 2 février 2026 avait détecté 4 611 routeurs BGP exposés dans 1 343 AS de la région APNIC, dont 347 routeurs classés comme routeurs de bordure.
  • Ici, « exposé » signifie qu’une source Internet quelconque a pu établir TCP sur le port 179 et recevoir une réponse BGP lors d’un message OPEN non sollicité. Cela ne démontre ni exploitation ni compromission.
  • L’étude photographie un instant depuis un seul point d’observation européen. Elle ne couvre pas IPv6 et ne dispose pas d’une vérité terrain à l’échelle d’Internet pour chaque regroupement de routeur ou attribution d’AS.
  • Le prolongement utile n’est pas une liste publique de cibles, mais un avis confidentiel, une qualification documentée de l’opérateur et un nouveau scan comparable, résumés publiquement sans identifiants sensibles.

Un échange de protocole, pas seulement un port

Un port TCP qui répond ne dit presque rien de l’équipement situé derrière. Scan-179 franchit une étape supplémentaire : après la détection du port 179, l’outil envoie un message BGP OPEN conforme au protocole et classe la réponse. Les chercheurs parlent de routeur exposé lorsqu’un équipement joignable depuis une adresse Internet arbitraire traite cet échange non sollicité.

La réponse peut livrer l’ASN, l’identifiant BGP et des capacités prises en charge avant même l’établissement complet d’une session. Elle oblige aussi le plan de contrôle à consacrer des ressources au traitement de la connexion. Le RFC 7454 recommande de rejeter les paquets destinés au port 179 lorsque leur source n’est ni connue ni autorisée à devenir voisine BGP, avec un filtrage propre au plan de contrôle lorsque le matériel le permet.

La portée du constat doit rester aussi stricte que sa définition. Le scan ne prouve pas qu’une faille logicielle a été exploitée, qu’une session durable a été ouverte, qu’une route a été modifiée ou qu’un service a été interrompu. L’article scientifique expose des risques possibles — fuite d’informations, défaut d’implémentation, épuisement de ressources — sans constater leur matérialisation dans l’échantillon APNIC.

Les 4 611 routeurs sont une construction de mesure

À l’échelle mondiale, 141 313 adresses IPv4 ont accepté TCP puis échangé des messages OPEN. L’équipe les a regroupées en 20 432 routeurs associés à 4 194 AS. Elle distingue 1 127 routeurs de bordure, 16 124 routeurs internes et 3 181 appareils non classés.

La présentation de Mumbai isole ensuite 4 611 routeurs et 1 343 AS de la région APNIC, dont 347 routeurs de bordure. Son graphique par pays dénombre des AS, et non des routeurs : 387 en Indonésie, 209 au Bangladesh, 115 au Japon et 92 en Inde, puis Hong Kong, l’Australie, la Chine, la Corée du Sud, le Népal et Taïwan. Ce classement décrit le résultat d’une méthode d’attribution ; il ne mesure pas la négligence d’opérateurs nommés.

Pour reconstituer les appareils, les auteurs rapprochent identifiant BGP, ASN annoncé dans OPEN et rattachement des interfaces à des AS. Cette inférence rencontre vite les ASN privés, les adresses partagées et les liens utilisant l’espace du fournisseur. Un routeur portant un ASN public dont toutes les interfaces observées appartiennent au même AS peut être interne ou se trouver en bordure. L’étude conserve donc une catégorie indéterminée au lieu de transformer l’incertitude topologique en certitude.

Elle retire par ailleurs 1 627 adresses probablement liées à des pots de miel : leurs réponses recopiaient l’ASN et l’identifiant BGP du scanner, et Shodan les signalait comme tels parmi de nombreux ports accessibles. Ce contrôle élimine une source visible de faux positifs, pas toutes les limites d’attribution restantes.

Un résultat de février présenté en septembre

La mesure a été effectuée le 2 février, une seule fois, depuis l’Europe et seulement en IPv4. Une politique peut varier selon l’adresse source, le chemin, l’horaire, une maintenance ou la version d’un équipement. Un routeur visible ce jour-là peut avoir été corrigé ; un routeur filtrant ce point d’observation peut ne jamais entrer dans les données.

La nouveauté du 9 septembre tient donc à la présentation régionale devant APNIC 62, non à une seconde photographie prise en septembre. APNIC n’a pas réalisé le scan et n’administre pas ces routeurs. Le registre fournit ici le lieu où les mesures peuvent rencontrer les personnes capables d’expliquer les configurations.

Or cette explication reste rare. Les auteurs disent avoir sollicité douze opérateurs. Un seul a confirmé leur association entre adresse IP et AS, tout en estimant que le comportement par défaut de BGP protégeait suffisamment le port. L’équipe évoque aussi des guides de durcissement difficiles à interpréter ou des limites logicielles. Une réponse ne peut servir de motif aux autres cas ; l’absence de réponse ne prouve rien non plus.

Le reçu commence là où le scan s’arrête

La preuve détaillée doit rester confidentielle. Pour chaque cas, elle peut conserver la date, le point d’observation, la version de la sonde, la classe de réponse TCP et BGP, la méthode de regroupement et son degré de confiance. Elle doit ensuite joindre le bon contact sécurité ou routage et dater la remise de l’avis.

La qualification de l’opérateur donne enfin un sens à l’observation : exception volontaire et bornée, liste de contrôle obsolète, défaut de filtrage, plate-forme incapable, interface retirée, erreur d’attribution ou autre motif vérifiable. Si une modification est nécessaire, un responsable et une échéance doivent être nommés. Le nouveau test doit reproduire autant que possible les conditions initiales et, lorsque le filtrage par source compte, ajouter un second point d’observation.

Le public n’a besoin que de totaux versionnés : avis délivrés, accusés reçus, qualifications achevées, corrections acceptées, expositions fermées et contrôles encore attendus. Cette forme montre si un nombre spectaculaire a produit du travail réel sans transformer le jeu de données en répertoire de reconnaissance.

Sources