Ο ρόλος του RPKI στην ενίσχυση της ασφάλειας της παγκόσμιας δρομολόγησης

Τα κοινά στοιχεία ελέγχονται από κάθε δίκτυο χωριστά. Η επίδρασή τους εξαρτάται από τα δεδομένα που λαμβάνει κάθε δίκτυο και από τις πολιτικές που εφαρμόζει.

Ένα λάθος δρομολόγησης σε ένα δίκτυο μπορεί να επηρεάσει ανθρώπους πολύ μακριά. Όταν διαδίδεται μια εσφαλμένη προέλευση, ένας ιστότοπος που λειτουργεί μπορεί να γίνει απρόσιτος ή η κίνηση να κατευθυνθεί κάπου αλλού από εκεί που προοριζόταν. Το RPKI δίνει στα δίκτυα που λαμβάνουν μια αναγγελία τη δυνατότητα να ελέγξουν μία πτυχή της πριν βασιστούν σε αυτήν.

Η αξία του προκύπτει από μια αλυσίδα ενεργειών: ένας κάτοχος δημοσιεύει αξιοποιήσιμη εξουσιοδότηση, το λογισμικό την επαληθεύει και ένας διαχειριστής εφαρμόζει μια πολιτική δρομολόγησης. Η κατανόηση αυτής της αλυσίδας εξηγεί τόσο την προστασία όσο και τα σημεία όπου μπορεί να αποτύχει.

Τι ακριβώς ελέγχεται;

Τα δίκτυα ανταλλάσσουν πληροφορίες προσβασιμότητας μέσω του BGP. Ένα πρόθεμα είναι ένα μπλοκ διευθύνσεων IP· ένας ASN προσδιορίζει ένα αυτόνομο σύστημα. Μια εξουσιοδότηση προέλευσης διαδρομής, ή ROA, δηλώνει ποιον ASN επιτρέπει ο κάτοχος ως προέλευση διαδρομών για συγκεκριμένα προθέματα.

Το λογισμικό επικύρωσης ελέγχει τις υπογεγραμμένες εγγραφές και τα πιστοποιητικά και στη συνέχεια παρέχει επικυρωμένα δεδομένα εξουσιοδότησης. Ένας δρομολογητής συγκρίνει την προέλευση και το μήκος προθέματος μιας διαδρομής με αυτά τα δεδομένα. Ο διαχειριστής αποφασίζει πώς θα χειριστεί το αποτέλεσμα. Αυτή η κατανομή κρατά διακριτές τη δημοσίευση εγγραφών, την επικύρωση στοιχείων και τις αποφάσεις δρομολόγησης.

Τρία αποτελέσματα με διαφορετική σημασία

• Valid: τουλάχιστον μία εξουσιοδότηση που καλύπτει το πρόθεμα επιτρέπει τη διαφημιζόμενη προέλευση και το μήκος προθέματος.
• Invalid: υπάρχουν δεδομένα εξουσιοδότησης που καλύπτουν το πρόθεμα, αλλά καμία εγγραφή δεν επιτρέπει αυτόν τον συνδυασμό.
• NotFound: τα δεδομένα που χρησιμοποιούνται δεν περιέχουν εξουσιοδότηση που να καλύπτει τη διαδρομή.

Αυτοί οι κανόνες προέρχονται από το RFC 6811. Ειδικότερα, η απουσία μιας ROA που καλύπτει το πρόθεμα δεν ισοδυναμεί με διαδρομή Invalid. Ούτε το Valid σημαίνει ότι έχει πιστοποιηθεί η γνησιότητα ολόκληρης της διαφημιζόμενης διαδρομής.

Πού γίνεται αποτελεσματική η προστασία

Αν ένα δίκτυο που λαμβάνει αναγγελίες απορρίπτει όσες έχουν κατάσταση Invalid, μια προέλευση που συγκρούεται με τις εξουσιοδοτήσεις μπορεί να σταματήσει εκεί, αντί να διαδοθεί περαιτέρω μέσω του δικτύου. Το αποτέλεσμα εξαρτάται από τις εξουσιοδοτήσεις, τα διαθέσιμα δεδομένα και την πολιτική που εφαρμόζεται στην πράξη. Η δημοσίευση περισσότερων ROA και η χρήση επικύρωσης προέλευσης από περισσότερα δίκτυα είναι συναφείς αλλά διαφορετικές μορφές υιοθέτησης.

Το RFC 8481 αποσαφηνίζει τον ρόλο του διαχειριστή: η απόδοση μιας κατάστασης επικύρωσης είναι διαφορετική από την ενέργεια που βασίζεται σε αυτήν. Δεν υπάρχει ένας παγκόσμιος διακόπτης που να κάνει όλα τα δίκτυα να ακολουθούν ταυτόχρονα την ίδια πολιτική.

Μια διαδρομή που έχει διαρρεύσει μπορεί να διατηρεί εξουσιοδοτημένη προέλευση. Μια παραποιημένη διαδρομή μπορεί επίσης να διατηρεί την ίδια τιμή προέλευσης. Επομένως, η επικύρωση προέλευσης αφήνει ανοιχτούς σημαντικούς κινδύνους δρομολόγησης· οι διαχειριστές εξακολουθούν να χρειάζονται άλλους ελέγχους και ορατότητα στον τρόπο διάδοσης των διαδρομών.

Και το σύστημα των στοιχείων χρειάζεται φροντίδα

Μια εξουσιοδότηση που ορίζει λάθος ASN ή αποκλείει ένα επιθυμητό μήκος προθέματος μπορεί να προκαλέσει την ταξινόμηση μιας νόμιμης αναγγελίας ως Invalid. Προβλήματα σε αποθετήρια, πιστοποιητικά ή επικυρωτές μπορούν επίσης να μεταβάλουν τα δεδομένα που είναι διαθέσιμα στους δρομολογητές. Οι διαφορετικές κρυφές μνήμες και οι διαφορετικοί χρόνοι ενημέρωσης σημαίνουν ότι τα δίκτυα δεν αποκτούν κατ’ ανάγκη την ίδια εικόνα ταυτόχρονα.

Η πρακτική προετοιμασία περιλαμβάνει ακριβείς εξουσιοδοτήσεις, δοκιμασμένες αλλαγές δρομολόγησης, παρακολούθηση των επικυρωτών και τεκμηριωμένη διαδικασία για την αντιμετώπιση παρωχημένων ή ελλιπών δεδομένων. Ένας δεύτερος επικυρωτής είναι χρήσιμος μόνο στον βαθμό που μειώνει τις αστοχίες τις οποίες προσπαθείτε να αντέξετε. Δεν εξαλείφει κάθε κοινή εξάρτηση. Το RFC 7115 αφορά τη λειτουργία· το RFC 8211 εξετάζει επιβλαβείς ενέργειες στο σύστημα δημοσίευσης και πιστοποίησης του RPKI.

Η προστασία δεν πρέπει να γίνει μόνιμη εξάρτηση

Αυτό είναι και ζήτημα θεσμικού σχεδιασμού. Ένας φορέας που ελέγχει κρίσιμα στοιχεία μπορεί να επηρεάσει δίκτυα τα οποία ούτε λειτουργεί ούτε εκπροσωπεί πολιτικά. Στη Σημείωση 28, ο Lu Heng υποστηρίζει ότι η λειτουργία του μητρώου πρέπει να παραμένει ακριβής διαχείριση και να μη μετατρέπεται σε μέσο εξαναγκασμού.

Η Σημείωση 64 του θέτει έναν πιο φιλόδοξο σχεδιαστικό στόχο: οι κοινοί κανόνες πρέπει να είναι οι ελάχιστοι αναγκαίοι και να επαληθεύονται τοπικά, οι εγγραφές να είναι φορητές και οι μελλοντικές αλλαγές να εξαρτώνται από την εθελοντική υιοθέτησή τους από τους συμμετέχοντες. Η ασφάλεια και η δυνατότητα αντικατάστασης ενός συντονιστή που αποτυγχάνει πρέπει να σχεδιάζονται μαζί.

Η ανάγκη είναι άμεση και συγκεκριμένη. Όταν οι χρήστες έχουν ήδη χάσει την πρόσβαση, η αναζήτηση του φορέα που ελέγχει μια απαραίτητη εγγραφή γίνεται επείγον ζήτημα. Χαρτογραφήστε αυτές τις εξαρτήσεις όσο τα δίκτυα λειτουργούν. Στη συνέχεια, δείτε πώς η αλλαγή μιας εγγραφής μπορεί να οδηγήσει στην απόρριψη μιας διαδρομής.