摘要

  • 2008年2月24日18时47分（UTC），AS17557 巴基斯坦电信开始播报 208.65.153.0/24；AS3491 PCCW Global 将该播报继续传播，全球路由器收下，原本要访问 YouTube 的流量被导向巴基斯坦。
  • 事件在21时01分（UTC）结束：AS3491 撤回了 AS17557 播报的全部前缀——距开始两小时十四分钟，动手的正是当初把这条未获授权的路由送向全球的同一段商业关系。

时间线短得可以一只手握住。根据 RIPE NCC 自己发布的案例研究，18时47分（UTC），AS17557 巴基斯坦电信开始播报 208.65.153.0/24。AS3491 PCCW Global 把它继续传出去，世界各地的路由器接受了这条路由，本该送往 YouTube 的请求全都拐去了巴基斯坦。

八十分钟后，受害方开始回应。20时07分（UTC），YouTube 的 AS36561 播报同一个前缀 208.65.153.0/24。20时18分（UTC），它又播报了两个更具体的半段：208.65.153.128/25 与 208.65.153.0/25。

这一步值得比通常更多的尊重，也配不上通常给它的全部功劳。按最长前缀匹配，凡是对端接受，/25 就压过 /24——而这恰好是这招的天花板：它能起作用，是因为那条未获授权的 /24 还留在路由表里，比解药更粗。这是在被攻击者同样会用的规则里自救。它既没有清掉那条非法来源，也没有让任何一张路由表有义务偏爱 YouTube 的版本。受害者可以和劫持赛跑，但停不下它。

真正停下它的是撤回。21时01分（UTC），AS3491 PCCW Global 撤回 AS17557 巴基斯坦电信播报的全部前缀，劫持终止。从第一条播报算起，两小时十四分钟。

把坏路由传出去的那一方，正是把它收回来的那一方。这是本案反复教给人、又反复被绕开的事实：传播和终止沿着同一段商业关系发生——客户播报，上游导出，最后仍是这个上游停止导出。没有任何注册记录被用来决定这条播报能不能旅行；两小时里也没有任何监管者发出一道指令。2008年2月的 NANOG 42 演示材料 印证了同一套角色分工：上游把该路由传遍全球，事件在压力与运营商之间的协调之后以撤回告终。这里必须说清楚：它印证的是角色，不是时刻，不能当作引文使用。

于是那个晚上产生了两种权力，握在不同的人手里。路由监测让故障在进行中就变得可读：RIPE NCC 记录称，其 Routing Information Service 与 BGPlay 等工具被用来发现和分析这起事件，并称最初的播报未获授权。可读性价值极高。它让一起事故成为有据可查的事实而不是传闻，让受害方能证明损害，让运营商的行为对一份记录负责。但监测器是传感器。传感器不会拒绝路由。

执行动作的是中转提供商的一次运营决定。这句话会让希望由某个带开关的权威来管理路由安全的人不舒服。事实并非如此。地址注册机构说明谁持有某个地址块，却不控制别的网络接受哪些路由。这不是丑闻，这就是架构本身：路由是彼此独立运营的网络之间的自愿互联，谁也无权命令别人别再承载某个前缀。2008年2月，真正存在的杠杆在中转这一侧，在一段商业关系内部，由拥有它的公司亲手扳下。

本案的责任是分摊的，也必须这样描述。发起方播报了一个它无权播报的地址块；上游接受了这条播报并把它导出给全世界；接收网络接受了它。这三步，每一步都是本可以把事件做小的位置。只点出第一步——大多数复述都这么做——就把一次系统性失效说成一场国别难堪，而机器照旧。

于是问题落到能不能修得住。一种依赖中间人临场裁量、在中断开始两小时后才被行使的补救，不是控制，只是运气配了一个听起来合理的故事。耐久的修复发生在事前，而且分散：来源方持有可验证的授权，提供商边缘对客户前缀做过滤，运营商侧做来源验证，告警接进事先约定的升级路径，紧急撤回在真的需要之前演练过。这些是候选控制措施，不是对2008年部署状况的描述。要紧的是方向：把决定提前，把它分给更多双手，让它可审计，从而不让一家公司的判断成为配置失误与全球中断之间唯一的那道门。

关于本次查阅的材料，有一处边界。为这篇简报读到的文件里，没有记录显示任何注册机构、监管者或自动验证系统中止了那条播报；它们也不含原始采集器导出、当事方往来函件或中转合同。这些文件点名的决定性动作，是上游的撤回。凡问题取决于本次阅读未覆盖的文件，诚实的回答是它仍然敞开——而不是当事方什么都没做。