الخلاصة

  • ذكر رد في نقاش مجموعة عمل التوجيه أن Ben Cartwright-Cox كان أول من استخدم واجهة RIPE NCC الجديدة لنشر شهادة مفتاح راوتر BGPsec. ويحتوي مستودع RIPE العام على شهادة صدرت في 22 أكتوبر لـ AS212232.
  • يقسم RFC 8634 التبديل إلى خمس مراحل: نشر الشهادة البديلة، انتظار جلبها عبر مخابئ RPKI، تحويل الراوتر وتحديث UPDATE، إبطال الشهادة القديمة عند الحاجة، ثم سحب المفتاح بعد انتهاء التحقق منها.

الشهادة الأولى غادرت مكتب الإصدار

انتقل BGPsec من إعلان ميزة إلى ملف يستطيع مشغّل الشبكة فحصه. ففي 22 أكتوبر، أعلنت RIPE NCC أن واجهة RPKI البرمجية باتت تنشئ شهادات راوتر BGPsec وتديرها. وبعد ساعات، هنأ رد في نقاش مجموعة عمل التوجيه Ben Cartwright-Cox لأنه استخدم الواجهة لنشر أول شهادة. ويحتوي مستودع RIPE العام على شهادة راوتر BGPsec صدرت في ذلك اليوم لـ AS212232. ملف صغير، تليه مهمة حساسة: تبديل مفتاح راوتر يعمل من دون أن يختفي المسار الموقع.

تنقل واجهة RIPE NCC المشغّل من طلب الشهادة إلى استرجاعها وإبطالها، لكنها لا تضغط زر تبديل المفتاح في الراوتر. يحتاج كل LIR إلى مفتاح API بصلاحية Resource Certification (RPKI) API. يحمل طلب الإنشاء ASN ومعرّف BGP المسمى routerId وطلب شهادة PKCS#10؛ وتمنح سلطة التصديق المفتاح معرّف routerKeyId. هكذا أصبحت الشهادة قابلة للإصدار آلياً، بينما بقي توقيت استخدامها قراراً تشغيلياً.

طلب CSR ليس تفصيلاً شكلياً. فهو طلب تصديق مبني على مفتاح عام؛ والواجهة لا تطلب رفع المفتاح الخاص الذي سيستخدمه الراوتر للتوقيع. تربط الشهادة الـ ASN المصرح به بالمفتاح العام. يحدد RFC 8209 ملف شهادة الراوتر، ويشرح RFC 8205 كيف ترافق توقيعات BGPsec مسار الإعلان بين الأنظمة المستقلة.

لكل أداة سؤالها. تتحقق ROA والتحقق من أصل المسار مما إذا كان مسموحاً لنظام مستقل أن ينشئ بادئة. وتصف ASPA علاقات المزوّدين وتساعد على كشف تسرب المسارات. أما BGPsec فيوقع مسار الأنظمة المستقلة، ليتمكن الراوتر الداعم من التحقق من أن كل نظام في الطريق أجاز إعلان المسار للنظام التالي. أدوات متجاورة، بوظائف مختلفة.

الشهادة تحتاج إلى رحلة حتى المسار

تمنح الواجهة المشغّل طريقة لطلب الشهادة واسترجاعها. لكن المسار يحتاج محطات أخرى: تنشر سلطة التصديق الشهادة في RPKI، ويحمل الراوتر المفتاح الخاص المطابق، وتتفاوض جلسة BGP على BGPsec، وتعرف الشبكات المجاورة كيف تعالج المسار الموقع. الشهادة المرتبة في مستودع لا توقع UPDATE بمفردها؛ تبقى في المكتب حتى يستخدمها الراوتر.

تقول RIPE NCC إن دعم BGPsec في عتاد الراوترات متأخر، وإن النشر التدريجي والأداء ما زالا تحديين. يشرح RFC 8207 سبب بطء الإيقاع: قد يحتاج BGPsec إلى ذاكرة أكبر أو معالجات أحدث. تستطيع الشبكة البدء ببعض راوترات الحدود ومراقبة الأثر. في النشر الجزئي، تتشكل جزر من المسارات الموقعة؛ ويقطع مقطع واحد بلا دعم سلسلة التوقيعات المتصلة.

تؤتمت الواجهة خطوة ضرورية. لكنها لا تغير جدول إصدار الشركات المصنّعة ولا تجعل الشبكات المجاورة تتفاوض على وظيفة لا تشغلها. هذه الخطوات بيد المشغلين والأجهزة عند حدود الشبكات.

تدوير المفتاح يحتاج إلى ساعة دقيقة

يقسم RFC 8634 تبديل المفتاح إلى خمس مراحل: نشر الشهادة الجديدة؛ انتظار جلبها من مخابئ RPKI حول العالم؛ تحويل الراوتر إلى المفتاح الجديد وتحديث رسائل BGPsec UPDATE الصادرة؛ إبطال الشهادة القديمة اختيارياً إذا كان المطلوب إبطال الرسائل الموقعة بالمفتاح السابق؛ ثم، عند انتهاء صلاحية التحقق من الشهادة القديمة، إبلاغ أجهزة التوجيه بسحب المفتاح عبر بروتوكول RPKI-Router كي تزيل المسارات الموقعة به. يمنح الانتظار الشبكات النظيرة وقتاً لمعرفة المفتاح العام قبل وصول التوقيعات الجديدة.

تسهل الواجهة استدعاء الخطوات آلياً؛ لكنها لا تختصر زمن الانتشار. ينبغي لسجل التغيير أن يربط نشر الشهادة البديلة بظهورها في المخابئ، وتحويل الراوتر، وتحديث UPDATE، وأي إبطال اختياري. يأتي سحب المفتاح بعد انتهاء التحقق من الشهادة القديمة. أما نص برمجي يقفز من «إنشاء» إلى «إبطال» فسيكون سريعاً جداً في صنع انقطاع.

تحتاج هوية المفتاح إلى سجل واضح. تميز الواجهة كل مثيل بمزيج ASN وrouterId ومعرّف المفتاح. وتسمح الوثائق بمفاتيح مختلفة للـ ASN نفسه أو بالمفتاح نفسه عبر عدة أرقام ASN وفق الحاجة التشغيلية. هذه المرونة مفيدة، لكنها تجعل سجل التغيير مهماً: رقم ASN، وهوية الراوتر، وبصمة المفتاح، وحالة الشهادة وموعد التبديل. عبارة «المفتاح 12» لن تساعد فريق المناوبة عند الثالثة صباحاً.

من بيئة تجريبية إلى شبكة عاملة

تضع الوثائق العامة BGPsec في بيئة RPKI التجريبية على localcert.ripe.net؛ ويحتوي مستودع RIPE على شهادة AS212232 الصادرة في 22 أكتوبر. ما ينقص السجل العام هو مسار مؤرخ لتدوير المفتاح يربط بصمة الشهادة ووقت نشرها بتبديل الراوتر وUPDATE موقّع جديد والتحقق لدى أقران BGPsec محددين؛ وهذا المسار سيبيّن إلى أي مدى وصل API إلى التوجيه الفعلي.

مقياس النجاح ليس عدد الشهادات التي تعيدها الواجهة. المقياس أن يطلب المشغل مفتاحاً، ويتأكد من نشر شهادته، ويحدد وقت تغيير الراوتر، ويفحص المسار الموقع لدى الأقران المهمين، ثم يكمل التدوير من دون فقدان مصادقة المسارات. خففت الواجهة احتكاك خطوة واحدة؛ أما العمل الهندسي فيبقى عند الراوترات، وروابط الشبكات، والوقت الذي تحتاجه الجهات المتحققة لمعرفة كل مفتاح جديد.

المصادر: إعلان مجموعة عمل التوجيه في RIPE، 22 أكتوبر 2026؛ وثائق واجهة BGPsec البرمجية لدى RIPE NCC؛ IETF RFC 8209؛ IETF RFC 8205؛ IETF RFC 8207؛ IETF RFC 8634.