RPKI

Το RPKI (Resource Public Key Infrastructure) είναι ένας τρόπος να αποτραπεί η πειρατεία BGP. Χρησιμοποιεί κρυπτογραφικές υπογραφές για να επικυρώσει ότι επιτρέπεται σε ένα ASN να ανακοινώνει ένα συγκεκριμένο υποδίκτυο.

Οι ROA (εξουσιοδοτήσεις προέλευσης διαδρομής) είναι τα βασικά στοιχεία του RPKI. Οι ROA περιέχουν μόνο μερικά στοιχεία: ASN, υποδίκτυο και μέγιστο μήκος. Στη συνέχεια, το ROA υπογράφεται κρυπτογραφικά και δημοσιεύεται δημόσια. Στη συνέχεια, οποιοσδήποτε δρομολογητής μπορεί να χρησιμοποιήσει το ROA για να επαληθεύσει ότι μια συγκεκριμένη ανακοίνωση είναι εξουσιοδοτημένη από τον κάτοχο του χώρου IP.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 29,
    "ta" : "ARIN"
}

Αυτό δηλώνει ότι ASAS64496είναι εξουσιοδοτημένο να ανακοινώνει 192.0.2.0/24και τυχόν μικρότερα υποδίκτυα μέχρι /29s.

Σε αντίθεση με αυτό, τα ακόλουθα θα επιτρέψουν μόνο AS64496να ανακοινωθεί 192.0.2.0/24 ακριβώς . Δεν θα επιτρέπονται μικρότερα υποδίκτυα από αυτό το εύρος.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 24,
    "ta" : "ARIN"
}

Το RIPE προσφέρει μια δημόσια υπηρεσία όπου μπορείτε να αναζητήσετε μεμονωμένες ROA .

Το Vultr ελέγχει την κατάσταση RPKI κάθε υποδικτύου πελάτη κάθε βράδυ. Μπορείτε να δείτε την κατάσταση εδώ . Υπάρχουν μερικές διαφορετικές καταστάσεις που θα δείτε εδώ:

• Valid: Μπορέσαμε να επαληθεύσουμε ότι υπάρχει ROA για το ζεύγος ASN/προθέματος. Αυτή είναι η κατάσταση που θέλετε να έχετε.
• Unknown: Δεν υπάρχει ROA για το συγκεκριμένο πρόθεμα. Αυτό θα δείτε για τη συντριπτική πλειοψηφία του χώρου. Δεν θα δείτε γενικά προβλήματα με αυτήν την κατάσταση, καθώς κανένας πάροχος υπηρεσιών διαδικτύου δεν απαιτεί πραγματικά RPKI αυτές τις μέρες.

Αυτές οι καταστάσεις μπορεί να κάνουν τον χώρο IP σας να μην είναι διαθέσιμος σε διάφορα μέρη του Διαδικτύου και θα πρέπει να διορθωθούν. Συγκεκριμένα, ενδέχεται να μην μπορείτε να προσεγγίσετε το Cloudflare από το χώρο IP με μη έγκυρες υπογραφές RPKI. Επίσης, πολλοί ISP στην Αφρική έχουν δεσμευτεί να ενεργοποιήσουν το RPKI στις 2019-04-01, πράγμα που σημαίνει ότι τα μη έγκυρα προθέματα δεν θα είναι προσβάσιμα εκεί. Η AT&T σταμάτησε να δέχεται μη έγκυρες ανακοινώσεις RPKI από τις 11-02-2019.

Υπάρχουν μερικοί διαφορετικοί τύποι μη έγκυρων υπογραφών:

• Invalid ASN: Υπάρχει τουλάχιστον ένα ROA για αυτό το πρόθεμα, ωστόσο κανένα από τα ASN δεν ταιριάζει με αυτό για το οποίο έχει διαμορφωθεί ο λογαριασμός σας. Εάν χρησιμοποιείτε ιδιωτικό ASN, οι ROA σας θα πρέπει να αναφέρουν το ASN μας ( 20473).
• Invalid Prefix Length: Βρήκαμε ένα ROA που ταιριάζει με αυτό το πρόθεμα/ASN, ωστόσο το μέγιστο επιτρεπόμενο μήκος προθέματος δεν είναι σωστό. Αυτό γενικά σημαίνει ότι θα πρέπει να εκδώσετε ένα νέο ROA με το μέγιστο μήκος του προθέματος να έχει οριστεί σε 24για IPv4 ή 48για IPv6. Θα μπορούσατε επίσης να εκδώσετε ένα νέο ROA για το μικρότερο πρόθεμα.

Το RPKI μπορεί να ρυθμιστεί μέσω του RIR (RIPE, ARIN, APNIC και ούτω καθεξής). Μόνο ο κάτοχος του χώρου IP μπορεί να διαχειριστεί RPKI ROA. Εάν μισθώνετε χώρο IP, θα πρέπει να επικοινωνήσετε με την εταιρεία από την οποία μισθώνετε για βοήθεια στη διαμόρφωση του RPKI.

Δείτε την ακόλουθη τεκμηρίωση για περισσότερες πληροφορίες:

• https://www.arin.net/resources/rpki/index.html
• https://www.apnic.net/get-ip/faqs/rpki/
• https://www.ripe.net/manage-ips-and-asns/resource-management/certification
• https://blog.cloudflare.com/rpki/
• https://nlnetlabs.nl/projects/rpki/faq/
• https://afnog.org/pipermail/afnog/2018-November/003532.html