Τι είναι το RPKI; Εισαγωγικός οδηγός για την ασφάλεια δρομολόγησης

Ένας ιστότοπος μπορεί να λειτουργεί άψογα και παρ’ όλα αυτά να γίνει απρόσιτος. Κάπου ανάμεσα στο δίκτυό του και στους επισκέπτες του, ένα άλλο δίκτυο μπορεί να ανακοινώσει λανθασμένη διαδρομή. Η κίνηση κατευθύνεται τότε προς ένα σημείο που δεν μπορεί να την παραδώσει — ή προς κάποιον που προσπαθεί να την υποκλέψει.

Το RPKI, συντομογραφία του Resource Public Key Infrastructure, βοηθά τα δίκτυα να ελέγχουν έναν σημαντικό ισχυρισμό: έχει αυτό το δίκτυο εξουσιοδότηση να ανακοινώνει αυτές τις διευθύνσεις IP; Η κατανόηση του ελέγχου αποκαλύπτει και ένα βαθύτερο ερώτημα. Ποιος ελέγχει τα αρχεία από τα οποία εξαρτάται;

Ξεκινήστε από τον ισχυρισμό ενός δικτύου

Το διαδίκτυο είναι δίκτυο δικτύων. Το BGP, το Border Gateway Protocol, τους επιτρέπει να ανταλλάσσουν ανακοινώσεις για τον τρόπο πρόσβασης σε ομάδες διευθύνσεων IP. Μια τέτοια ομάδα ονομάζεται πρόθεμα. Κάθε δίκτυο δρομολόγησης που λειτουργεί ανεξάρτητα προσδιορίζεται από έναν αριθμό αυτόνομου συστήματος, ή ASN.

Φανταστείτε μια εταιρεία διανομών να ανακοινώνει: «Μπορούμε να παραδώσουμε σε αυτή τη γειτονιά». Οι άλλες εταιρείες χρειάζονται κάποιον τρόπο να ελέγξουν τον ισχυρισμό. Στη δρομολόγηση, μια λανθασμένη ανακοίνωση μπορεί να προκύψει από τυπογραφικό λάθος ή από σκόπιμη υφαρπαγή διαδρομής. Οι ανακοινώσεις BGP από μόνες τους δεν αποδεικνύουν ότι το δίκτυο που δηλώνεται ως προέλευση της διαδρομής έχει σχετική άδεια.

Τι κάνουν το RPKI, οι ROA και η επικύρωση

Το RPKI παρέχει ένα πλαίσιο πιστοποιητικών για τους πόρους αριθμοδότησης του διαδικτύου. Ένας κάτοχος διευθύνσεων μπορεί να δημοσιεύσει υπογεγραμμένη εξουσιοδότηση προέλευσης διαδρομής, ή ROA. Αυτή προσδιορίζει ένα ASN που επιτρέπεται να ανακοινώνει ως προέλευση ένα συγκεκριμένο πρόθεμα και, όπου ορίζεται, πόσο λεπτομερώς μπορεί να υποδιαιρείται αυτό το εύρος διευθύνσεων στις ανακοινώσεις. Ο τεχνικός ορισμός βρίσκεται στο RFC 9582.

Η δημοσίευση μιας ROA και ο έλεγχος των εισερχόμενων διαδρομών είναι ξεχωριστές εργασίες. Το λογισμικό επικύρωσης ελέγχει πιστοποιητικά και υπογεγραμμένα αρχεία και στη συνέχεια παρέχει στους δρομολογητές τα επαληθευμένα δεδομένα εξουσιοδότησης. Οι δρομολογητές συγκρίνουν τις ανακοινώσεις διαδρομών με αυτά τα δεδομένα· οι φορείς εκμετάλλευσης επιλέγουν την πολιτική δρομολόγησης που ακολουθεί. Αυτή η σύγκριση ονομάζεται επικύρωση προέλευσης διαδρομής, ή ROV. Ο οδηγός του RIPE NCC για φορείς εκμετάλλευσης εξηγεί αυτόν τον καταμερισμό εργασίας.

Στο παράδειγμα της διανομής, μια πλευρά δημοσιεύει ποιος μπορεί να εξυπηρετεί τη γειτονιά· οι υπόλοιπες ελέγχουν την άδεια. Ένα πιστοποιητικό αποτελεί αποδεικτικό στοιχείο μέσα σε αυτό το σύστημα. Δεν αποδεικνύει ότι κάθε επόμενη παράδοση θα είναι ασφαλής.

Τρία αποτελέσματα, όχι ένα απλό ναι ή όχι

Valid — έγκυρο: τουλάχιστον μία επαληθευμένη εξουσιοδότηση καλύπτει το ανακοινωμένο πρόθεμα και επιτρέπει τόσο το δηλωμένο ASN προέλευσης όσο και το μήκος του προθέματος. Invalid — μη έγκυρο: υπάρχουν εξουσιοδοτήσεις που το καλύπτουν, αλλά καμία δεν επιτρέπει αυτόν τον συνδυασμό. NotFound — δεν βρέθηκε: δεν υπάρχει εξουσιοδότηση που να το καλύπτει στα δεδομένα επικύρωσης.

Το NotFound δεν σημαίνει ότι εντοπίστηκε επιτιθέμενος. Το Invalid δεν εξηγεί από μόνο του αν η αιτία είναι επίθεση ή σφάλμα διαμόρφωσης. Αυτές οι καταστάσεις περιγράφουν τη σύγκριση, όπως ορίζεται στο RFC 6811.

Τι μπορεί και τι δεν μπορεί να σας πει αυτή η προστασία

Η επικύρωση προέλευσης μπορεί να βοηθήσει τα δίκτυα να απορρίπτουν μη εξουσιοδοτημένες προελεύσεις. Δεν πιστοποιεί κάθε δίκτυο κατά μήκος μιας διαδρομής, δεν κρυπτογραφεί τη σύνδεση του επισκέπτη ούτε εγγυάται ότι ένας ιστότοπος θα παραμείνει διαθέσιμος. Μια διαρροή διαδρομής μπορεί να διατηρεί εξουσιοδοτημένη προέλευση και να περνά αυτόν τον έλεγχο. Το φιλτράρισμα και η παρακολούθηση εξακολουθούν να έχουν δουλειά να κάνουν· το RPKI είναι ένα μέρος της ασφάλειας δρομολόγησης.

Για τους φορείς εκμετάλλευσης, η χρήσιμη προετοιμασία ξεκινά από τις πραγματικές τους ανακοινώσεις: ποια προθέματα ανακοινώνουν ως προέλευση, μέσω ποιων ASN και αν οι δημοσιευμένες εξουσιοδοτήσεις αντιστοιχούν. Η διατήρηση αυτών των αρχείων και των επικυρωτών σε λειτουργία έχει την ίδια σημασία με την ενεργοποίηση μιας ρύθμισης στον δρομολογητή. Το RFC 7115 εξετάζει τα λειτουργικά ζητήματα.

Τα ίδια τα αρχεία αποτελούν σημείο εξουσίας

Η συνήθως χρησιμοποιούμενη ιεραρχία εμπιστοσύνης του RPKI ακολουθεί την κατανομή πόρων, με τα περιφερειακά μητρώα διαδικτύου στις ρίζες της. Επομένως, η επαλήθευση δεν εξαρτάται μόνο από ορθά μαθηματικά, αλλά και από τις αρχές πιστοποίησης και τα συστήματα δημοσίευσης που παρέχουν τα αρχεία.

Η αλλαγή ή η απόσυρση αρχείων μπορεί να αλλάξει τα αποτελέσματα επικύρωσης. Αυτό δεν σημαίνει αυτόματα διακοπή σε ολόκληρο το διαδίκτυο: το αποτέλεσμα εξαρτάται από άλλες διαθέσιμες εξουσιοδοτήσεις και από τις πολιτικές δρομολόγησης των φορέων εκμετάλλευσης. Το RFC 8211 εξετάζει επιβλαβείς ενέργειες και σφάλματα αρχών πιστοποίησης και διαχειριστών αποθετηρίων. Ένας μηχανισμός ασφάλειας μπορεί να μειώνει έναν κίνδυνο, δημιουργώντας ταυτόχρονα εξαρτήσεις που αξίζουν προσεκτική εξέταση.

Το επιχείρημα του Lu Heng: προστασία του δικτύου και όρια στον θυρωρό

Στο Σημείωμα 28, Γιατί τα μητρώα δεν πρέπει ποτέ να γίνουν φορείς επιβολής, ο Lu Heng θέτει σαφές όριο: η συντήρηση του καταλόγου διευθύνσεων δεν πρέπει να μετατρέπεται σε εξουσία τιμωρίας των χρηστών του. Η ένστασή του αφορά την εξουσία που διεκδικούν οι διαχειριστές, όχι την ανάγκη για ακριβή αρχεία. Μια μικρή, αυτοεπιλεγμένη ομάδα δεν αποκτά εντολή πάνω σε δίκτυα ολόκληρων ηπείρων απλώς επειδή λειτουργεί την υπηρεσία συντονισμού τους.

Το Σημείωμα 64 αναπτύσσει την εναλλακτική του: οι κοινοί κανόνες πρέπει να καλύπτουν το ελάχιστο που απαιτείται για μοναδικότητα και ασφάλεια, με στοιχεία που μπορούν να επαληθεύουν οι ίδιοι οι συμμετέχοντες. Τα αρχεία και οι αποδείξεις πρέπει να είναι φορητά· οι φορείς εκμετάλλευσης πρέπει να μπορούν να αντικαθιστούν έναν πάροχο υπηρεσίας χωρίς να παραδίδουν την ταυτότητα του δικτύου τους. Οι μελλοντικές αλλαγές πρέπει να κερδίζουν αποδοχή χάρη στη χρησιμότητά τους, όχι μέσω μόνιμου διοικητικού ελέγχου.

Αυτή είναι μια κατεύθυνση ανασχεδιασμού του συντονισμού, όχι ισχυρισμός ότι ένα εναλλακτικό σύστημα RPKI έχει ήδη εγκατασταθεί παντού. Εξακολουθεί να χρειάζεται να διατηρεί συμβατά αρχεία και αξιόπιστη επαλήθευση. Το δύσκολο είναι να επιτύχει και τα δύο: προστασία από ψευδείς ισχυρισμούς και προστασία από μια εξουσία πάνω στα αποδεικτικά στοιχεία που δεν λογοδοτεί.

Γιατί το ερώτημα έχει σημασία πριν από μια διακοπή

Οι πελάτες ενός δικτύου εξαρτώνται καθημερινά από τις γνώριμες διευθύνσεις του. Αν αυτό ανακαλύψει μια εξάρτηση μόνο όταν τα αρχεία του αλλάξουν ή εξαφανιστούν, η αποκατάσταση αποτελεί ήδη πρόβλημα μιας ενεργής υπηρεσίας. Από εδώ ξεκινά το επιχείρημα του Lu Heng υπέρ της αλλαγής: ενσωμάτωση της συνέχειας, της ανεξάρτητης επαλήθευσης και της δυνατότητας αποχώρησης στο σύστημα πριν χρειαστούν σε μια διαφορά.

Για να ακολουθήσετε το επιχείρημα από την κριτική στον σχεδιασμό, διαβάστε το Σημείωμα 64 του Lu Heng για ελάχιστους κοινούς κανόνες, τοπικές αποφάσεις και εθελοντική υιοθέτηση.