RPKI και ασφάλεια BGP: ποια είναι η διαφορά;

Το BGP μεταφέρει αναγγελίες διαδρομών. Η επικύρωση προέλευσης συγκρίνει τη δηλωμένη προέλευσή τους με ξεχωριστά δεδομένα εξουσιοδότησης.

Ένα δίκτυο δηλώνει ότι μπορεί να φτάσει σε ένα μπλοκ διευθύνσεων του Διαδικτύου. Πρέπει τα άλλα δίκτυα να το πιστέψουν; Αυτό το ερώτημα βρίσκεται πίσω από τη σύγκριση του BGP με το RPKI. Επιτελούν διαφορετικές λειτουργίες: το πρώτο ανταλλάσσει διαδρομές, ενώ το δεύτερο παρέχει στοιχεία που μπορούν να βοηθήσουν στην αξιολόγηση της δηλωμένης προέλευσης μιας διαδρομής.

Η διαδρομή και τα στοιχεία που τη συνοδεύουν

Το BGP είναι ο τρόπος με τον οποίο ανεξάρτητα διαχειριζόμενα δίκτυα ανταλλάσσουν πληροφορίες προσβασιμότητας. Ένα μπλοκ διευθύνσεων ονομάζεται πρόθεμα IP· ένα δίκτυο που συμμετέχει σε αυτή την ανταλλαγή αναγνωρίζεται από έναν αριθμό αυτόνομου συστήματος, ή ASN. Οι διαχειριστές χρησιμοποιούν τις αναγγελίες και τις δικές τους πολιτικές για να επιλέγουν διαδρομές. Το RFC 4271 ορίζει αυτή την ανταλλαγή.

Μια αναγγελία που λαμβάνεται δεν αποδεικνύει από μόνη της ότι ο κάτοχος των διευθύνσεων έχει εξουσιοδοτήσει τη δηλωμένη προέλευση. Μια εσφαλμένη προέλευση μπορεί να οφείλεται σε λάθος διαμόρφωσης ή σε απόπειρα υφαρπαγής διαδρομής. Το πρακτικό κόστος μπορεί να είναι μια υπηρεσία στην οποία οι άνθρωποι ξαφνικά δεν έχουν πρόσβαση, παρότι οι διακομιστές της λειτουργούν.

Το RPKI προσθέτει ένα σύστημα πιστοποιητικών και υπογεγραμμένων εγγραφών. Μια εξουσιοδότηση προέλευσης διαδρομής, ή ROA, προσδιορίζει ένα ASN που επιτρέπεται να αποτελεί την προέλευση διαδρομών για συγκεκριμένα προθέματα. Το λογισμικό επικύρωσης ελέγχει το υπογεγραμμένο υλικό και διαθέτει στους δρομολογητές αξιοποιήσιμα δεδομένα εξουσιοδότησης. Η επικύρωση προέλευσης διαδρομής, ή ROV, συγκρίνει τις αναγγελίες με αυτά τα δεδομένα.

Ένας έλεγχος με συγκεκριμένο πεδίο εφαρμογής

Η σύγκριση εξετάζει αν το ASN προέλευσης και το μήκος του αναγγελλόμενου προθέματος αντιστοιχούν σε εξουσιοδότηση που καλύπτει το πρόθεμα. Δεν εξετάζει το περιεχόμενο της κίνησης ούτε πιστοποιεί κάθε δίκτυο στην αναγγελλόμενη διαδρομή. Μια διαδρομή μπορεί να περάσει τον έλεγχο προέλευσης και παρ’ όλα αυτά να διαδοθεί εκεί όπου δεν θα έπρεπε.

Το RFC 6811 ορίζει τρία αποτελέσματα. Valid σημαίνει ότι υπάρχει αντίστοιχη εξουσιοδότηση. Invalid σημαίνει ότι υπάρχουν δεδομένα εξουσιοδότησης που καλύπτουν το πρόθεμα, αλλά καμία εγγραφή δεν επιτρέπει αυτή την προέλευση και αυτό το μήκος προθέματος. NotFound σημαίνει ότι στα δεδομένα που χρησιμοποιούνται δεν υπάρχει εξουσιοδότηση που να καλύπτει το πρόθεμα. Πρόκειται για καταστάσεις των διαθέσιμων στοιχείων, όχι για πλήρη ετυμηγορία σχετικά με το αν μια διαδρομή είναι ασφαλής ή κακόβουλη.

Το επόμενο βήμα εξαρτάται από την πολιτική που έχει διαμορφώσει ο διαχειριστής του δικτύου λήψης. Ένα δίκτυο μπορεί να απορρίπτει αναγγελίες Invalid· η δημοσίευση μιας ROA από μόνη της δεν υποχρεώνει όλα τα άλλα δίκτυα να εκτελούν αυτόν τον έλεγχο. Το BGP παραμένει ο μηχανισμός ανταλλαγής διαδρομών.

Γιατί η διάκριση έχει σημασία όταν διακόπτεται μια υπηρεσία

Φανταστείτε ότι μεταφέρετε μια υπηρεσία σε νέο ASN προέλευσης, ενώ η εξουσιοδότηση εξακολουθεί να κατονομάζει μόνο το παλιό. Η νέα αναγγελία μπορεί να χαρακτηριστεί Invalid. Η επίλυση ξεκινά με τη σύγκριση της προβλεπόμενης αναγγελίας, των δεδομένων εξουσιοδότησης που πράγματι χρησιμοποιούνται και της πολιτικής που την απέρριψε. Η αγορά άλλου δρομολογητή ή η υπόθεση ότι έχει χαλάσει το καλώδιο δεν εντοπίζει την αιτία.

Οι διαχειριστές εξακολουθούν να χρειάζονται κατάλληλα φίλτρα, αξιόπιστο λογισμικό επικύρωσης, παρακολούθηση και συντονισμένες αλλαγές. Η επικύρωση προέλευσης είναι ένας χρήσιμος έλεγχος μέσα σε αυτή την εργασία· αν θεωρείται καθολική σφραγίδα ασφάλειας, κρύβει τις εξαρτήσεις που παραμένουν.

Ποιος ελέγχει τα στοιχεία;

Το Σημείωμα 28 του Lu Heng θέτει ένα όριο ανάμεσα στην τήρηση εγγραφών και στη χρήση τους για την τιμωρία των συμμετεχόντων. Όταν άλλοι βασίζονται στις εγγραφές του, ο φορέας που τις τηρεί μπορεί να επηρεάζει δίκτυα σε λειτουργία. Αυτή η επιρροή δεν του δίνει από μόνη της εντολή να κυβερνά όλους όσοι επηρεάζονται σε διαφορετικές χώρες.

Στο Σημείωμα 64 προτείνει κοινούς κανόνες περιορισμένους σε όσα απαιτούν η μοναδικότητα, η διαλειτουργικότητα και η ασφάλεια, με τοπική επαλήθευση και εθελοντική υιοθέτηση μεταγενέστερων αλλαγών. Στόχος είναι να μπορεί να αντικατασταθεί ο αξιόπιστος μηχανισμός συντονισμού, αντί να γίνει ένας διαχειριστής μόνιμα αναντικατάστατος.

Για έναν διαχειριστή, το άμεσο ερώτημα είναι πρακτικό: μπορεί η ομάδα σας να παρακολουθήσει μια διαδρομή από την εξουσιοδότησή της έως την απόφαση που πήρε ένα δίκτυο λήψης; Ξεκινήστε από εκεί και έπειτα διαβάστε πώς να προετοιμάζετε και να διατηρείτε μια εξουσιοδότηση προέλευσης. Είναι ευκολότερο να ξεκαθαρίσετε αυτές τις σχέσεις όσο η υπηρεσία εξακολουθεί να λειτουργεί.