Što je RPKI? Početnički vodič za sigurnost usmjeravanja
Kako RPKI provjerava izvorište rute, što znače njegovi rezultati i zašto Lu Heng smatra da pouzdana sigurnost zahtijeva i ograničenja moći registara.
Internetska stranica može raditi savršeno, a ipak postati nedostupna. Negdje između njezine mreže i posjetitelja druga mreža može oglasiti pogrešnu rutu. Promet tada kreće prema mjestu koje ga ne može isporučiti ili prema nekome tko ga pokušava presresti.
RPKI, kratica za Resource Public Key Infrastructure, pomaže mrežama provjeriti jednu važnu tvrdnju: je li ova mreža ovlaštena oglašavati ove IP adrese? Razumijevanje te provjere otkriva i dublje pitanje. Tko kontrolira zapise o kojima provjera ovisi?
Počnite od tvrdnje koju mreža iznosi
Internet je mreža mreža. BGP, Border Gateway Protocol, omogućuje im razmjenu objava o tome kako doći do skupina IP adresa. Takva skupina naziva se prefiks. Svaka neovisno upravljana usmjerivačka mreža identificira se brojem autonomnog sustava, odnosno ASN-om.
Zamislite dostavnu tvrtku koja objavljuje: „Možemo dostavljati u ovo naselje.” Drugim tvrtkama treba način da provjere tu tvrdnju. U usmjeravanju pogrešna objava može nastati zbog tipfelera ili namjerne otmice rute. Same BGP objave ne dokazuju da mreža navedena kao izvorište rute ima dopuštenje biti njezino izvorište.
Što rade RPKI, ROA zapisi i validacija
RPKI pruža certifikacijski okvir za internetske brojevne resurse. Nositelj adresa može objaviti potpisano ovlaštenje izvorišta rute, odnosno ROA. Ono identificira ASN koji smije biti izvorište određenog prefiksa i, kada je to navedeno, koliko se usko taj adresni raspon smije podijeliti u objavama. Tehnička definicija nalazi se u RFC-u 9582.
Objava ROA zapisa i provjera primljenih ruta zasebni su poslovi. Softver za validaciju provjerava certifikate i potpisane zapise, a zatim usmjerivačima dostavlja provjerene podatke o ovlaštenjima. Usmjerivači uspoređuju objave ruta s tim podacima; operatori biraju politiku usmjeravanja koja slijedi iz rezultata. Ta se usporedba naziva validacija izvorišta rute, odnosno ROV. Vodič RIPE NCC-a za operatore objašnjava tu podjelu rada.
U primjeru dostave jedna strana objavljuje tko smije opsluživati naselje, a druge provjeravaju dopuštenje. Certifikat je dokaz unutar tog sustava. Nije dokaz da će svaka kasnija dostava biti sigurna.
Tri rezultata, a ne jednostavno da ili ne
Valid — valjano: barem jedno provjereno ovlaštenje obuhvaća oglašeni prefiks i dopušta i navedeni izvorišni ASN i duljinu prefiksa. Invalid — nevaljano: postoje ovlaštenja koja obuhvaćaju prefiks, ali nijedno ne dopušta tu kombinaciju. NotFound — nije pronađeno: u validacijskim podacima nema ovlaštenja koje obuhvaća prefiks.
NotFound ne znači da je otkriven napadač. Invalid sam po sebi ne objašnjava je li uzrok napad ili pogreška u konfiguraciji. Ta stanja opisuju usporedbu, kako je definirano u RFC-u 6811.
Što vam ova zaštita može, a što ne može reći
Validacija izvorišta može pomoći mrežama da odbace neovlaštena izvorišta. Ne potvrđuje autentičnost svake mreže duž rute, ne šifrira vezu posjetitelja i ne jamči dostupnost stranice. Curenje ruta može zadržati ovlašteno izvorište i proći tu provjeru. Filtriranje i nadzor i dalje imaju svoj posao; RPKI je jedan dio sigurnosti usmjeravanja.
Za operatore korisna priprema počinje stvarnim objavama: koje prefikse oglašavaju kao izvorište, preko kojih ASN-ova i odgovaraju li objavljena ovlaštenja tim objavama. Održavanje zapisa i validatora u radu važno je koliko i uključivanje postavke na usmjerivaču. RFC 7115 razmatra operativna pitanja.
Sami zapisi predstavljaju točku moći
Uobičajena hijerarhija povjerenja RPKI-ja prati dodjelu resursa, s regionalnim internetskim registrima u svojim korijenima. Provjera stoga ne ovisi samo o ispravnoj matematici nego i o certifikacijskim tijelima i sustavima objave koji isporučuju zapise.
Promjena ili povlačenje zapisa može promijeniti rezultate validacije. To ne znači automatski gašenje cijelog interneta: učinak ovisi o drugim dostupnim ovlaštenjima i politikama usmjeravanja operatora. RFC 8211 ispituje štetne postupke i pogreške certifikacijskih tijela i upravitelja repozitorija. Sigurnosni mehanizam može smanjiti jedan rizik, a istodobno stvoriti ovisnosti koje zaslužuju pažljivu provjeru.
Lu Hengov argument: zaštititi mrežu i ograničiti čuvara pristupa
U Bilješci 28, Zašto registri nikada ne smiju postati provoditelji prisile, Lu Heng povlači jasnu granicu: održavanje adresara ne smije se pretvoriti u moć kažnjavanja njegovih korisnika. Njegov prigovor odnosi se na ovlasti koje administratori prisvajaju, a ne na potrebu za točnim zapisima. Mala, samoodabrana skupina ne stječe mandat nad mrežama na različitim kontinentima samo zato što vodi njihovu koordinacijsku uslugu.
Bilješka 64 razrađuje njegovu alternativu: zajednička pravila trebaju obuhvatiti minimum potreban za jedinstvenost i sigurnost, uz dokaze koje sudionici mogu sami provjeriti. Zapisi i dokazi trebaju biti prenosivi; operatori trebaju moći zamijeniti pružatelja usluge bez odricanja od identiteta svoje mreže. Buduće promjene trebaju pridobiti korisnike svojom korisnošću, a ne trajnom administrativnom kontrolom.
To je smjer za ponovno oblikovanje koordinacije, a ne tvrdnja da je alternativni RPKI sustav već univerzalno uveden. On i dalje mora očuvati kompatibilne zapise i pouzdanu provjeru. Zahtjevan dio jest postići oboje: zaštitu od lažnih tvrdnji i zaštitu od vlasti nad dokazima koja nikome ne polaže račune.
Zašto je pitanje važno prije prekida rada
Korisnici mreže svakodnevno ovise o njezinim poznatim adresama. Ako mreža otkrije ovisnost tek kada se njezini zapisi promijene ili nestanu, oporavak je već problem usluge koja je u radu. Lu Hengov argument za promjenu počinje ovdje: ugraditi kontinuitet, neovisnu provjeru i mogućnost odlaska u sustav prije nego što zatrebaju u sporu.
Da biste pratili argument od kritike do dizajna, pročitajte Lu Hengovu Bilješku 64 o minimalnim zajedničkim pravilima, lokalnim odlukama i dobrovoljnom prihvaćanju.