RPKI i sigurnost BGP-a: u čemu je razlika?

BGP prenosi oglase ruta. Validacija porijekla poredi porijeklo navedeno u njima sa zasebnim podacima o ovlaštenjima.

Mreža tvrdi da može doseći blok internetskih adresa. Trebaju li joj druge mreže vjerovati? To pitanje stoji iza poređenja BGP-a i RPKI-ja. Oni obavljaju različite poslove: jedan razmjenjuje rute, dok drugi pruža dokaze koji mogu pomoći u procjeni navedenog porijekla rute.

Ruta i dokazi koji je prate

BGP omogućava nezavisno upravljanim mrežama da razmjenjuju podatke o dostupnosti. Blok adresa naziva se IP prefiks; mreža koja učestvuje u toj razmjeni identifikuje se brojem autonomnog sistema, odnosno ASN-om. Operateri koriste oglase i vlastite politike da bi odabrali rute. RFC 4271 definiše tu razmjenu.

Primljeni oglas sam po sebi ne dokazuje da je nosilac adresa odobrio navedeno porijeklo. Pogrešno porijeklo može nastati zbog greške u konfiguraciji ili pokušaja otmice rute. Praktična posljedica može biti usluga kojoj ljudi odjednom ne mogu pristupiti, iako njeni serveri rade.

RPKI dodaje sistem certifikata i potpisanih zapisa. Autorizacija porijekla rute, odnosno ROA, navodi ASN kojem je dozvoljeno da bude porijeklo ruta za određene prefikse. Softver za validaciju provjerava potpisane podatke i ruterima stavlja na raspolaganje upotrebljive podatke o ovlaštenjima. Validacija porijekla rute, odnosno ROV, poredi oglase s tim podacima.

Provjera s jasno određenim opsegom

Poređenjem se provjerava da li izvorni ASN i dužina oglašenog prefiksa odgovaraju ovlaštenju koje pokriva taj prefiks. Ne ispituje se sadržaj saobraćaja niti se autentifikuje svaka mreža u oglašenoj putanji. Ruta može proći provjeru porijekla, a ipak se širiti tamo gdje ne bi smjela.

RFC 6811 definiše tri rezultata. Valid znači da postoji odgovarajuće ovlaštenje. Invalid znači da postoje podaci o ovlaštenjima koji pokrivaju prefiks, ali nijedan zapis ne dopušta to porijeklo i tu dužinu prefiksa. NotFound znači da u podacima koji se koriste nema ovlaštenja koje pokriva prefiks. To su stanja dokaza, a ne konačan sud da je ruta sigurna ili zlonamjerna.

Daljnji postupak zavisi od politike koju je podesio operater mreže koja prima oglas. Mreža može odbaciti oglase sa stanjem Invalid; samo objavljivanje ROA-e ne prisiljava sve druge mreže da obave tu provjeru. BGP ostaje mehanizam razmjene ruta.

Zašto je ta razlika važna tokom prekida rada

Zamislite da premještate uslugu na novi izvorni ASN, dok ovlaštenje još navodi samo stari. Novi oglas može dobiti stanje Invalid. Rješavanje počinje poređenjem planiranog oglasa, podataka o ovlaštenjima koji se zaista koriste i politike koja je oglas odbacila. Kupovina drugog rutera ili pretpostavka da je kabl pokvaren promašuju uzrok.

Operaterima su i dalje potrebni odgovarajući filteri, pouzdan softver za validaciju, praćenje i usklađene promjene. Validacija porijekla jedna je korisna provjera u tom poslu; ako se smatra univerzalnim pečatom sigurnosti, preostale zavisnosti ostaju skrivene.

Ko kontroliše dokaze?

Lu Hengova Bilješka 28 povlači granicu između održavanja zapisa i njihovog korištenja za kažnjavanje učesnika. Onaj ko vodi zapise može uticati na mreže koje rade kada se drugi oslanjaju na njegove podatke. Taj uticaj sam po sebi ne daje mandat za upravljanje svim ljudima na koje se to odražava u različitim zemljama.

Njegova Bilješka 64 predlaže zajednička pravila ograničena na ono što zahtijevaju jedinstvenost, interoperabilnost i sigurnost, uz lokalnu provjeru i dobrovoljno usvajanje kasnijih promjena. Cilj je omogućiti zamjenu pouzdanog mehanizma koordinacije, umjesto da jedan administrator zauvijek postane nezamjenjiv.

Za operatera je neposredno pitanje praktično: može li vaš tim pratiti rutu od njenog ovlaštenja do odluke koju je donijela mreža koja je prima? Počnite odatle, a zatim pročitajte kako pripremiti i održavati autorizaciju porijekla. Te je odnose lakše razjasniti dok usluga još radi.