Che cos’è RPKI? Guida introduttiva alla sicurezza dell’instradamento
Come RPKI verifica le origini delle rotte, che cosa significano i risultati e perché Lu Heng sostiene che una sicurezza affidabile richieda anche limiti al potere dei registri.
Un sito può funzionare perfettamente e diventare comunque irraggiungibile. In qualche punto tra la sua rete e i visitatori, un’altra rete potrebbe annunciare una rotta sbagliata. Il traffico si dirige così verso un luogo che non può consegnarlo, oppure verso qualcuno che tenta di intercettarlo.
RPKI, abbreviazione di Resource Public Key Infrastructure, aiuta le reti a verificare un’affermazione importante: questa rete è autorizzata ad annunciare questi indirizzi IP? Capire questa verifica fa emergere anche una domanda più profonda. Chi controlla i dati da cui dipende?
Partire da ciò che una rete dichiara
Internet è una rete di reti. BGP, il Border Gateway Protocol, consente loro di scambiarsi annunci su come raggiungere gruppi di indirizzi IP. Un gruppo di questo tipo si chiama prefisso. Ogni rete di instradamento gestita in modo indipendente è identificata da un numero di sistema autonomo, o ASN.
Immaginate un’azienda di consegne che annunci: «Possiamo consegnare in questo quartiere». Le altre aziende hanno bisogno di un modo per verificare l’affermazione. Nell’instradamento, un annuncio errato può derivare da un errore di digitazione o da un dirottamento intenzionale. I soli annunci BGP non dimostrano che la rete indicata come origine della rotta abbia il permesso di originarla.
I compiti distinti di RPKI, ROA e convalida
RPKI fornisce un’infrastruttura di certificati per le risorse di numerazione Internet. Un titolare di indirizzi può pubblicare una Route Origin Authorisation firmata, o ROA. Essa identifica un ASN autorizzato a originare un determinato prefisso e, dove specificato, fino a quale dettaglio quell’intervallo di indirizzi possa essere suddiviso negli annunci. La definizione tecnica è nell’RFC 9582.
Pubblicare una ROA e controllare le rotte ricevute sono lavori separati. Il software di convalida verifica certificati e dati firmati, quindi fornisce ai router i dati di autorizzazione verificati. I router confrontano gli annunci di rotta con quei dati; gli operatori scelgono la politica di instradamento da applicare in base al risultato. Questo confronto si chiama Route Origin Validation, o ROV. La guida operativa di RIPE NCC spiega questa divisione del lavoro.
Nell’esempio delle consegne, una parte pubblica chi può servire il quartiere; le altre verificano quel permesso. Un certificato è una prova all’interno di questo sistema. Non dimostra che ogni consegna successiva sarà sicura.
Tre risultati, non un semplice sì o no
Valid (valido): almeno un’autorizzazione verificata copre il prefisso annunciato e consente sia l’ASN di origine dichiarato sia la lunghezza del prefisso. Invalid (non valido): esistono autorizzazioni che coprono il prefisso, ma nessuna consente quella combinazione. NotFound (non trovato): nei dati di convalida non esiste un’autorizzazione che copra il prefisso.
NotFound non significa che sia stato individuato un attaccante. Invalid non spiega, da solo, se la causa sia un attacco o un errore di configurazione. Questi stati descrivono il confronto, come definito nell’RFC 6811.
Che cosa può dirci questa protezione, e che cosa no
La convalida dell’origine può aiutare le reti a rifiutare origini non autorizzate. Non autentica ogni rete lungo una rotta, non cifra la connessione di un visitatore e non garantisce che un sito resti disponibile. Una fuga di rotte può conservare un’origine autorizzata e superare questa verifica. Filtraggio e monitoraggio restano necessari: RPKI è una parte della sicurezza dell’instradamento.
Per gli operatori, una preparazione utile parte dagli annunci effettivi: quali prefissi originano, con quali ASN e se le autorizzazioni pubblicate corrispondono. Mantenere in funzione quei dati e i validatori conta quanto attivare un’impostazione sul router. L’RFC 7115 tratta gli aspetti operativi.
I dati stessi sono un punto di potere
La gerarchia di fiducia RPKI comunemente utilizzata segue l’assegnazione delle risorse e ha alla radice i registri Internet regionali. La verifica dipende quindi da qualcosa di più della solidità matematica: dipende anche dalle autorità di certificazione e dai sistemi di pubblicazione che forniscono i dati.
Modificare o ritirare dati può cambiare gli esiti della convalida. Non equivale automaticamente a uno spegnimento di Internet su scala globale: l’effetto dipende dalle altre autorizzazioni disponibili e dalle politiche di instradamento degli operatori. L’RFC 8211 esamina azioni dannose ed errori delle autorità di certificazione e dei gestori dei repository. Un meccanismo di sicurezza può ridurre un rischio e al tempo stesso creare dipendenze che meritano attenzione.
L’argomento di Lu Heng: proteggere la rete e limitare chi controlla l’accesso
Nella Nota 28, Perché i registri non devono mai diventare organi sanzionatori, Lu Heng traccia un confine netto: mantenere l’indirizzario non deve trasformarsi nel potere di punirne gli utenti. La sua obiezione riguarda l’autorità rivendicata dagli amministratori, non la necessità di dati accurati. Un piccolo gruppo che si sceglie da sé non acquisisce un mandato sulle reti di interi continenti solo perché ne gestisce il servizio di coordinamento.
La Nota 64 sviluppa l’alternativa che propone: le regole condivise dovrebbero coprire il minimo necessario per unicità e sicurezza, con prove verificabili dai partecipanti stessi. Dati e prove dovrebbero essere portabili; gli operatori dovrebbero poter sostituire un fornitore senza rinunciare all’identità della propria rete. Le modifiche future dovrebbero ottenere adesione grazie alla loro utilità, anziché attraverso un controllo amministrativo permanente.
È una direzione per ricostruire il coordinamento, non l’affermazione che un sistema RPKI alternativo sia già universalmente adottato. Deve comunque preservare dati compatibili e verifiche affidabili. La difficoltà sta nell’ottenere entrambe le protezioni: dalle dichiarazioni false e da un’autorità sulle prove che non risponde del proprio operato.
Perché la domanda conta prima di un’interruzione
I clienti di una rete dipendono ogni giorno dai suoi indirizzi abituali. Se la rete scopre una dipendenza soltanto quando i suoi dati cambiano o scompaiono, il ripristino è già un problema per un servizio in esercizio. La proposta di cambiamento di Lu Heng parte da qui: integrare nel sistema continuità, verifica indipendente e possibilità di uscita prima che servano in una controversia.
Per seguire l’argomento dalla critica alla progettazione, leggete la Nota 64 di Lu Heng sulle regole condivise minime, le decisioni locali e l’adozione volontaria.