كل ما تحتاج لمعرفته حول البنية التحتية للمفتاح العام للموارد (RPKI)

يتم تسليط الضوء على كل ما تحتاج لمعرفته حول البنية التحتية للمفتاح العام للموارد (RPKI) من قبل BTW Media لأن الأدلة المنشورة تربطه بالبنية التحتية للإنترنت والحوكمة والتبعيات التشغيلية أو وضوح السوق.

• أمن المعلومات هو موضوع ساخن أبدي، وبروتوكول البوابة الحدودية (BGP)يتعرض لثغرات أمنية منذ فترة طويلة. من الجدير فهم إطار تشفير جديد، البنية التحتية للمفتاح العام للموارد، أو RPKI.
• يستخدم مشغلو الشبكات آليات قائمة على الثقة مثل بروتوكولات الند للند وتصفية التوجيه اليدوية لتقليل خطر اختطاف BGP، وعلى الرغم من فعاليتها إلى حد ما، إلا أن هذه الحلول محدودة بذاتها.
• من خلال تسخير قوة التشفير، توفر RPKI حلاً موحداً وقابلاً للتوسع للتحديات المستمرة التي تسببها ثغرات BGP.

رأينا:
تمثل RPKI قفزة هائلة في أمن توجيه الإنترنت، باستخدام التشفير لتوفير حل موحد وقابل للتوسع للتحديات المستمرة التي تسببها ثغرات BGP.
–Fei Wang, مراسل BTW

لماذا نحتاج RPKI؟

عندما يتعلق الأمر بأمن معلومات الشبكة، ربما سمعت عن بروتوكول البوابة الحدودية (BGP)، لكن كعمود الفقري لتوجيه الإنترنت، ظل BGP معرضًا للثغرات لفترة طويلة، مما يتركه مفتوحًا للتلاعب والاختطاف. البنية التحتية للمفتاح العام للموارد (RPKI) هي إطار تشفير مصمم لتعزيز BGP وحماية مسارات الإنترنت من الجهات الخبيثة.

اقرأ أيضًا:ما هو بروتوكول معلومات التوجيه (RIP)؟

BGP هو البروتوكول الذي يربط العمود الفقري للإنترنت ويساعد أجهزة التوجيه في تحديد المسار الأكثر كفاءة للحزم للتنقل عبر الإنترنت. يتبادل معلومات التوجيه بين الشبكات (الأنظمة المستقلة)، على غرار طريقة تواصل GPS مع الأقمار الصناعية وأجهزة GPS الأخرى لتقديم اتجاهات تنقل دقيقة. تعلن أجهزة التوجيه عن مساراتها المتاحة لأجهزة التوجيه المجاورة من خلال رسائل BGP. تحتوي هذه الرسائل على معلومات حول بادئات IP القابلة للوصول والمسار للوصول إليها. ثم تستخدم أجهزة التوجيه المجاورة هذه المعلومات لتحديث جدول التوجيه الخاص بها، وتحديد المسار الأمثل لتدفق حزم عنوان IP الوجهة.

اقرأ أيضًا:الأمان وعدم الكشف عن الهوية والاستقرار: لماذا تعد الخوادم الوكيلة أداة إنترنت شائعة بشكل متزايد

لكن أحد السيناريوهات التي لا يمكننا تجاهلها هو إذا توغل كيان مارق في شبكة مزود خدمة إنترنت وأعلن بشكل احتيالي عن توجيه خاطئ لبادئات IP. فجأة، يتم تحويل حركة المرور المشروعة إلى وجهات غير مرغوب فيها، مما يسبب الفوضى ويعرض سرية الخدمات عبر الإنترنت وسلامتها وتوافرها للخطر. هذه الظاهرة الخبيثة، التي يشار إليها أحيانًا باسم اختطاف BGP، تسلط الضوء على الحاجة الملحة لاتخاذ إجراءات أمنية قوية لحماية توجيه الإنترنت.

إليك مثال: في فبراير 2008، لتنفيذ أمر حكومي، أعلنت Pakistan Telecomبطريق الخطأ مسار BGP لإعادة توجيه حركة مرور YouTube إلى خوادمها الخاصة. لسوء الحظ، قبل مزود الخدمة المتلقي المسار دون التحقق منه ثم نقل المعلومات، وبالتالي نشر المسار الخاطئ عبر الإنترنت حتى اعتقد الجميع تقريبًا أن Facebook نقلت خوادمها إلى الشبكة الباكستانية. لم يتسبب هذا الخطأ في تعطيل YouTube فحسب، بل وضع مزود خدمة الإنترنت الباكستاني في مأزق، حيث سرعان ما تلقى ملايين الطلبات من مستخدمي YouTube.

نظرًا لأن BGP لا يضمن صحة إعلانات التوجيه، فإن الهجمات المتعمدة من قبل القراصنة والتكوين غير الصحيح لمعلمات الشبكة يمكن أن تؤدي إلى اختطاف المسار. باعتباره البنية التحتية الأمنية الرئيسية التالية للإنترنت التي تنشرها ICANN بعد DNSSEC، تقوم RPKI ببناء نظام مصادقة تفويض موارد عنوان IP من منظور إدارة موارد عنوان IP للتحقق مما إذا كان إعلان التوجيه لبادئة عنوان IP معينة مشروعًا، ويوفر تنفيذ مخطط أمن التوجيه بين المناطق (مثل S-BGP و BGPS) مصدرًا موثوقًا للمعلومات.

Ma Di, China Internet Network Information Center

الحلول الحالية: IRR وBGPsec وRPKI

يستخدم مشغلو الشبكات آليات قائمة على الثقة مثل بروتوكولات الند للند وتصفية التوجيه اليدوية لتقليل خطر اختطاف BGP، وعلى الرغم من فعاليتها إلى حد ما، إلا أن هذه الحلول محدودة بطبيعتها وتعتمد على الإشراف البشري والتعاون للحفاظ على سلامة المسارات. أحد هذه الحلول المرنة هو التصفية باستخدام المعلومات المتاحة فيسجل توجيه الإنترنت (IRR). IRR هي قاعدة بيانات عامة لمعلومات التوجيه التي تقدمها سجلات الإنترنت الإقليمية (RIRs) والبائعين الخارجيين. ومع ذلك، فإن هذا الحل له بعض القيود، لأن الأطراف الثالثة في اللعبة لا يمكنها الحفاظ على البيانات بشكل منهجي.

أمان بروتوكول البوابة الحدودية (BGPsec)هو حل متقدم آخر وهو امتداد آمن لـ BGP كما هو محدد في RFC 8205. في BGPsec، يتم استبدال سمة AS_PATH بسمة BGPsec_Path الجديدة، والتي توفر طريقة للتحقق من صحة المسارات المستلمة من الأقران بشكل تشفيري.

تعتمد الحلول المتقدمة على البنية التحتية للمفتاح العام للموارد (RPKI) للمصادقة التشفيرية لمعلومات التوجيه.

مسابقة سريعة

أي مما يلي ليس حلاً حالياً لأزمة BGP؟

أ. BGPsec

ب. RPKI

ج. AS

د. IRR

الإجابة في أسفل هذه المقالة.

ما هي RPKI

يمكنك التفكير في RPKI كنظام مراقبة جوازات السفر والتأشيرات لحركة مرور الإنترنت. معلومات التوجيه مثل وجهة الإنترنت أو البلد. تمامًا كما نحتاج إلى جواز سفر وتأشيرة صالحين لدخول بلد معين قانونيًا، تحتاج أجهزة التوجيه على الإنترنت إلى شهادة تشفير صالحة وتصريح أصل التوجيه (ROA) الصادر عن RPKI للإعلان عن بادئات IP والتحقق منها. تعمل الشهادة التشفيرية كجواز سفر للتحقق من هوية حامل عنوان IP، بينما يعمل ROA كتأشيرة لتفويض الأصل المشروع لبادئة IP.

بدون "جواز السفر" الصحيح (الشهادة المشفرة) و"التأشيرة" (ROA)، لا يمكن لأجهزة التوجيه على الإنترنت الإعلان بأمان عن مسارات (بادئات IP) إلى وجهات محددة، وبالتالي منع حركة المرور غير المصرح بها وضمان وصول الحزم إلى وجهتها المقصودة بأمان وكفاءة. مع تمكين RPKI، يعمل مشغلو الشبكات وأجهزة التوجيه كوكلاء مراقبة حدود يقظين، يتحققون من شرعية إشعارات التوجيه قبل تخزينها ونشرها، وبالتالي منع حركة المرور غير المصرح بها من دخول أو مغادرة "بلد" معين (بادئة IP) على الإنترنت.

اقرأ أيضًا: ما هيRIPE NCC؟

كيف تعمل RPKI لسجل الإنترنت الإقليمي APNIC

نظام إصدار الشهادات في RPKI يتوافق مع بنية تخصيص موارد أرقام الإنترنت، كما هو موضح في الشكل أعلاه. يقوم نظام إصدار الشهادات بتفويض الموارد عن طريق إصدار شهادات الموارد من الأعلى إلى الأسفل. يتضمن محتوى الشهادة علاقة الربط بين بادئة عنوان IP/رقم AS والمؤسسة المستلمة، مما يشير إلى أن حامل المورد قد تم تفويضه قانونيًا لاستخدام هذا الجزء من موارد الأرقام.

تعمل RPKI على نموذج هرمي، حيث تعمل سجلات الإنترنت الإقليمية (RIRs) كسلطات عليا مسؤولة عن إدارة موارد أرقام الإنترنت. تشمل هذه الموارد كتل عناوين IP وأرقام الأنظمة المستقلة (ASNs)، وهي مكونات أساسية لتوجيه الإنترنت. تصدر RIRs شهادات تشفير لحاملي الموارد، وتربط تخصيصات عناوين IP الخاصة بهم بمفاتيح تشفير. تُستخدم هذه الشهادات بعد ذلك لإنشاء تصاريح أصل التوجيه (ROAs)، التي تحدد الأصول المشروعة لبادئات عناوين IP.

لماذا RPKI مهمة؟

لقد جلب اعتماد RPKI العديد من الفوائد للنظام البيئي للإنترنت. توفر RPKI آلية للتحقق من صحة إعلانات المسار، مما يمكن أن يمنع اختطاف BGP وتسرب المسار، ويحسن أمان واستقرار مسارات الإنترنت. بالإضافة إلى ذلك، تمنح RPKI مشغلي الشبكات السيطرة على سياسات التوجيه الخاصة بهم، مما يضمن تدفق حركة المرور على طول المسار المقصود وتقليل خطر التكوين الخاطئ أو النشاط الضار.

فوائد RPKI
أ. أكثر أمانًا بكثير من فحص قاعدة بيانات Whois أو قاعدة بيانات IRR يدويًا.
ب. أصل آمن للبادئة أو المنشأ هو الخطوة الأولى لمنع العديد من الهجمات على سلامة BGP.
ج. يمكن التحقق من التعليمات/المعلومات من وصي المورد بشكل تشفيري (على سبيل المثال، توقيع تفويض السلطة).

س: كيف يمكن لجهاز توجيه حدودي للإنترنت المزامنة مع خادم للتحقق من صحة أجهزة توجيه RPKI؟

هل هناك خوادم عامة للاستعلام عنها؟

“ما يحدث مع المستودع، هناك برنامج يعمل كوسيط بين LACNIC وأجهزة التوجيه. هذا هو مدقق RPKI، كان أحد مشاريع الميناء التي تم تطويرها مع المكسيك، وبالتالي يجعل المعلومات التي تم التحقق منها بشكل تشفيري متاحة لأجهزة التوجيه الحدودية. العلاقة بين جهاز التوجيه الحدودي – إنها علاقة ثقة مطلقة لأن القرب والأمان بين جهاز التوجيه الحدودي والمدقق أمر جيد. لا يُنصح باستخدام مدققات لأجهزة التوجيه الخاصة بك نظرًا لوجود مدققات عامة، لكنها لرؤية كيف يبدو المدقق وما إلى ذلك. ليست لك لتوصيلها بجهاز توجيه حدودي.”Gianina Pensky، رئيسة خدمات التسجيل، ردت فيندوة LACNIC عبر الإنترنت – أمن الشبكات مع RPKI.

إذن، تمثل RPKI مجالًا مهمًا للتطوير لأمن توجيه الإنترنت. من خلال تسخير قوة التشفير، توفر RPKI حلاً موحدًا وقابلاً للتوسع للتحديات المستمرة التي تسببها ثغرات BGP. بينما نستمر في التعامل مع بيئة رقمية معقدة، فإن اعتماد RPKI هو خطوة حاسمة نحو بناء بنية تحتية للإنترنت أكثر أمانًا ومرونة وموثوقية.

الإجابة الصحيحة هي ج.