Uloga RPKI-ja u jačanju sigurnosti globalnog rutiranja

Zajedničke dokaze provjerava svaka mreža zasebno. Njihov učinak zavisi od podataka koje mreže primaju i politika koje primjenjuju.

Greška u rutiranju u jednoj mreži može pogoditi ljude daleko od nje. Kada se pogrešno porijeklo širi, web-stranica koja radi može postati nedostupna ili saobraćaj može biti usmjeren na neželjeno odredište. RPKI mrežama koje primaju oglas omogućava da provjere jedan njegov dio prije nego što se na njega oslone.

Njegova vrijednost proizlazi iz niza postupaka: vlasnik objavljuje upotrebljivo ovlaštenje, softver ga provjerava, a operater primjenjuje politiku rutiranja. Razumijevanje tog niza objašnjava i zaštitu i mjesta na kojima ona može zakazati.

Šta se provjerava?

Mreže putem BGP-a razmjenjuju informacije o dostupnosti. Prefiks je blok IP adresa, a ASN identifikuje autonomni sistem. Autorizacija porijekla rute, odnosno ROA, navodi kojem ASN-u vlasnik dopušta da bude porijeklo ruta za određene prefikse.

Softver za validaciju provjerava potpisane zapise i certifikate, a zatim dostavlja validirane podatke o ovlaštenjima. Ruter poredi porijeklo rute i dužinu prefiksa s tim podacima. Operater odlučuje kako će postupiti na osnovu rezultata. Ta podjela razdvaja objavljivanje zapisa, provjeru dokaza i odluke o rutiranju.

Tri rezultata s različitim značenjima

• Valid: najmanje jedno ovlaštenje koje pokriva prefiks dopušta oglašeno porijeklo i dužinu prefiksa.
• Invalid: postoje podaci o ovlaštenjima koji pokrivaju prefiks, ali nijedan zapis ne dopušta tu kombinaciju.
• NotFound: u podacima koji se koriste nema ovlaštenja koje pokriva rutu.

Ova pravila potiču iz RFC-a 6811. Posebno je važno da odsustvo ROA-e koja pokriva prefiks nije isto što i ruta sa stanjem Invalid. Ni stanje Valid ne znači da je cijela oglašena putanja autentifikovana.

Gdje zaštita djeluje

Ako mreža koja prima oglase odbacuje one sa stanjem Invalid, porijeklo koje nije u skladu s ovlaštenjima može biti zaustavljeno na tom mjestu, umjesto da se dalje prenosi kroz tu mrežu. Učinak zavisi od ovlaštenja, dostupnih podataka i stvarno primijenjene politike. Objavljivanje više ROA zapisa i korištenje validacije porijekla u većem broju mreža povezani su, ali različiti oblici usvajanja.

RFC 8481 jasno određuje ulogu operatera: dodjeljivanje stanja validacije odvojeno je od postupanja na osnovu njega. Ne postoji jedan globalni prekidač koji bi sve mreže istovremeno naveo da slijede istu politiku.

Nepropisno proširena ruta može zadržati ovlašteno porijeklo. Krivotvorena putanja također može zadržati tu vrijednost porijekla. Validacija porijekla zato ostavlja važne rizike rutiranja neriješenim; operaterima su i dalje potrebne druge kontrole i uvid u način širenja ruta.

I sistem dokaza zahtijeva brigu

Ovlaštenje koje navodi pogrešan ASN ili isključuje planiranu dužinu prefiksa može dovesti do toga da se legitiman oglas rute klasifikuje kao Invalid. Problemi s repozitorijima, certifikatima ili validatorima također mogu promijeniti podatke dostupne ruterima. Različite predmemorije i vremena ažuriranja znače da različite mreže ne moraju istovremeno imati isti uvid.

Praktična priprema obuhvata precizna ovlaštenja, testirane promjene rutiranja, nadzor validatora i dokumentovan odgovor na zastarjele ili nedostajuće podatke. Drugi validator koristan je samo onoliko koliko smanjuje kvarove koje pokušavate izdržati. Ne uklanja svaku zajedničku zavisnost. RFC 7115 bavi se operativnim radom; RFC 8211 razmatra štetne postupke u sistemu objavljivanja i certificiranja RPKI-ja.

Zaštita ne smije postati trajna zavisnost

To je i pitanje institucionalnog dizajna. Tijelo koje kontroliše neophodne dokaze može uticati na mreže kojima ne upravlja i koje politički ne predstavlja. U Bilješci 28 Lu Heng tvrdi da funkcija registra mora ostati precizno administriranje, a ne postati sredstvo prisile.

Njegova Bilješka 64 postavlja ambiciozniji cilj dizajna: zajednička pravila trebaju biti minimalna i lokalno provjerljiva, zapisi prenosivi, a buduće promjene trebaju zavisiti od dobrovoljnog usvajanja među učesnicima. Sigurnost i mogućnost zamjene koordinatora koji ne obavlja svoju ulogu moraju se projektovati zajedno.

Hitnost je sasvim konkretna. Kada korisnici već izgube pristup, utvrđivanje ko kontroliše neophodan zapis postaje hitan zadatak. Pratite te zavisnosti dok mreže rade. Zatim pogledajte kako promjena zapisa može dovesti do odbacivanja rute.