Πώς λειτουργεί η υποδομή δημόσιου κλειδιού πόρων (RPKI)
Ακολουθήστε μια εξουσιοδότηση RPKI από τον κάτοχο διευθύνσεων έως τον δρομολογητή και γνωρίστε την πρόταση του Lu Heng για αξιόπιστη υπηρεσία με αντικαταστάσιμο διαχειριστή.
Μεταφέρετε μια υπηρεσία σε νέο δίκτυο. Οι διακομιστές της λειτουργούν κανονικά και οι διευθύνσεις της δεν έχουν αλλάξει, όμως ορισμένοι επισκέπτες δεν μπορούν πλέον να τη φτάσουν. Μια πιθανή αιτία είναι μια απροσδόκητα μικρή λεπτομέρεια: τα αρχεία δρομολόγησης του Διαδικτύου εξακολουθούν να εξουσιοδοτούν το παλιό δίκτυο να αναγγέλλει αυτές τις διευθύνσεις.
Το RPKI μετατρέπει αυτή την άδεια σε κάτι που μπορούν να ελέγξουν τα άλλα δίκτυα. Ακολουθεί η διαδρομή της από τον κάτοχο διευθύνσεων έως τον δρομολογητή — και ο λόγος για τον οποίο ο Lu Heng υποστηρίζει ότι η λειτουργία αυτού του μηχανισμού δεν πρέπει ποτέ να εξαρτάται από την παραμονή ενός συγκεκριμένου διαχειριστή στην εξουσία. Για μια συντομότερη εισαγωγή, ξεκινήστε από το τι προστατεύει το RPKI.
1. Καθορισμός του ποιος μπορεί να εκδίδει εξουσιοδοτήσεις για τις διευθύνσεις
Μια ομάδα διευθύνσεων IP ονομάζεται πρόθεμα. Ένα δίκτυο που αναγγέλλει αυτό το πρόθεμα ταυτοποιείται με έναν αριθμό αυτόνομου συστήματος, ή ASN. Το RPKI, η υποδομή δημόσιου κλειδιού πόρων, χρησιμοποιεί πιστοποιητικά για να καθορίσει ποιος μπορεί να εκδίδει εξουσιοδοτήσεις για συγκεκριμένα εύρη διευθύνσεων.
Αυτά τα πιστοποιητικά σχηματίζουν μια αλυσίδα που καταλήγει σε μια έμπιστη ρίζα. Η ιεραρχία ακολουθεί την κατανομή των αριθμητικών πόρων του Διαδικτύου, όπως περιγράφεται στο RFC 6480. Παρέχει τεκμήρια για τους πόρους μέσα σε αυτό το σύστημα· δεν δίνει σε μια αρχή πιστοποίησης πολιτική εντολή να εξουσιάζει τους ανθρώπους που χρησιμοποιούν το Διαδίκτυο.
2. Δημοσίευση υπογεγραμμένης άδειας
Ο κάτοχος διευθύνσεων δημοσιεύει μια εξουσιοδότηση προέλευσης διαδρομής, ή ROA (Route Origin Authorisation). Το μήνυμά της είναι συγκεκριμένο: αυτός ο ASN επιτρέπεται να αποτελεί την προέλευση αυτού του προθέματος. Προέλευση είναι το δίκτυο στην αρχή της αναγγελλόμενης διαδρομής, όχι κάθε δίκτυο που μεταφέρει την κίνηση στη συνέχεια.
Μια ROA μπορεί επίσης να ορίζει μέγιστο μήκος προθέματος: πόσο μπορεί να διαιρεθεί το εύρος διευθύνσεων σε μικρότερα εύρη που αναγγέλλονται χωριστά. Χωρίς αυτή την προαιρετική ρύθμιση, επιτρέπει μόνο το δηλωμένο μήκος προθέματος. Έτσι, η «άδεια για αυτό το εύρος» δεν μετατρέπεται σιωπηρά σε άδεια για κάθε δυνατή υποδιαίρεσή του. Το RFC 9582 ορίζει την υπογεγραμμένη εγγραφή.
3. Μετατροπή των δημοσιευμένων εγγραφών σε επαληθευμένα δεδομένα
Οι υπογεγραμμένες εγγραφές διατίθενται σε αποθετήρια δημοσίευσης. Το λογισμικό επικύρωσης τις συλλέγει και ελέγχει την αλυσίδα πιστοποιητικών, τις υπογραφές, τα στοιχεία λήξης και ανάκλησης, καθώς και τους καταλόγους manifest που περιγράφουν τα δημοσιευμένα αντικείμενα. Δεν αρκεί ένα αρχείο που μπορεί να διαβαστεί: πρέπει να περάσουν την επικύρωση και τα τεκμήρια που το υποστηρίζουν.
Το λογισμικό επικύρωσης παράγει αξιοποιήσιμα δεδομένα εξουσιοδότησης, που συχνά ονομάζονται Validated ROA Payloads, ή VRP. Περιέχουν το πρόθεμα, τον επιτρεπόμενο ASN προέλευσης και το μέγιστο μήκος. Οι δρομολογητές λαμβάνουν τα αποτελέσματα από έμπιστη κρυφή μνήμη μέσω του πρωτοκόλλου RPKI-to-Router, το οποίο περιγράφεται στο RFC 8210. Δεν ζητούν άδεια από κάποιο μητρώο κάθε φορά που ένας επισκέπτης ανοίγει μια σελίδα.
4. Σύγκριση της διαδρομής με την άδεια
Το BGP είναι το πρωτόκολλο με το οποίο τα δίκτυα αναγγέλλουν διαδρομές. Ο δρομολογητής που λαμβάνει μια διαδρομή συγκρίνει το πρόθεμα και τον ASN προέλευσής της με τις επικυρωμένες εξουσιοδοτήσεις που διαθέτει. Αυτή είναι η επικύρωση προέλευσης διαδρομής, ή ROV (Route Origin Validation).
Valid (έγκυρη): μια εξουσιοδότηση που καλύπτει το πρόθεμα επιτρέπει τόσο την προέλευση όσο και το μήκος του προθέματος. Invalid (μη έγκυρη): υπάρχουν εξουσιοδοτήσεις που το καλύπτουν, αλλά καμία δεν επιτρέπει αυτόν τον συνδυασμό. NotFound (δεν βρέθηκε): καμία εξουσιοδότηση δεν καλύπτει το πρόθεμα. Πρόκειται για αποτελέσματα σύγκρισης, όχι για ετυμηγορίες σχετικά με τις προθέσεις κάποιου. Ο διαχειριστής του δικτύου αποφασίζει πώς θα τα χρησιμοποιήσει στην πολιτική δρομολόγησης. Βλ. RFC 6811.
Ας επιστρέψουμε στη μεταφορά της υπηρεσίας. Αν ο παλιός ASN εξακολουθεί να έχει εξουσιοδότηση και ο νέος δεν έχει, η νέα αναγγελία μπορεί να χαρακτηριστεί Invalid. Τα δίκτυα που φιλτράρουν μη έγκυρες διαδρομές ενδέχεται να την απορρίψουν. Η λύση είναι να συντονιστεί η αλλαγή της εξουσιοδότησης με τη μεταφορά, συμπεριλαμβανομένου οποιουδήποτε διαστήματος κατά το οποίο και τα δύο δίκτυα χρειάζονται άδεια, αντί να θεωρηθεί ότι η κανονική λειτουργία των διακομιστών εγγυάται την προσβασιμότητα. Το RFC 7115 καλύπτει τις προφυλάξεις κατά τη λειτουργία.
5. Διατήρηση ολόκληρης της αλυσίδας σε λειτουργία
Η επικύρωση προέλευσης βοηθά στην απόρριψη ψευδών ισχυρισμών προέλευσης. Δεν επαληθεύει κάθε άλμα της διαδρομής, δεν κρυπτογραφεί την κίνηση και δεν εντοπίζει κάθε διαρροή διαδρομής. Μια διαρροή μπορεί να διατηρεί εξουσιοδοτημένη προέλευση. Εξακολουθούν να χρειάζονται άλλοι μηχανισμοί προστασίας της δρομολόγησης.
Συντήρηση χρειάζονται και τα τεκμήρια. Τα πιστοποιητικά λήγουν· οι άδειες και τα δεδομένα δημοσίευσης αλλάζουν. Η αφαίρεση μιας ROA δεν προκαλεί κατ’ ανάγκην άμεση διακοπή: το τελικό αποτέλεσμα της επικύρωσης εξαρτάται από τις άλλες διαθέσιμες εγγραφές και η συνέπεια για τη δρομολόγηση από την πολιτική του εκάστοτε δικτύου. Το RFC 8211 εξετάζει πώς σφάλματα ή επιβλαβείς ενέργειες αρχών πιστοποίησης και διαχειριστών αποθετηρίων μπορούν να επηρεάσουν το σύστημα.
Η πρόταση του Lu Heng: διατήρηση της υπηρεσίας, δυνατότητα αντικατάστασης του διαχειριστή
Στη Σημείωση 70, ο Lu Heng αμφισβητεί ένα γνώριμο λογικό άλμα: επειδή η υπηρεσία ενός μητρώου είναι απαραίτητη, ο σημερινός φορέας λειτουργίας του πρέπει να είναι αναντικατάστατος. Τα δίκτυα χρειάζονται ακριβείς εγγραφές και ασφάλεια που λειτουργεί. Αυτό δεν θεμελιώνει μόνιμο δικαίωμα ενός θεσμού να τα ελέγχει.
Η εναλλακτική που προτείνει κάνει τη συνέχεια ιδιότητα του συστήματος: εγγραφές που επιδέχονται ανεξάρτητο έλεγχο, δοκιμασμένη παράδοση σε κατάλληλο διάδοχο και τρόπο μεταφοράς της διαχείρισης χωρίς να εξαναγκάζονται τα δίκτυα να αλλάξουν διευθύνσεις. Αναγνωρίζει ρητά ότι το RPKI δεν μεταφέρεται με την αντιγραφή ενός καταλόγου αρχείων. Κλειδιά, πιστοποιητικά, δημοσίευση και εμπιστοσύνη πρέπει να παραμένουν συνεπή μεταξύ τους σε όλη τη μετάβαση.
Αυτό είναι μια απαίτηση σχεδιασμού την οποία υποστηρίζει, όχι ισχυρισμός ότι τέτοια δυνατότητα μεταφοράς είναι ήδη διαθέσιμη παντού. Αντιμετωπίζει και τις δύο πλευρές του προβλήματος: μια απρόσεκτη αντικατάσταση μπορεί να διαταράξει την επαλήθευση· ένας αναντικατάστατος φύλακας της πρόσβασης μπορεί να μετατρέψει αυτή την εξάρτηση σε εξουσία. Η αξιοπιστία της υπηρεσίας και η δυνατότητα αντικατάστασης του διαχειριστή της πρέπει να σχεδιάζονται μαζί.
Γιατί να εξασφαλιστεί αυτή η δυνατότητα πριν από μια κρίση;
Όταν μια διαφορά φτάσει στην αλυσίδα πιστοποιητικών, μπορεί να επηρεάσει ανθρώπους πολύ πέρα από τα εμπλεκόμενα μέρη. Οι πελάτες δεν επέλεξαν τη σύγκρουση, αλλά μπορεί να υποστούν το κόστος της διακοπής της συνδεσιμότητας. Μια διαδικασία διαδοχής που αυτοσχεδιάζεται εν μέσω διακοπής έρχεται ήδη πολύ αργά για να τους προστατεύσει από αυτή την αβεβαιότητα.
Ο Lu Heng υποστηρίζει ότι η συνέχεια και το δικαίωμα αποχώρησης πρέπει να θεμελιώνονται εκ των προτέρων, ώστε οι διοικητικές διαφορές να μη γίνονται όπλο εναντίον δικτύων που λειτουργούν. Διαβάστε ολόκληρο το επιχείρημα στη Σημείωση 70: προστατεύστε το αρχείο καταγραφής, όχι τον φύλακα της πρόσβασης.