Guida passo passo all’implementazione di RPKI nella tua rete

Internet funziona perché le reti si scambiano informazioni sui percorsi che i dati possono seguire. Ogni rete comunica alle altre quali intervalli di indirizzi può raggiungere, permettendo ai pacchetti di spostarsi da un punto all’altro. Per molti anni, questo scambio si è basato interamente sulla fiducia: una rete dichiarava di controllare un blocco di indirizzi e le altre le credevano. All’inizio bastava, quando Internet era più piccolo e gli errori erano rari.

Con la crescita di Internet, la fiducia cieca è diventata una debolezza. Un solo errore di battitura poteva coinvolgere moltissimi utenti e una dichiarazione falsa poteva deviare traffico in tutto il mondo. Gli aggressori hanno iniziato a sfruttare questa situazione dirottando le rotte per intercettare dati, bloccare l’accesso o provocare disservizi. L’assenza di un meccanismo di validazione lasciava vulnerabile l’intero sistema.

La Resource Public Key Infrastructure (RPKI), l’infrastruttura a chiave pubblica per le risorse, è stata sviluppata per affrontare questo problema. Attraverso certificati digitali e autorizzazioni dell’origine delle rotte, consente alle reti di verificare che l’origine di un annuncio di rotta sia autorizzata prima di accettarlo. Implementare RPKI migliora la sicurezza del routing e dimostra che l’operatore prende sul serio la stabilità della rete.

Perché il routing senza RPKI è vulnerabile

Il routing tra domini su Internet si basa sul Border Gateway Protocol (BGP). Le reti annunciano gli indirizzi che possono raggiungere, gli annunci si propagano rapidamente e le altre reti li usano per costruire le proprie tabelle di routing. Il problema è che BGP, di per sé, non richiede una prova dell’autorizzazione dell’origine di un prefisso: il protocollo da solo non può quindi impedire dichiarazioni false. Una rete può tentare di annunciare un prefisso che non le appartiene; se le altre reti non applicano misure adeguate di validazione e filtraggio, possono accettarlo.

Questo modello aperto causa spesso problemi. A volte l’errore è piccolo, come un numero digitato male da un tecnico, ma la rotta errata si propaga comunque. In altri casi si tratta di un attacco: un aggressore può annunciare il prefisso di un altro soggetto e indirizzare il traffico verso la destinazione sbagliata. Nel tempo, sia gli errori sia gli attacchi di questo tipo hanno provocato gravi interruzioni di rete, impedendo agli utenti di accedere ai servizi e causando perdite di ricavi alle imprese. Senza validazione, il routing continua a basarsi sulla fiducia cieca.

Creare le autorizzazioni dell’origine delle rotte (ROA)

La componente più immediata di RPKI è la Route Origin Authorization (ROA). Una ROA associa un prefisso a un sistema autonomo (AS) autorizzato a originare rotte per quel prefisso. Creare una ROA è semplice, ma fondamentale. Con un servizio RPKI ospitato, l’operatore accede al portale del registro, inserisce il prefisso, indica il numero di sistema autonomo (ASN) autorizzato e, se necessario, imposta la lunghezza massima del prefisso. Il servizio genera e firma la ROA; il certificato di risorsa corrispondente serve a validare l’autorizzazione.

Una volta pubblicata, la ROA è disponibile per l’uso su Internet. Gli altri operatori possono scaricarla, validarla e usarla per controllare le rotte. Un prefisso non coperto da alcuna ROA può comunque essere annunciato e il suo stato di validazione dell’origine sarà NotFound. Se una ROA è configurata male, un annuncio altrimenti legittimo può essere classificato come Invalid e rifiutato dalle reti che applicano la relativa politica di filtraggio. I record devono restare accurati e ogni ROA deve corrispondere al piano di routing effettivo; altrimenti, il traffico può essere rifiutato per errore.

Installare un validatore RPKI

Creare le ROA è soltanto una parte del sistema; l’altra è la validazione. Per validare l’origine delle rotte, una rete ha bisogno dei dati di autorizzazione forniti da un validatore. Il validatore recupera dai repository RPKI oggetti come ROA e certificati associati, ne controlla la validità, memorizza i dati di autorizzazione validati e li rende disponibili ai router.

Un validatore non richiede hardware di fascia alta: può bastare un piccolo server o una macchina virtuale. Esiste software open source che la maggior parte degli operatori può installare con strumenti di base. L’essenziale è mantenere il validatore online e aggiornato. Quando va offline, i router possono in genere continuare a usare i dati di autorizzazione finché la cache non scade. Dopo la scadenza o lo svuotamento della cache, i risultati della validazione e l’accettazione delle rotte dipendono dall’implementazione e dalla politica locale. Per funzionare correttamente, RPKI ha bisogno di un validatore stabile e affidabile.

Configurare i router per la validazione

I router devono essere configurati per ricevere i dati di autorizzazione dal validatore. Di solito li recuperano e li conservano in cache tramite il protocollo RPKI-RTR. Quando arriva un annuncio, il router confronta prefisso, lunghezza del prefisso e ASN di origine con i dati di autorizzazione in cache. Se la rotta non è valida, può essere scartata secondo la politica adottata. Alcuni operatori inizialmente contrassegnano le rotte non valide, ma le conservano per esaminarle; altri le scartano subito.

I passaggi di configurazione variano in base al produttore. Cisco, Juniper, Nokia e altri hanno comandi specifici per la validazione, ma il principio è comune: i router devono ottenere dati di autorizzazione da un validatore, validare l’origine delle rotte e applicare la politica appropriata. Una configurazione corretta e politiche di filtraggio adeguate consentono alla rete di ridurre i rischi associati alle origini di rotta non valide.

Testare e monitorare un’implementazione RPKI

Terminata la configurazione, il sistema va testato. Gli operatori possono verificare che gli annunci dei propri prefissi siano contrassegnati come validi. Possono inoltre usare un ambiente di test isolato per simulare annunci con prefisso, lunghezza del prefisso o ASN di origine non corrispondenti a una ROA, e verificare che vengano rifiutati secondo la politica prevista. Questi test confermano se validatore e router funzionano come atteso.

Il monitoraggio è altrettanto importante. RPKI non è statico: ogni giorno vengono creati nuovi record. Se il validatore smette di aggiornarsi, i router potrebbero non riuscire a ottenere le informazioni più recenti.

Gestire gli errori e i problemi comuni

Anche con RPKI possono verificarsi errori. Un problema comune è inserire un numero sbagliato durante la creazione di una ROA, facendo contrassegnare come non valida una rotta altrimenti legittima. Gli utenti potrebbero così non riuscire a raggiungere la rete. Occorre correggere rapidamente il record e pubblicare l’aggiornamento. Una volta propagata la modifica, la rotta tornerà valida.

Un altro problema è l’indisponibilità del validatore. Se il server si guasta, i router possono generalmente continuare a controllare le nuove rotte usando i dati di autorizzazione esistenti finché questi rimangono validi nella cache. Dopo la scadenza o la cancellazione dei dati, lo stato può diventare NotFound, a seconda dell’implementazione. L’indisponibilità del validatore non significa, di per sé, che una rotta sia Invalid. Ogni operatore deve avere una politica chiara per la scadenza della cache. Accettare temporaneamente le rotte NotFound può aiutare a ridurre il rischio di interruzioni, ma senza dati di autorizzazione validi non è garantito che le origini non autorizzate continuino a essere individuate e filtrate. Il validatore va quindi ripristinato il prima possibile.

Lezioni operative dai primi utilizzatori

Molte grandi reti hanno già implementato RPKI. La loro esperienza mostra che, con una pianificazione adeguata, il sistema funziona in modo affidabile. Gli operatori che attivano la validazione dell’origine e politiche di filtraggio possono bloccare gli annunci Invalid. Questi possono derivare da errori di configurazione o da dirottamenti: lo stato di validazione da solo non ne stabilisce la causa. In entrambi i casi, la validazione dell’origine basata su RPKI e il filtraggio contribuiscono a limitare la propagazione del danno.

Anche le piccole reti hanno segnalato benefici. Con la validazione, riferiscono di potersi fidare più facilmente dei propri peer. I clienti si sentono più sicuri e i partner sono più propensi a collaborare con operatori che implementano RPKI. I primi utilizzatori hanno mostrato che RPKI non è riservato alle grandi aziende: reti di ogni dimensione possono adottarlo e trarne vantaggio.

RPKI e punti di interscambio Internet (IXP)

I punti di interscambio Internet, o IXP, sono luoghi centrali di incontro per molte reti. Consentono al traffico di passare direttamente tra operatori, senza percorsi lunghi. Per questo gestiscono ogni giorno un gran numero di rotte. Se un partecipante annuncia una rotta errata, l’errore può diffondersi rapidamente attraverso l’interscambio.

Implementare RPKI in un IXP può ridurre questo rischio. La validazione dell’origine e il filtraggio delle rotte Invalid sui route server o sui router dei membri possono ridurre la diffusione di annunci non validi tra i partecipanti. Per i dirottamenti che la validazione dell’origine è in grado di riconoscere, questo aiuta a filtrare le rotte interessate prima che raggiungano molti peer, senza però garantire che ogni rotta inoltrata sia corretta. Ne deriva maggiore fiducia per tutti i partecipanti. Alcuni punti di interscambio includono ormai RPKI nei requisiti di adesione e i membri lo considerano anche un segnale di affidabilità.

RPKI nel contesto della sicurezza globale

Il routing è uno degli strati nascosti di Internet e raramente attira l’attenzione del pubblico. Quando un social network o una banca va offline, gli utenti vedono il problema in superficie, non la causa. In molti casi, all’origine c’è un errore di routing. Senza validazione, questi errori possono propagarsi senza controllo.

RPKI offre un livello di sicurezza globale. Le regioni possono definire politiche operative proprie, ma RPKI usa standard tecnici comuni. Ogni registro Internet regionale mantiene ancore di fiducia; i validatori configurati con quelle appropriate possono validare autorizzazioni dell’origine provenienti da regioni diverse. Diventa così possibile la validazione oltre i confini nazionali: l’autorizzazione dell’origine per un prefisso assegnato in un paese può essere validata da una rete di un altro paese. La copertura globale è uno dei maggiori punti di forza di RPKI, perché Internet stesso non ha confini.

Il futuro dell’implementazione di RPKI

L’adozione di RPKI continua a crescere. Molti grandi fornitori lo utilizzano già e gli operatori più piccoli li seguono gradualmente. In futuro potrebbe diventare un requisito normalmente atteso. Come la cifratura è diventata abituale per il traffico Internet, anche la validazione del routing potrebbe diventare la norma.

Le prospettive dipendono anche da formazione e strumenti migliori. Se i validatori diventano più semplici da installare e i registri offrono indicazioni più chiare, più reti adotteranno RPKI. I governi potrebbero inoltre intervenire con politiche che lo rendano obbligatorio per le infrastrutture critiche. La tendenza complessiva è verso una diffusione maggiore, non minore.

Supporto della comunità e formazione

RPKI può sembrare complesso all’inizio, ma molti gruppi della comunità offrono aiuto. Gli operatori condividono guide, organizzano workshop e pubblicano casi di studio. Queste risorse abbassano la barriera d’ingresso per le piccole aziende senza personale dedicato alla sicurezza. Imparando dall’esperienza altrui, possono implementare RPKI con meno rischi.

La formazione è essenziale anche per il successo nel lungo periodo. I gruppi di lavoro che comprendono come funzionano le ROA e i validatori hanno meno probabilità di commettere errori. Più persone conoscono il sistema, più l’intera organizzazione diventa sicura. Il supporto della comunità e la formazione possono sostenere l’adozione di RPKI.

Il ruolo di RPKI nella costruzione della fiducia

Internet funziona grazie ad accordi tra reti indipendenti. Ogni rete deve fidarsi che le altre si comportino correttamente. In passato, questa fiducia poggiava soltanto su rassicurazioni verbali o clausole contrattuali. Con RPKI acquisisce una base tecnica: la prova sostituisce la fiducia cieca.

Questa fiducia tecnica conta per le imprese. I clienti vogliono sapere che i dati sono al sicuro; i partner vogliono garanzie che le rotte non scompaiano; gli investitori vogliono vedere reti che seguono le buone pratiche. Implementare RPKI comunica chiaramente che l’operatore prende sul serio la sicurezza. Nel tempo, questa fiducia diventa parte della sua reputazione, che può valere quanto la rete stessa.

RPKI e fornitori cloud

Le piattaforme cloud dipendono da un routing stabile e senza interruzioni. Ospitano milioni di siti e applicazioni e qualsiasi indisponibilità può causare perdite significative. Molti fornitori hanno iniziato a implementare RPKI per proteggere il proprio spazio di indirizzamento. Questo aumenta la fiducia dei clienti e aiuta a ridurre il rischio di interruzioni causate da dirottamenti dell’origine delle rotte.

Le aziende cloud affrontano spesso ambienti di routing complessi, perché operano contemporaneamente in più regioni. RPKI può aiutare a verificare quali sistemi autonomi siano autorizzati a originare rotte per i prefissi interessati. Filtrare le rotte non valide in base ai risultati della validazione aiuta a ridurre il rischio che il traffico venga indirizzato male. Tuttavia, la validazione dell’origine basata sulle ROA non può validare l’intero percorso AS né garantire che il traffico segua il percorso previsto. Per questo gli operatori cloud considerano ormai RPKI parte delle fondamenta della fiducia nelle loro attività.

Adozione regionale e tendenze delle politiche

Non tutte le regioni procedono allo stesso ritmo. In alcune, RPKI si è diffuso rapidamente grazie a un forte sostegno delle politiche dei registri. In altre, l’adozione è più lenta perché gli operatori sono prudenti o hanno risorse limitate.

Alcuni territori hanno iniziato a raccomandare RPKI come requisito essenziale per gli operatori; altri ne incentivano l’adozione attraverso agevolazioni o sostegno alla formazione. Queste tendenze suggeriscono che RPKI diventerà un’aspettativa di base in tutto il mondo, anche se i ritmi di adozione varieranno da regione a regione.

Costi e benefici dell’implementazione di RPKI

Per i piccoli operatori questi compiti possono sembrare impegnativi, ma i vantaggi sono chiari. RPKI può ridurre i rischi di dirottamento, aiutare a mantenere stabile il routing e dimostrare ai partner che una rete è sicura e affidabile. Molte aziende lo considerano ormai un elemento di base di una gestione corretta. Il costo di implementazione e manutenzione può essere basso rispetto alle perdite causate da un grave dirottamento o da un’interruzione di rete. È per questo che ogni anno più reti lo adottano.

Domande frequenti

• Qual è lo scopo principale di RPKI?
  Consente ai detentori di risorse di indirizzamento di autorizzare, in modo verificabile, specifici sistemi autonomi a originare rotte per i prefissi interessati. Insieme alla validazione dell’origine e alle politiche di filtraggio, aiuta a bloccare gli annunci con origine non autorizzata e a migliorare la sicurezza del routing.

• RPKI può risolvere ogni problema di routing?
  No. La validazione dell’origine basata sulle ROA può individuare annunci che non corrispondono ad autorizzazioni valide e, insieme alle politiche di filtraggio, ridurre il rischio di alcuni dirottamenti e annunci errati. Restano altri problemi, come i route leak. Una protezione completa richiede strumenti aggiuntivi.

• Tutti i router supportano la validazione RPKI?
  No. Gli apparati più vecchi potrebbero richiedere un aggiornamento. La maggior parte dei router moderni supporta già RPKI e anche gli strumenti open source possono essere d’aiuto.

• Che cosa succede se il validatore smette di funzionare?
  I router possono in genere continuare a usare i dati di autorizzazione esistenti fino alla scadenza della cache. Dopo la scadenza o lo svuotamento, le rotte interessate possono diventare NotFound, a seconda dell’implementazione. Una politica che ammette le rotte NotFound può aiutare a ridurre il rischio di interruzioni, ma non garantisce il normale flusso del traffico né il continuo riconoscimento di tutti gli annunci con origine non valida. Il validatore deve comunque essere ripristinato il prima possibile.

• L’implementazione di RPKI è obbligatoria?
  Nella maggior parte delle regioni non è obbligatoria, ma è fortemente raccomandata. Alcuni organismi di settore e autorità di regolamentazione hanno iniziato a renderla un requisito.