Vodič korak po korak za uvođenje RPKI-ja u vašu mrežu

Internet radi zato što mreže razmjenjuju informacije o putevima kojima podaci mogu putovati. Svaka mreža obavještava ostale o rasponima adresa do kojih može doći, omogućujući paketima da se kreću od jedne tačke do druge. Godinama se ta razmjena potpuno oslanjala na povjerenje: mreža bi tvrdila da upravlja određenim blokom adresa, a ostale bi joj vjerovale. U početku je to bilo dovoljno, dok je internet bio manji, a greške rijetke.

Kako je internet rastao, slijepo povjerenje postalo je slabost. Jedna greška u tipkanju mogla je pogoditi mnoštvo korisnika, a lažna tvrdnja preusmjeriti saobraćaj širom svijeta. Napadači su to počeli iskorištavati, otimajući rute kako bi presreli podatke, blokirali pristup ili izazvali smetnje. Nedostatak mehanizma provjere ostavljao je cijeli sistem ranjivim.

Infrastruktura javnih ključeva za resurse (Resource Public Key Infrastructure, RPKI) razvijena je kako bi riješila taj problem. Uz digitalne certifikate i ovlaštenja porijekla ruta omogućuje mrežama da prije prihvatanja objave rute provjere je li njeno porijeklo ovlašteno. Uvođenje RPKI-ja poboljšava sigurnost usmjeravanja i pokazuje da operator ozbiljno shvata stabilnost mreže.

Zašto je usmjeravanje bez RPKI-ja ranjivo

Usmjeravanje između domena na internetu oslanja se na Border Gateway Protocol (BGP). Mreže objavljuju adrese do kojih mogu doći, objave se brzo šire, a ostale mreže na njima zasnivaju svoje tabele usmjeravanja. Problem je u tome što sam BGP ne traži dokaz da je porijeklo prefiksa ovlašteno, pa protokol sam po sebi ne može spriječiti lažne tvrdnje. Mreža može pokušati objaviti prefiks koji joj ne pripada; ako druge mreže nemaju odgovarajuće mjere provjere i filtriranja, mogu prihvatiti tu objavu.

Ovakav otvoren model često stvara probleme. Ponekad je greška mala, poput pogrešno unesenog broja, ali se netačna ruta ipak proširi. U drugim slučajevima riječ je o napadu: napadač može objaviti tuđi prefiks i poslati saobraćaj na pogrešno odredište. I greške i ovakvi napadi u prošlosti su izazivali velike prekide rada mreža, onemogućavali korisnicima pristup uslugama i uzrokovali gubitak prihoda preduzećima. Bez provjere, usmjeravanje se i dalje oslanja na slijepo povjerenje.

Izrada ovlaštenja porijekla ruta (ROA)

Najneposredniji dio RPKI-ja je ovlaštenje porijekla rute (Route Origin Authorization, ROA). ROA povezuje prefiks s autonomnim sistemom (AS) ovlaštenim da bude izvorište ruta za taj prefiks. Izrada ROA zapisa jednostavna je, ali izuzetno važna. Pri korištenju udomljene RPKI usluge, operator se prijavljuje na portal registra, unosi prefiks, navodi ovlašteni broj autonomnog sistema (ASN) i po potrebi postavlja maksimalnu dužinu prefiksa. Usluga generira i potpisuje ROA, dok se odgovarajući certifikat resursa koristi za provjeru ovlaštenja.

Nakon objavljivanja, ROA je dostupan za upotrebu širom interneta. Drugi operatori mogu ga preuzeti, provjeriti i koristiti za provjeru ruta. Prefiks koji nije obuhvaćen nijednim ROA zapisom i dalje se može objavljivati, a njegov status provjere porijekla bit će NotFound. Ako je ROA pogrešno konfiguriran, inače legitimna objava rute može dobiti status Invalid i biti odbijena u mrežama koje primjenjuju odgovarajuću politiku filtriranja. Zapisi moraju ostati tačni, a svaki ROA mora odgovarati stvarnom planu usmjeravanja; u suprotnom saobraćaj može biti greškom odbijen.

Postavljanje RPKI validatora

Izrada ROA zapisa samo je jedan dio sistema; drugi je provjera. Za provjeru porijekla ruta mreži su potrebni podaci o ovlaštenjima koje pruža validator. Validator iz RPKI repozitorija preuzima objekte poput ROA zapisa i povezanih certifikata, provjerava njihovu valjanost, pohranjuje provjerene podatke o ovlaštenjima i stavlja ih na raspolaganje usmjerivačima.

Validator ne zahtijeva vrhunsku opremu; dovoljan može biti mali server ili virtuelna mašina. Dostupan je softver otvorenog koda koji većina operatora može instalirati osnovnim alatima. Najvažnije je da validator ostane dostupan i ažuran. Kada postane nedostupan, usmjerivači obično mogu nastaviti koristiti podatke o ovlaštenjima dok ne istekne njihov rok u predmemoriji. Nakon isteka ili pražnjenja predmemorije, rezultati provjere i prihvatanje ruta zavise od implementacije i lokalne politike. Za ispravan rad RPKI-ju je potreban stabilan i pouzdan validator.

Konfiguracija usmjerivača za provjeru

Usmjerivače treba konfigurirati da primaju podatke o ovlaštenjima od validatora. Obično ih preuzimaju i čuvaju u predmemoriji putem protokola RPKI-RTR. Kada stigne objava rute, usmjerivač uspoređuje prefiks, njegovu dužinu i izvorni ASN s podacima o ovlaštenjima u predmemoriji. Ako ruta nije valjana, može se odbaciti u skladu s politikom. Neki operatori u početku označavaju nevaljane rute, ali ih zadržavaju radi pregleda; drugi ih odmah odbacuju.

Tačni koraci konfiguracije razlikuju se od proizvođača do proizvođača. Cisco, Juniper, Nokia i drugi imaju vlastite naredbe za provjeru, ali princip je isti: usmjerivači moraju dobiti podatke o ovlaštenjima od validatora, provjeriti porijeklo ruta i primijeniti odgovarajuću politiku. Ispravnom konfiguracijom i politikama filtriranja mreža može smanjiti rizike povezane s nevaljanim porijeklom ruta.

Testiranje i praćenje rada RPKI-ja

Nakon postavljanja, sistem treba testirati. Operatori mogu provjeriti jesu li objave njihovih prefiksa označene kao valjane. U izoliranom testnom okruženju mogu i simulirati objave čiji prefiks, dužina prefiksa ili izvorni ASN ne odgovara ROA zapisu, pa provjeriti odbijaju li se prema politici. Takvi testovi potvrđuju rade li validator i usmjerivači kako je predviđeno.

Praćenje je jednako važno. RPKI nije statičan: novi zapisi nastaju svakog dana. Ako se validator prestane ažurirati, usmjerivači možda neće moći dobiti najnovije informacije.

Greške i uobičajeni problemi

Greške su moguće i uz RPKI. Čest problem je unos pogrešnog broja pri izradi ROA zapisa, zbog čega inače legitimna ruta bude označena kao nevaljana. Korisnici tada možda neće moći pristupiti mreži. Rješenje je brzo ispraviti zapis i objaviti izmjenu. Kada se izmjena proširi, ruta će ponovo biti valjana.

Drugi problem je nedostupnost validatora. Ako server otkaže, usmjerivači obično mogu nastaviti provjeravati nove rute prema postojećim podacima o ovlaštenjima dok tim podacima ne istekne rok u predmemoriji. Nakon isteka ili brisanja podataka, status može postati NotFound, zavisno od implementacije. Nedostupnost validatora sama po sebi ne znači da ruta ima status Invalid. Svaki operator treba jasnu politiku za istek predmemorije. Privremeno prihvatanje ruta NotFound može pomoći u smanjenju rizika od prekida, ali bez valjanih podataka o ovlaštenjima nema garancije da će se neovlaštene tvrdnje o porijeklu i dalje prepoznavati i filtrirati. Zato validator treba što prije osposobiti.

Operativne pouke ranih korisnika

Mnoge velike mreže već su uvele RPKI. Njihovo iskustvo pokazuje da sistem, uz pravilno planiranje, radi pouzdano. Operatori koji uključe provjeru porijekla ruta i politike filtriranja mogu blokirati objave Invalid. One mogu biti posljedica konfiguracijskih grešaka ili otmice ruta; sam status provjere ne može utvrditi uzrok. U oba slučaja, provjera porijekla zasnovana na RPKI-ju i filtriranje pomažu ograničiti širenje štete.

Koristi su prijavile i male mreže. Navode da im je uz provjeru lakše vjerovati mrežama s kojima razmjenjuju saobraćaj. Korisnici se osjećaju sigurnije, a partneri su spremniji raditi s operatorima koji uvode RPKI. Rani korisnici pokazali su da RPKI nije samo za velike kompanije: mreže bilo koje veličine mogu ga uvesti i ostvariti koristi.

RPKI i tačke razmjene internetskog saobraćaja (IXP)

Tačke razmjene internetskog saobraćaja, odnosno IXP-ovi, središnja su mjesta povezivanja mnogih mreža. Omogućuju da saobraćaj prolazi direktno između operatora, bez dugih puteva. Zbog toga svakodnevno obrađuju velik broj ruta. Ako jedan učesnik objavi pogrešnu rutu, greška se kroz tačku razmjene može brzo proširiti.

Uvođenje RPKI-ja na IXP-u može smanjiti taj rizik. Provjera porijekla i filtriranje ruta Invalid na serverima ruta ili usmjerivačima članova mogu smanjiti širenje nevaljanih objava među članovima. Kod otmica koje provjera porijekla može prepoznati, to pomaže filtrirati pogođene rute prije nego što dođu do velikog broja povezanih mreža, iako ne može garantirati ispravnost svake proslijeđene rute. Time se povećava povjerenje svih učesnika. Neke tačke razmjene sada uključuju RPKI u uslove članstva, a članovi ga vide i kao znak pouzdanosti.

RPKI u globalnoj sigurnosti

Usmjeravanje je jedan od skrivenih slojeva interneta i rijetko privlači pažnju javnosti. Kada društvena mreža ili banka postane nedostupna, korisnici vide problem na površini, ali ne i njegov uzrok. U mnogim slučajevima osnovni uzrok je greška usmjeravanja. Bez provjere, takve greške mogu se nekontrolirano širiti.

RPKI pruža globalni sloj sigurnosti. Regije mogu odrediti vlastite operativne politike, ali RPKI koristi zajedničke tehničke standarde. Regionalni internetski registri održavaju sidra povjerenja, a validatori konfigurirani s odgovarajućim sidrima mogu provjeravati ovlaštenja porijekla ruta iz različitih regija. Time je moguća prekogranična provjera. Ovlaštenje porijekla za prefiks dodijeljen u jednoj zemlji može provjeriti mreža u drugoj. Globalni obuhvat jedna je od najvećih prednosti RPKI-ja jer ni sam internet nema granice.

Budućnost uvođenja RPKI-ja

Primjena RPKI-ja i dalje raste. Mnogi veliki pružaoci usluga već ga koriste, a manji operatori ih postepeno slijede. U budućnosti bi mogao postati nešto što se podrazumijeva. Kao što je enkripcija postala uobičajena za internetski saobraćaj, tako i provjera usmjeravanja može postati norma.

Izgledi zavise i od bolje edukacije i alata. Ako instalacija validatora postane jednostavnija, a registri pruže jasnije upute, više mreža će uvesti RPKI. Vlade također mogu intervenirati kroz politike i učiniti ga obaveznim za kritičnu infrastrukturu. Opći trend vodi široj, a ne manjoj upotrebi.

Podrška zajednice i obuka

RPKI u početku može djelovati složeno, ali mnoge grupe u zajednici nude pomoć. Operatori dijele vodiče, održavaju radionice i objavljuju studije slučaja. Ti resursi olakšavaju pristup malim kompanijama bez namjenskog sigurnosnog osoblja. Učeći iz tuđeg iskustva, mogu uvesti RPKI uz manji rizik.

Obuka je ključna i za dugoročan uspjeh. Timovi koji razumiju kako rade ROA zapisi i validatori rjeđe griješe. Što više zaposlenih razumije sistem, cijela organizacija postaje sigurnija. Podrška zajednice i obuka mogu održati zamah uvođenja RPKI-ja.

Uloga RPKI-ja u izgradnji povjerenja

Internet funkcioniše kroz dogovore između nezavisnih mreža. Svaka mreža mora vjerovati da će ostale postupati pošteno. U prošlosti se to povjerenje oslanjalo isključivo na usmena uvjeravanja ili ugovorne odredbe. Uz RPKI, povjerenje dobija tehničku osnovu: dokaz zamjenjuje slijepu vjeru.

Takvo tehnički zasnovano povjerenje važno je za poslovanje. Korisnici žele znati da su njihovi podaci sigurni; partneri žele garanciju da rute neće nestati; investitori žele vidjeti mreže koje slijede dobre prakse. Uvođenje RPKI-ja jasno pokazuje da operator ozbiljno shvata sigurnost. S vremenom to povjerenje postaje dio njegovog ugleda, a ugled može vrijediti koliko i sama mreža.

RPKI i pružaoci usluga u oblaku

Platforme u oblaku zavise od stabilnog usmjeravanja bez prekida. Udomljuju milione web-stranica i aplikacija, pa svaki zastoj može uzrokovati znatne gubitke. Mnogi pružaoci usluga počeli su uvoditi RPKI radi zaštite svog adresnog prostora. To povećava povjerenje korisnika i pomaže smanjiti rizik od prekida usluga izazvanih otmicom porijekla ruta.

Kompanije koje pružaju usluge u oblaku često imaju složena okruženja usmjeravanja jer istovremeno rade u više regija. RPKI može pomoći u provjeri koji su autonomni sistemi ovlašteni da budu izvorište ruta za određene prefikse. Filtriranje nevaljanih ruta prema rezultatima provjere pomaže smanjiti rizik od pogrešnog usmjeravanja saobraćaja. Međutim, provjera porijekla zasnovana na ROA zapisima ne može provjeriti cijeli AS put niti garantirati da će saobraćaj slijediti predviđeni put. Zato operatori oblaka danas smatraju RPKI dijelom temelja povjerenja u svom poslovanju.

Regionalna primjena i trendovi politika

Ne napreduju sve regije istim tempom. U nekima je RPKI brzo prihvaćen zahvaljujući snažnoj podršci kroz politike registara. U drugima je primjena sporija jer su operatori oprezni ili imaju ograničene resurse.

Neka područja počela su preporučivati RPKI kao ključni zahtjev za operatore; druga potiču primjenu podsticajima ili podrškom obuci. Ti trendovi ukazuju da će RPKI postati osnovno očekivanje širom svijeta, čak i ako se tempo uvođenja razlikuje među regijama.

Troškovi i koristi uvođenja RPKI-ja

Malim operatorima ovi zadaci mogu djelovati zahtjevno, ali koristi su jasne. RPKI može smanjiti rizike od otmice ruta, pomoći u održavanju stabilnog usmjeravanja i pokazati partnerima da je mreža sigurna i pouzdana. Mnoge kompanije danas ga smatraju osnovnim dijelom dobrog poslovanja. Trošak uvođenja i održavanja može biti nizak u odnosu na gubitke koje bi izazvala velika otmica ruta ili prekid mreže. Zato ga svake godine uvodi sve više mreža.

Često postavljana pitanja

• Koja je glavna svrha RPKI-ja?
  Omogućuje nosiocima adresnih resursa da na provjerljiv način ovlaste određene autonomne sisteme da budu izvorište ruta za pripadajuće prefikse. U kombinaciji s provjerom porijekla ruta i politikama filtriranja, to pomaže blokirati neovlaštene objave porijekla i poboljšati sigurnost usmjeravanja.

• Može li RPKI riješiti svaki problem usmjeravanja?
  Ne. Provjera porijekla zasnovana na ROA zapisima može prepoznati objave koje ne odgovaraju valjanim ovlaštenjima i, zajedno s politikama filtriranja, smanjiti rizik od nekih otmica i pogrešnih objava. Drugi problemi, poput curenja ruta, ostaju. Za sveobuhvatnu zaštitu potrebni su dodatni alati.

• Podržavaju li svi usmjerivači RPKI provjeru?
  Ne. Starijoj opremi možda je potrebna nadogradnja. Većina modernih usmjerivača već podržava RPKI, a mogu pomoći i alati otvorenog koda.

• Šta se dešava ako validator prestane raditi?
  Usmjerivači obično mogu nastaviti koristiti postojeće podatke o ovlaštenjima dok ne istekne njihov rok u predmemoriji. Nakon isteka ili pražnjenja predmemorije, pogođene rute mogu dobiti status NotFound, zavisno od implementacije. Politika koja dopušta rute NotFound može pomoći u smanjenju rizika od prekida, ali ne može garantirati normalan tok saobraćaja niti neprekidno prepoznavanje svih objava s nevaljanim porijeklom. Validator i dalje treba što prije vratiti u rad.

• Je li uvođenje RPKI-ja obavezno?
  U većini regija nije obavezno, ali se snažno preporučuje. Neka strukovna tijela i regulatorne institucije počele su ga postavljati kao zahtjev.