RPKI et sécurité de BGP : quelles différences ?

BGP véhicule les annonces de routes. La validation d’origine compare les origines qu’elles déclarent à des données d’autorisation distinctes.

Un réseau affirme pouvoir atteindre un bloc d’adresses Internet. Les autres réseaux doivent-ils le croire ? C’est la question qui sous-tend la comparaison entre BGP et RPKI. Ils remplissent des fonctions différentes : l’un échange des routes, tandis que l’autre fournit des éléments permettant d’évaluer l’origine déclarée d’une route.

La route et les éléments qui l’étayent

BGP permet à des réseaux exploités indépendamment d’échanger des informations de joignabilité. Un bloc d’adresses est appelé préfixe IP ; un réseau participant à cet échange est identifié par un numéro de système autonome, ou ASN. Les opérateurs s’appuient sur les annonces et sur leurs propres politiques pour sélectionner les routes. La RFC 4271 définit cet échange.

Une annonce reçue ne prouve pas, à elle seule, que l’origine qu’elle indique a été autorisée par le titulaire des adresses. Une origine incorrecte peut résulter d’une erreur de configuration ou d’une tentative de détournement. Concrètement, les utilisateurs peuvent soudain ne plus pouvoir accéder à un service, alors même que ses serveurs fonctionnent.

RPKI ajoute un système de certificats et d’enregistrements signés. Une autorisation d’origine de route, ou ROA, identifie un ASN autorisé à être à l’origine de routes pour des préfixes spécifiés. Un logiciel de validation vérifie les éléments signés et met à disposition des routeurs des données d’autorisation exploitables. La validation d’origine de route, ou ROV, compare les annonces à ces données.

Une vérification au périmètre précis

La comparaison détermine si l’ASN d’origine et la longueur du préfixe annoncé correspondent à une autorisation couvrant ce préfixe. Elle n’examine pas le contenu du trafic et n’authentifie pas chaque réseau du chemin annoncé. Une route peut satisfaire à la vérification d’origine tout en étant propagée là où elle ne devrait pas l’être.

La RFC 6811 définit trois résultats. Valid signifie qu’une autorisation correspondante existe. Invalid signifie que des données couvrant le préfixe existent, mais qu’aucune n’autorise cette origine et cette longueur de préfixe. NotFound signifie qu’aucune autorisation ne couvre le préfixe dans les données utilisées. Ces états décrivent les éléments disponibles ; ils ne constituent pas un verdict complet établissant qu’une route est sûre ou malveillante.

La suite dépend de la politique configurée par l’opérateur qui reçoit l’annonce. Un réseau peut rejeter les annonces Invalid ; la seule publication d’un ROA n’oblige pas tous les autres réseaux à effectuer cette vérification. BGP reste le mécanisme d’échange des routes.

Pourquoi cette distinction compte lors d’une panne

Imaginons le déplacement d’un service vers un nouvel ASN d’origine alors qu’une autorisation ne désigne encore que l’ancien. La nouvelle annonce peut devenir Invalid. Pour corriger le problème, il faut commencer par comparer l’annonce prévue, les données d’autorisation effectivement utilisées et la politique qui l’a rejetée. Acheter un autre routeur ou supposer que le câble est endommagé revient à passer à côté de la cause.

Les opérateurs ont toujours besoin de filtres adaptés, de logiciels de validation fiables, d’une surveillance et de changements coordonnés. La validation d’origine est l’une des vérifications utiles dans ce travail ; la traiter comme un label de sécurité universel masque les dépendances restantes.

Qui contrôle les éléments de preuve ?

La Note 28 de Lu Heng trace une frontière entre la tenue des registres et leur utilisation pour sanctionner les participants. Un organisme chargé des enregistrements peut influer sur des réseaux opérationnels lorsque d’autres s’appuient sur ses données. Cette influence ne lui confère pas, à elle seule, un mandat pour gouverner toutes les personnes concernées à travers les pays.

Sa Note 64 propose des règles communes limitées aux exigences d’unicité, d’interopérabilité et de sécurité, assorties d’une vérification locale et d’une adoption volontaire des changements ultérieurs. L’ambition est de permettre le remplacement d’un dispositif de coordination digne de confiance, plutôt que de rendre un administrateur définitivement indispensable.

Pour un opérateur, la question immédiate est pratique : votre équipe peut-elle retracer le parcours d’une route, de son autorisation à la décision prise par un réseau qui la reçoit ? Commencez par là, puis lisez comment préparer et maintenir une autorisation d’origine. Il est plus facile d’établir ces liens tant que le service fonctionne encore.