RPKI e sicurezza BGP: ruoli e differenze

BGP trasporta gli annunci di rotta. La validazione dell’origine confronta le origini dichiarate con dati di autorizzazione separati.

Una rete afferma di poter raggiungere un blocco di indirizzi Internet. Le altre reti dovrebbero crederle? È questa la domanda alla base del confronto tra BGP e RPKI. Svolgono compiti diversi: il primo scambia le rotte, mentre la seconda fornisce prove che possono aiutare a valutare l’origine dichiarata di una rotta.

La rotta e le prove che la accompagnano

BGP permette a reti gestite indipendentemente di scambiarsi informazioni sulla raggiungibilità. Un blocco di indirizzi è chiamato prefisso IP; una rete che partecipa a questo scambio è identificata da un numero di sistema autonomo, o ASN. Gli operatori usano gli annunci e le proprie politiche per selezionare le rotte. RFC 4271 definisce questo scambio.

Un annuncio ricevuto non dimostra, da solo, che l’origine dichiarata sia stata autorizzata dal titolare degli indirizzi. Un’origine errata può derivare da un errore di configurazione o da un tentativo di dirottamento. La conseguenza concreta può essere un servizio che le persone improvvisamente non riescono più a raggiungere, anche se i server continuano a funzionare.

RPKI aggiunge un sistema di certificati e record firmati. Una route origin authorization, o ROA, identifica un ASN autorizzato a originare rotte per determinati prefissi. Il software di validazione verifica il materiale firmato e mette a disposizione dei router dati di autorizzazione utilizzabili. La route origin validation, o ROV, confronta gli annunci con quei dati.

Un controllo con un ambito preciso

Il confronto verifica se l’ASN di origine e la lunghezza del prefisso annunciato corrispondono a un’autorizzazione che copre quel prefisso. Non esamina il contenuto del traffico e non autentica ogni rete lungo il percorso annunciato. Una rotta può superare il controllo dell’origine ed essere comunque propagata dove non dovrebbe arrivare.

RFC 6811 definisce tre risultati. Valid significa che esiste un’autorizzazione corrispondente. Invalid significa che esistono dati di autorizzazione che coprono il prefisso, ma nessuno consente quell’origine e quella lunghezza. NotFound significa che nei dati utilizzati non esiste un’autorizzazione che copra il prefisso. Sono stati delle prove disponibili, non un verdetto completo sulla sicurezza o sulla natura malevola di una rotta.

Ciò che accade dopo dipende dalla politica configurata dall’operatore ricevente. Una rete può rifiutare gli annunci Invalid; pubblicare una ROA, da solo, non obbliga tutte le altre reti a eseguire quel controllo. BGP rimane il meccanismo di scambio delle rotte.

Perché la distinzione conta durante un’interruzione

Immagina di spostare un servizio su un nuovo ASN di origine mentre l’autorizzazione continua a indicare soltanto quello precedente. Il nuovo annuncio può diventare Invalid. Per risolvere il problema, occorre prima confrontare l’annuncio previsto, i dati di autorizzazione effettivamente in uso e la politica che lo ha rifiutato. Comprare un altro router o supporre che il cavo sia guasto non affronta la causa.

Agli operatori servono ancora filtri adeguati, software di validazione affidabile, monitoraggio e cambiamenti coordinati. La validazione dell’origine è un controllo utile all’interno di questo lavoro; trattarla come un sigillo di sicurezza valido per tutto nasconde le dipendenze che restano.

Chi controlla le prove?

La Nota 28 di Lu Heng traccia un confine tra mantenere i record e usarli per punire i partecipanti. Chi custodisce i record può influenzare reti operative quando altri si affidano a quei dati. Questa influenza non conferisce, di per sé, un mandato a governare tutte le persone coinvolte nei diversi paesi.

La sua Nota 64 propone regole condivise limitate a quanto richiedono unicità, interoperabilità e sicurezza, con verifica locale e adozione volontaria delle modifiche successive. L’obiettivo è rendere sostituibile un coordinamento affidabile, anziché rendere un amministratore indispensabile per sempre.

Per un operatore, la domanda immediata è pratica: il tuo team sa ricostruire il percorso di una rotta, dalla sua autorizzazione alla decisione presa da una rete ricevente? Inizia da qui, poi leggi come preparare e mantenere un’autorizzazione dell’origine. È più facile chiarire queste relazioni mentre il servizio funziona ancora.