الخلاصة

  • تقول RIPE NCC إن أصحاب أرقام الأنظمة المستقلة يستطيعون الآن إنشاء شهادات مفاتيح أجهزة التوجيه BGPsec وإدارتها عبر واجهة RPKI.
  • فحص مسار الإعلان يحتاج أجهزة توجيه متوافقة وجلسات تستعمل BGPsec؛ إصدار الشهادة هو الخطوة الأولى.

وصلت الشهادة قبل أن تجهز لها معظم أجهزة التوجيه. فقد أعلن مهندس RPKI في RIPE NCC، Tim Bruijnzeels، في 22 أكتوبر توفير إنشاء شهادات مفاتيح BGPsec وإدارتها عبر الواجهة البرمجية. وفي الرسالة نفسها أقرّ بتأخر دعم الأجهزة المادية وصعوبات الأداء والنشر التدريجي. ثم أورد تحديث الأعضاء في 23 أكتوبر الميزة الجديدة. أُنجز باب الإصدار، وبقي امتحان الاستعمال على الشبكات.

تربط الشهادة مفتاحاً عاماً في جهاز التوجيه برقم نظام مستقل. ووفق RFC 8209، يتيح امتلاك المفتاح الخاص المقابل توقيع إعلانات التوجيه الآمنة باسم ذلك النظام. وفي جلسة مُفعّل فيها BGPsec، يستطيع الجهاز المتوافق لدى الطرف المقابل فحص سلامة تسلسل الأنظمة المستقلة في المسار. التصريح بأصل المسار من اختصاص ROA والتحقق من المنشأ، وعلاقات المزوّدين من اختصاص ASPA؛ أما هذه الشهادة فتخدم توقيع الطريق الذي سلكه الإعلان.

تشرح وثيقة RIPE NCC للواجهة ما يستطيع صاحب الرقم فعله: بمفتاح API تابع لحساب LIR ومخوّل لـRPKI، يقدم طلب PKCS#10، ويعرض المفاتيح، ويحصل على الشهادة وسلسلتها، ويلغي مفتاحاً بمعرّفه. يمكن للنظام المستقل الواحد حمل أكثر من مفتاح. أمثلة الوثيقة تستخدم مضيف التجربة الخاص بـRPKI؛ هذه هي البيئة المسماة صراحة في التعليمات المنشورة.

القرار موزع بوضوح: RIPE NCC تصدر، وصاحب الرقم يدير المفتاح ويضبط جهازه، والشبكة المجاورة تقرر التحقق في الجلسة. لذلك يُقاس أثر الإطلاق بعدد الشهادات المستخدمة والجلسات العاملة، لا بعدد طرق استدعاء الواجهة وحده.