تسريب مسارات Safe Host 2019: تصفية الأقران ومساءلة عبر الحدود

الملخص

حدود الحدث المجمّدة:يغطي هذا المقال تسريب المسارات من Safe Host AS21217 إلى China Telecom AS4134 الذي رُصد في 6 يونيو 2019، وأدلة الانتشار والتعافي الفورية. ولا يدمج الحدث مع تسريب Verizon وDQE وCloudflare المنفصل في 24 يونيو 2019 أو مع جدالات توجيه أخرى تتعلق بـ China Telecom.
الأعداد تتطلب إسنادًا:تصف الحسابات العامة أكثر من 70,000 مسار في بعض القياسات، وأكثر من 40,000 مسار IPv4 في إعادة بناء أخرى. وتعتمد الأرقام على المُجمِّع والفترة وعائلة العناوين وطريقة معالجة التكرارات وما يعتبره المحلل جزءًا من الحدث. ولا ينبغي تقديم أي عدد عام واحد كجدول عالمي شامل.
مسار مستوى التحكم ليس نتيجة مراقبة:يمكن لمُجمّعات المسارات وقياسات المسارات أن تُظهر أن AS4134 دخل في المسارات المرصودة وأن بعض الحركة اتبعت مسارات غير متوقعة من نقاط رصد محددة. لكنها لا تثبت وحدها الموقع الفعلي لكل حزمة أو فحص الحزم أو الوصول إلى البيانات أو النية الخبيثة.
المسؤولية تتبع التحكم التشغيلي:سيطرت Safe Host على ما صدّره AS21217. وسيطرت China Telecom على ما قبله AS4134 ونشره. وتحكمت شبكات العبور والوصول الأخرى في استيرادها وتفضيلها وتصديرها اللاحق ورصدها وقرارات تصعيدها. ولم يكن لدى المستخدمين النهائيين وسيلة عملية لتصحيح حالة المسارات.
يجب إبقاء عدم اليقين بشأن العلاقة ظاهرًا:لم يرسِّخ النقاش العام بين المشغّلين تصنيفًا تجاريًا واحدًا غير متنازع عليه لعلاقة Safe Host وChina Telecom. والفشل الملحوظ في المساءلة هو الانتشار خارج النطاق المقصود، وليس ادعاءً بأثر رجعي بأن كل بند تعاقدي خاص معروف.
أدلة السجلات ضرورية لكنها غير ذاتية التنفيذ:يمكن لسجلات ASN والعناوين وIRR وRPKI تحديد الموارد والمنشآت المتوقعة. لكنها لا تستطيع ترميز كل علاقة أو إجبار الموجّه على رفض مسار غير مقصود. السياسة الفعلية هي التي حددت أي الإعلانات أصبحت مسارات قابلة للوصول.
يعالج RPKI جزءًا فقط من المشكلة:يمكن للتحقق من منشأ المسار رفض منشأ متعارض عند وجود ROA صالح. لكن تسريب المسارات قد يحتفظ بمنشأ مصرح به بينما يعبر مزودًا أو نظيرًا أو علاقة عميل غير مقصودة. تبقى فلاتر العلاقات والتحقق من مخروط العميل وضوابط الحد الأقصى للبادئات والإعدادات الافتراضية الصريحة والمراقبة والتنسيق ضرورية.
التعافي يحتاج إثباتًا مستقلًا:تصحيح التكوين محليًا ليس سجل تعافٍ كاملًا. تُظهر المعالجة الخاضعة للمساءلة عمليات السحب والمسارات البديلة والتقارب من نقاط رصد متعددة والاستثناءات المتبقية والفلاتر المحدّثة وأجهزة الإنذار المختبرة وإعادة تشغيل تُثبت أن فئة الإعلان نفسها أصبحت مرفوضة أو محتواة.

جمّد الحدث قبل إسناد المسؤولية

تبدأ المساءلة في البنية التحتية بتثبيت حدود الحدث. في 6 يونيو 2019، أفاد مراقبون عامون للتوجيه بأن Safe Host، النظام المستقل 21217، أعلن مجموعة كبيرة جدًا من المسارات إلى China Telecom، النظام المستقل 4134، عبر ربط في فرانكفورت. قبلت China Telecom الإعلانات ونشرتها. وبالنسبة لبعض الوجهات ونقاط الرصد المرصودة، ظهر AS4134 بالتالي في مسارات لم تكن لتشمله عادة. وربطت تقارير معاصرة ولاحقة الحدثَ بتعطل أو تدهور في قابلية الوصول أثر على أجزاء من البنية التحتية الأوروبية للهاتف المحمول والخدمات. [1][2][3][4][5][6][7]

هذه الافتراضات قوية بما يكفي لدعم تحليل مساءلة التوجيه، لكنها لا تدعم كل ادعاء تداول حول الحادث.

لا يكشف السجل العام عن تكوين تصدير Safe Host الكامل، ولا تكوين استيراد China Telecom الكامل، ولا كل كائنات سياسة المسار، ولا كل الشروط الثنائية، ولا كل قرارات التفضيل المحلي، ولا كل سجلات التنبيه، ولا هوية كل شخص وافق على السياسة أو غيّرها. ولا يثبت نية خبيثة، ولا يُظهر أن كل الحركة الأوروبية تأثرت، ولا يثبت أن كل حزمة شمل مسار مستوى التحكم فيها AS4134 قد حُوِّلت فعليًا عبر الجغرافيا نفسها أو فُحصت أو احتُفظ بها أو عُدِّلت.

التاريخ مهم لأن يونيو 2019 شهد حوادث توجيه أخرى. تضمّن تسريب Verizon وDQE وCloudflare اللاحق شبكات وآليات وتأثيرات خدمية مختلفة. ودمج هذه الأحداث سيصنع قصة مثيرة لكنه يضعف سجل المساءلة. لا يستطيع مالك المعالجة إصلاح حادث تم خلط مجموعة مساراته وفترته الزمنية وحدود علاقته وضوابطه المسؤولة بحدث آخر.

السؤال المحدد إذن دقيق: كيف غادرت مجموعة استثنائية من المسارات AS21217، ولماذا قبل AS4134 تلك المسارات ونشرها، وكيف استجابت الشبكات الأخرى، وما الأدلة التي تُظهر تغيرات المسارات الناتجة، وما الأدلة التي ستثبت أن حالة المسارات سُحبت وقُيّدت ضد التكرار؟

يمنع هذا التأطير أيضًا أن يحل الاستدلال الجيوسياسي محل الأدلة الهندسية. يمكن أن يكون للتوجيه العابر للحدود آثار أمنية، وينبغي للمشغّلين التعامل مع المسارات الدولية غير المتوقعة بجدية. لكن المسار غير المتوقع هو أولًا حدث توجيه قابل للرصد. أما النية والوصول والتبعات القانونية فتتطلب أدلة إضافية. وينبغي أن يصبح تحليل المساءلة أكثر حرصًا، لا أقل، عندما يعبر المسار حدودًا حساسة سياسيًا.

خلاف عدد المسارات مشكلة أدلة، لا سبب لرفض الحدث

تقول الأوصاف العامة عادة إن AS21217 سرّب أكثر من 70,000 مسار وإن الحدث استمر أكثر من ساعتين. وتصف إعادة بناء أخرى للحادث أكثر من 40,000 مسار IPv4. [1][2][4][5] هذه الأرقام ليست متناقضة بالضرورة. فقد تعكس مُجمِّعات مختلفة وعائلات عناوين مختلفة ونوافذ زمنية مختلفة وعدّ التحديثات مقابل عدّ البادئات وإزالة تكرار المسارات وتعريفات مختلفة للإعلانات التي تنتمي إلى الحدث.

يسجل مُجمِّع BGP ما يصدّره أقرانه المشاركون إليه. فقد يستقبل مُجمِّع مسارًا غير طبيعي لا يراه آخر. وقد يصدّر النظير أفضل مسار مختار لديه فقط. وقد يعدّ المحلل بادئات فريدة أو تحديثات مسارات أو متغيرات مسارات أو مجموعات منشأ. وأول تحديث رُصد عند مُجمِّع ليس بالضرورة أول إعلان سيئ في أي مكان، وآخر سحب عند مُجمِّع ليس بالضرورة نهاية الحالة القديمة في كل شبكة.

لذلك يتطلب الإبلاغ الخاضع للمساءلة بروتوكول عدّ. وسيذكر تقرير حادث يمكن الدفاع عنه:

أي نقاط رصد من RouteViews أو RIPE RIS أو مشغّل أو قياس استُخدمت؛
الطوابع الزمنية الدقيقة للبداية والنهاية والمعيار الزمني؛
ما إذا كان IPv4 وIPv6 مشمولين معًا؛
ما إذا كان المقياس يعدّ بادئات فريدة أو تحديثات أو متغيرات مسارات أو منشآت؛
كيف عولجت الإعلانات المكررة واستبدالات المسارات؛
أي نمط لمسار AS عرّف المسار المتأثر؛
كيف طُوبقت عمليات السحب والمسارات الطبيعية اللاحقة مع المجموعة غير الطبيعية؛ و
أي أجزاء من الشبكة بقيت خارج الرصد.

من دون هذا البروتوكول، قد يصبح عدد المسارات مؤشر سلطة بدلًا من دليل. قد يجذب العدد الأكبر الانتباه، بينما يبدو العدد الأصغر أكثر تحفظًا. ولا يمكن الاعتماد على أي منهما ما لم يتمكن محلل آخر من إعادة إنتاج الطريقة.

عدم اليقين لا يجعل الحدث صغيرًا. كانت عشرات آلاف المسارات استثنائية مقارنة بأي مجموعة إعلانات محدودة معقولة لربط واحد. ولا ينبغي أن يحتاج ضابط الحد الأقصى للبادئات أو حجم المسارات إلى عدد نهائي متفق عليه تمامًا للحادث قبل اكتشاف أن المجموعة المستقبلة خارجة جذريًا عن التوقع.

هذا التمييز مهم تشغيليًا. يجب أن تستند العتبات إلى مجموعة المسارات المصرح بها والمتوقعة لعلاقة ما، مع هوامش نمو موثقة واستثناءات صريحة. ولا ينبغي أن تستند إلى افتراض أن الفشل التالي سيشبه الرقم النهائي في تقرير تاريخي. يجب أن يتفاعل الضابط عندما يغادر الواقع عقد العلاقة، لا فقط عندما يتجاوز عدد حادث مشهور.

تسريب المسارات فشل قابل للتنفيذ في سياسة العلاقات

يوزّع BGP قابلية الوصول بين أنظمة مستقلة تُشغَّل بشكل مستقل. يحمل البروتوكول الأساسي البادئات والمسارات والسمات وعمليات السحب. ولا يحتوي على حقيقة تجارية شاملة لكل جلسة. يعبّر المشغّلون عن علاقات العملاء والمزودين والأقران وخوادم المسارات والنسخ الاحتياطي والأغراض الخاصة عبر التكوين وتوليد السياسات والمجموعات والفلاتر والعملية التشغيلية.

المسار المتعلَّم في علاقة ليس مؤهلًا تلقائيًا للتصدير إلى كل علاقة أخرى. يعلن العميل عمومًا بادئاته الخاصة والمسارات المصرح له بتقديم خدمة لها. وقد يعلن المزود قابلية وصول واسعة إلى العميل. ويتبادل الأقران عمومًا قابلية الوصول الخاصة بهم وبعملائهم بدلًا من توفير عبور مجاني بين مزودين غير مرتبطين. يمكن أن تكون الاتفاقات الفعلية أكثر تعقيدًا، لكن وجود الاستثناءات يجعل السياسة الصريحة أكثر أهمية، لا أقل.

قدّم RFC 7908 لاحقًا تصنيفًا للمسارات المنشورة خارج النطاق المقصود. [14] وقيمة هذا التصنيف أنه يركز على الانتشار الملحوظ وسياسة العلاقات بدلًا من افتراض نية خبيثة. ولم يحسم نقاش المشغّلين حول حدث 2019 كل تصنيفات العلاقات أو نوع تسريب واحدًا غير متنازع عليه. [8][9] وينبغي أن يبقى عدم اليقين هذا في السجل.

السلوك الخارجي الأساسي ما زال مرئيًا. أعلن AS21217 مجموعة مسارات كان حجمها ونطاقها غير متسقين مع توقع ربط ضيق. وقبل AS4134 منها ما يكفي وصدّرها حتى انتشرت المسارات. ثم طبقت الشبكات الأخرى سياستها: بعضها قبل المسار، وبعضها ربما فضّله، وبعضها نشره، وبعضها رشّحه، وبعضها احتفظ ببدائل غير متأثرة.

تسمية هذا فشلًا موزعًا يجب ألا تجعله بلا مالك. سيطرت Safe Host على حدود التصدير عند AS21217. وسيطرت China Telecom على أول حدود استيراد وتصدير لاحق مرئية عند AS4134. وتحكم كل نظام مستقل لاحق فيما إذا دخل المسار قاعدة معلومات التوجيه لديه، وأصبح مسارًا مختارًا، ودخل جدول التوجيه، أو أُعلن إلى جار آخر. وتحكمت مُجمِّعات المسارات في جودة الأدلة المستقلة وحفظها. وتحكم مشغّلو الخدمات والوصول في المرونة والتواصل مع المستخدمين.

الواجبات ليست متطابقة. يتحمل المصدِّر الالتزام الأشد مباشرة بتقييد ما يغادر شبكته. ويملك المستورد المباشر فرصة احتواء قوية لأنه يعرف العلاقة الثنائية ويمكنه رفض الإعلانات التي لا تناسبها. وقد تملك الشبكات الأبعد معرفة أقل تحديدًا، لكنها ما زالت تتحكم في حدود الحد الأقصى للبادئات والتحقق من المنشأ والسياسة الواعية بالعلاقات ورصد الشذوذ والتصعيد.

عبارة «قبل BGP المسارات» غير مكتملة إذن. البرمجيات التي تشغّل سياسة مكوّنة هي التي قبلت المسارات. نقل البروتوكول الإعلانَ، أما القيود فحددها المشغّلون.

تبدأ مساءلة التصدير بعقد مسارات مصرح به

يجب أن يكون المصدِّر قادرًا على تحديد مجموعة المسارات التي يُسمح للجلسة بالإعلان عنها. يمكن بناء هذا العقد من جرد العملاء وكائنات سجلات التوجيه وبيانات RPKI وسجلات الخدمات الداخلية والتفويض المفوض والاستثناءات الصريحة. وأيًا كانت المصادر، تحتاج السياسة الناتجة إلى مالك ووقت توليد ونسخة ومسار مراجعة وطريقة لإثبات ما وصل إلى الموجّه.

بالنسبة إلى AS21217، سيميز سجل مساءلة ما بعد الحدث أربع مجموعات على الأقل:

المسارات التي كانت Safe Host مخولة بالإعلان عن منشئها؛
مسارات العملاء التي كانت Safe Host مخولة بتوفير العبور لها؛
المسارات العريضة المتعلَّمة من مزود أو نظير آخر؛
المسارات التي صدّرتها سياسة AS21217 إلى AS4134 فعليًا أثناء الحدث.

الفرق بين المجموعة المقصودة والمجموعة الفعلية هو النتيجة التقنية الأساسية، وهو أكثر فائدة من عبارة عامة بحدوث خطأ في التكوين.

يجب أن تفترض سياسة التصدير عدم الإعلان حتى تُرفق سياسة مقصودة. يرسّخ RFC 8212 القيمة التشغيلية لسياسات استيراد وتصدير eBGP الصريحة. [15] لا يحل وضع الرفض الافتراضي كل أخطاء التوليد أو الإرفاق، لكنه يلغي الافتراض الخطير بأن الجلسة الجديدة أو المصنفة خطأ يجب أن تتبادل كل شيء حتى يضيف أحدهم فلاتر.

يحتاج عقد المسارات أيضًا إلى اختبارات سلبية. يجب أن تثبت منظومة السياسات أنها ترفض:

جدول توجيه كاملًا يُستقبل من مصدر يُتوقع أن يعلن مجموعة محدودة؛
بادئة غير موجودة في جرد العملاء المصرح به؛
مسارًا يحتوي على تسلسل علاقات مستحيل أو غير مصرح به؛
مسارًا افتراضيًا غير متوقع؛
زيادة مفاجئة في عدد المسارات خارج نافذة نمو موثقة؛
مسارات قديمة تبقى بعد إزالة التخويل؛ و
استثناءً انتهت صلاحية موافقته.

مراجعة التكوين وحدها دليل ضعيف لأن المصدر المراجع قد يختلف عن التكوين المولَّد أو المرشح المنشور أو الحالة الفعلية. تسجل العملية الموثوقة بيانات المصدر والفلتر المولَّد وفرق الجهاز ونتيجة الإيداع ومجموعة المسارات المعلنة المرصودة ونتيجة المُجمِّع المستقل.

يجب أن يكون التحكم في التغيير مرحليًا. يمكن اختبار تحديث السياسة مقابل بيانات BGP مسجلة، وتطبيقه على جلسة كناري، ورصده بحثًا عن فرق مسارات غير متوقع، والتراجع عنه من دون انتشار واسع. ويجب أن تكون إعادة تشغيل تسريب المسارات جزءًا من اختبار المرونة، لا محفوظة للحوادث.

تشمل مساءلة التصدير أيضًا جاهزية السحب. يجب أن يعرف المشغّل كيف يوقف إعلانًا غير طبيعي بسرعة من دون استبدال حدث توجيه بانقطاع أوسع. ويتطلب ذلك سلطة مسماة وأوامر أو أتمتة مختبرة وجهات اتصال بالأقران ومعايير تحديث المسار وإعادة تعيين الجلسة ومراقبين خارجيين يُظهرون ما إذا كان التغيير قد انتشر.

مساءلة الاستيراد هي أول فرصة احتواء خارجي

تُوصف مسؤولية المستورد أحيانًا بأنها ثانوية لأنه لم ينشئ الإعلان السيئ. وهذا أضعف من اللازم لبنية تحتية بين النطاقات. يتحكم الجار المباشر في أول حدود خارجية، وغالبًا ما يمتلك معلومات لا تملكها الشبكات البعيدة: العلاقة الثنائية وحجم المسارات المتوقع والبادئات المصرح بها ومسارات AS المعروفة وتاريخ الاستثناءات وقناة الاتصال.

لذلك فإن AS4134 مهم بشكل مستقل عن AS21217. تدعم الأدلة العامة أن China Telecom قبلت مجموعة المسارات الاستثنائية ونشرتها. لا يكشف السجل كل فلتر أو قرار داخلي، لكن النتيجة المرصودة تُظهر أن ضوابط الاستيراد والتصدير اللاحق لم تحتوِ الحدث عند تلك الحدود.

يمكن للمستورد الواعي بالعلاقات الجمع بين عدة ضوابط.

أولًا، يمكن توليد فلاتر البادئات من سجلات العملاء والموارد المصرح بها. يجب أن تكون البيانات حديثة ومُرقّمة ومُصالحَة مع عقد الخدمة الفعلي. قد ترفض قائمة السماح القديمة نموًا مشروعًا، وقد تحوّل قائمة السماح الواسعة أكثر من اللازم الفلتر إلى مسرحية.

ثانيًا، يمكن لقيود مسار AS اختبار ما إذا كان الإعلان معقولًا للعلاقة. يجب ألا يعلن العميل عمومًا مسارًا يوحي بعبور بين مزودين غير مرتبطين. بيانات مخروط العميل غير كاملة، لذا تحتاج الاستثناءات وعدم اليقين إلى معالجة تشغيلية، لكن أدلة العلاقات غير الكاملة يمكن أن تدعم الكشف والمراجعة.

ثالثًا، يمكن لضوابط الحد الأقصى للبادئات وحجم المسارات كشف خروج جذري عن التوقع. يجب أن ينبه عتبة التحذير قناة مملوكة قبل الحد الصارم. ويجب توثيق الاستجابة الصارمة: رفض مسارات جديدة أو إغلاق الجلسة أو عزل المجموعة أو استدعاء إجراء محدود آخر. ويجب أن يكون سلوك الفشل المفتوح صريحًا لا عرضيًا.

رابعًا، تمنع سياسة الاستيراد الصريحة الجلسة من أن تصبح متساهلة لأن خريطة المسار غائبة أو مسماة خطأ أو مرفقة في الاتجاه الخاطئ.

خامسًا، يمكن للتحقق من المنشأ رفض منشأ غير صالح عندما يغطي ROA صالح البادئة. وهو يضيف دليلًا قويًا لكنه لا يثبت أن المسار مناسب.

سادسًا، يمكن لرصد الشذوذ مقارنة المسارات المستلمة والمقبولة مع خط أساس العلاقة والمُجمِّعات العالمية والتغييرات المعروفة. ويجب أن يتضمن التنبيه المسار المخالف وعدد المسارات والمجموعة المتوقعة ونسخة السياسة والأقران المتأثرين وإجراء احتواء آمنًا.

يتحكم المستورد أيضًا في التصدير اللاحق. حتى لو احتُفظ بمسار للتشخيص، لا يلزم نشره إلى العملاء والأقران والمزودين. وفصل ضوابط القبول والاختيار والتوجيه والإعلان يمكن أن يمنع فشلًا واحدًا من التحول إلى حدث موزع.

تفرض هذه الضوابط تكاليف تشغيلية. تحتاج الفلاتر إلى صيانة، وقد تسبب حدود الحد الأقصى للبادئات انقطاعات إذا ضُبطت بلا حرص، وقد تكون بيانات العلاقات غير كاملة، وقد تكون الاستثناءات الطارئة ضرورية. المساءلة لا تنكر هذه المقايضات، بل تتطلب من المشغّلين توثيقها واختبارها وإظهار سبب قبول التعرض الناتج.

يجب عدم الخلط بين أدلة مسار AS وإثبات يتعلق بكل حزمة

جذبت الطبيعة العابرة للحدود للحدث قلقًا مفهومًا. أظهرت التحليلات العامة ظهور AS4134 في مسارات وجهات مرتبطة بمشغلي وخدمات هواتف محمولة أوروبيين. ووصفت تقارير القياسات أيضًا حركة تتبع مسارات غير متوقعة من نقاط رصد محددة. [1][2][3][4][5][7]

يجب أن تبقى أربع طبقات أدلة مميزة.

الأولى هيانتشار مستوى التحكم. يُظهر تحديث BGP رصده RouteViews أو RIPE RIS أو مُجمِّع آخر أن مسارًا أُعلن إلى نظير ذلك المُجمِّع. وهو يدعم عبارات حول رؤية المسار في وقت ونقطة رصد.

والثانية هياختيار المسار. قد تستقبل الشبكة مسارات متعددة وتختار واحدًا وفق التفضيل المحلي وطول المسار والمجموعات والتحقق من المنشأ وسياسات أخرى. وغالبًا لا يرى المُجمِّع إلا المسار الذي يصدّره نظيره، لا كل مسار نُظر فيه.

والثالثة هيسلوك التوجيه. قد يدخل المسار المختار جدول التوجيه ويحمل حركة، لكن يلزم traceroute أو قياس نشط لاختبار المسار من مصدر محدد. وحتى ذلك الحين، يحد رسم خرائط IP إلى المواقع والقفزات المخفية وMPLS والتوجيه غير المتماثل وموازنة الحمل واختلافات مسار الاستجابة من الاستدلال.

والرابعة هيمعالجة الحزم والتبعات الأمنية. مسار التوجيه عبر نظام مستقل لا يثبت وحده فحص الحزم أو الوصول إلى المحتوى أو الاحتفاظ أو التعديل أو النية. فالتشفير وبروتوكولات التطبيقات وسلوك نقطة النهاية وعمليات الشبكة الداخلية كلها مهمة.

يحاذي سرد الحادث القوي هذه الطبقات حسب الطابع الزمني. يمكنه القول إن مسارًا بنمط AS معين أصبح مرئيًا، ثم رصدت قياسات نشطة من مواقع محددة تغيرًا في مسار التوجيه أو تدهورًا في الخدمة، ثم عاد السلوك إلى طبيعته بعد عمليات السحب. ويجب ألا يطوي تلك الملاحظات في عبارة شاملة عن كل الحركة.

هذا الانضباط مهم خصوصًا عندما يكون المسار حساسًا سياسيًا. قد تبرر الأدلة تحقيقًا أمنيًا وضوابط أكثر صرامة، لكنها لا تبرر استبدال الشك الجيوسياسي بإثبات على مستوى الحزم.

يجب أن يحفظ المشغّلون البيانات اللازمة لهذا التمييز: التحديثات الخام وقواعد معلومات التوجيه ونتائج looking-glass وtraceroute وملخصات التدفقات وقياسات فقد الحزم وصحة التطبيقات وسجلات مزامنة الوقت والطريقة المستخدمة لرسم قفزات الشبكة. ويجب أن يكون الحفظ كافيًا لإعادة بناء الفترة قبل الحدث وأثناءه وبعده.

مُجمِّعات المسارات بنية مساءلة ذات نقاط عمياء معروفة

يوفر RouteViews وRIPE RIS أدلة مستقلة لا غنى عنها للحوادث بين النطاقات. وتتيح أرشيفاتهما ليونيو 2019 ووثائق القياس إعادة البناء لاحقًا. [12][13] ويوفر RIPEstat أيضًا سطح أدلة لـ AS21217 وAS4134، رغم أنه يجب عدم إسقاط السجلات الحالية على الماضي دون تحفظ. [10][11]

المُجمِّعات ليست كليّة المعرفة. فهي تستقبل المسارات من أقران مختارين وفق سياسات تصدير هؤلاء الأقران. وقد لا ترى مسارًا محصورًا في جزء آخر من الطبولوجيا. وقد ترى أفضل مسار لكن لا البدائل. وتسجل طوابعها الزمنية وصول التحديث إلى المُجمِّع، لا السبب العالمي الأول. ويمكن لإعادة تعيين الجلسات والتحديثات المكررة وتخميد تقلب المسارات وتوافر المُجمِّع أن تؤثر في السجل.

يجب أن تستخدم إعادة البناء الخاضعة للمساءلة أكثر من مُجمِّع وتوثق اختلافاتها. ويجب أن تحفظ الملفات الخام أو مراجع أرشيف دقيقة أو كود التحليل أو الأوامر وقواعد التطبيع ومجموعات البيانات المشتقة. ويجب أن تسجل نظير المُجمِّع المستخدم لكل ادعاء.

يمكن لقياس المشغّل عن بعد سد بعض الفجوات. تُظهر لقطات المسارات المستلمة والمعلنة عند الجلسة المباشرة ما عبر حدود العلاقة. وتُظهر قواعد معلومات التوجيه المحلية الاختيار. وتُظهر جداول التوجيه والتدفقات المأخوذة بالعينات الاستخدام. وتربط سجلات التغيير ومستودعات السياسات الحالة المرصودة بالتكوين المنشور. وتضيف تقارير الأقران تأكيدًا مستقلًا.

يجب أن تحفظ الأدلة أيضًا النتائج السلبية. إذا لم يرَ مُجمِّع المسار، فهذا لا يثبت غياب المسار عالميًا، لكنه يمكن أن يقيّد الانتشار. وإذا بقيت خدمة قابلة للوصول من موقع، فهذا لا ينفي التأثير في مكان آخر، لكنه يمكن أن يكشف تنوع المسارات.

تستشهد تقارير الحوادث العامة غالبًا برسم بياني لمُجمِّع من دون شرح هذه الحدود. وهذا يخلق دقة زائفة ويجعل الخلافات حول الأرقام تبدو خلافات حول وقوع الحدث. التقرير الأفضل يعامل المُجمِّع شاهدًا محدودًا: قيّمًا وقابلًا لإعادة الإنتاج وغير كامل.

سجلات التسجيل دفاتر حسابات، لا إنفاذ على الموجّهات

يقع حدث Safe Host مباشرة على سطح التحكم في توجيه BGP وأدلة سجلات ASN وIP وعلاقات النظير أو العبور.

يمكن لسجل ASN تحديد AS21217 وAS4134. ويمكن لسجلات العناوين تحديد المخصصات والتنازلات. ويمكن لكائنات سجل توجيه الإنترنت نشر المنشآت والسياسات المقصودة. ويمكن لـ RPKI توفير تفويض منشأ موقّع. وتحسّن هذه السجلات التفرد والدقة وتاريخ النقل وبيانات الأمان الوصفية والتنسيق التشغيلي.

لكنها لا تحدد المسار الفعلي.

لا يعرف قيد السجل كل علاقة تجارية خاصة. ولا يجبر كائن IRR الموجّه على تحميل فلتر مولَّد. ويقول ROA أي منشأ مصرح به للبادئة والطول الأقصى؛ ولا يقول أي مزودين أو أقران يمكنهم حمل ذلك المسار. ولا يضمن جهة اتصال إساءة الاستخدام أو NOC وصول التنبيه إلى شخص يملك سلطة سحب المسارات.

لهذا يجب فهم شرعية السجل عبر جودة الدفتر لا عبر سيادة متخيلة على التوجيه. يوفر حافظ السجل أدلة يمكن للمشغّلين استخدامها. أما الأنظمة الفعلية والسياسات والروابط فتحدد قابلية الوصول.

أولوية الكود الفعلي تجعل الحوكمة قابلة للاختبار. يمكن لمجلس إدارة أن يطلب سجلات تفويض المسارات، لكن يجب أن يطلب أيضًا أدلة على أن تلك السجلات تُجلب وتُتحقق وتُحوَّل إلى سياسة وتُنشر وتُرصد. يمكن لمدقق فحص كائن مسار IRR، لكن عليه تتبع الكائن عبر مولّد السياسات إلى جهاز وحقن إعلان اختبار متعارض.

الدفتر نفسه يحتاج ضوابط. يجب أن تكون سجلات الموارد فريدة وحديثة ومصادقًا عليها وقابلة للنقل عبر عملية موثقة وقابلة للاسترداد أثناء تعطل تنظيمي أو بنيوي. يمكن للسجلات القديمة أو الملتبسة أن تجعل الترشيح الصارم محفوفًا بالمخاطر تشغيليًا. وقد ينشئ المشغّلون حينها استثناءات واسعة، يجب أن يكون لها ملاك وتواريخ انتهاء ورصد.

ترفض طبقة الواقع قصتين سهلتين. تقول إحداهما إن التوجيه اللامركزي يعني ألا أحد مسؤول. وتقول الأخرى إن سجلًا مركزيًا يمكنه أن يأمر المسارات بالصواب. النظام الفعلي شبكة من مشغّلين مستقلين يستخدمون أدلة مشتركة وسياسات ثنائية وكودًا فعليًا وتنسيقًا. وتتبع المساءلة النقاط التي يمكن عندها تغيير هذه العناصر والتحقق منها.

إزالة AS21217 أو AS4134 أو إعلانات BGP أو سياسات العلاقات أو مُجمِّعات المسارات أو أدلة السحب من هذا المقال تدمر الأطروحة. سطح التحكم في الشبكة ليس استعارة مضافة إلى حادث شركة عام، بل هو الحادث نفسه.

RPKI قيّم، لكن صلاحية المنشأ ليست تفويض مسار

كثيرًا ما يُقترح RPKI والتحقق من منشأ المسار بعد حوادث التوجيه. ويستحقان معالجة دقيقة.

يصف RFC 6811 كيف يمكن للموجّه تصنيف مسار مقابل بيانات ROA متحققة. [16] قد يكون المسار صالحًا أو غير صالح أو غير موجود حسب المنشأ المعلن والبادئة والطول الأقصى والسجلات المتاحة المتحقق منها. ويمكن لرفض المسارات غير الصالحة أو خفض تفضيلها منع بعض إساءات المنشأ والاختطافات.

يمكن لتسريب المسارات الحفاظ على المنشأ الشرعي. فقد تكون المشكلة أن مسارًا مصرحًا به صُدِّر عبر علاقة غير مقصودة ثم انتشر أكثر. ويبقى المنشأ صالحًا بينما تكون سياسة المسار خاطئة. ولا يرمّز التحقق من المنشأ وحده من هو عميل أو مزود أو نظير، ولا ما إذا كان يمكن تصدير مسار متعلَّم من علاقة إلى أخرى.

هذا القيد ليس حجة ضد RPKI، بل حجة لصالح ضوابط متعددة الطبقات.

يجب أن ينشر المشغّل التحقق من المنشأ مع سياسة موثقة، ويرصد المسارات غير الصالحة وغير الموجودة، ويحافظ على ROAs الخاصة به، وينسق الاستثناءات. ويجب أن يحافظ أيضًا على فلاتر البادئات والمسارات وسياسات استيراد وتصدير صريحة وأدلة مخروط العميل وضوابط الحد الأقصى للبادئات وكشف تسريب المسارات وتنسيق الأقران والرصد المستقل.

يمكن لـ RPKI أيضًا تقوية المساءلة بعد الحادث. فهو يساعد على تمييز تعارض المنشأ عن تسريب العلاقة ويوفر أدلة موقعة حول التخويل في نقطة زمنية. ويتطلب التحقق التاريخي حالة متحققة مؤرشفة؛ فاستخدام ROAs اليوم للحكم على مسار 2019 من دون تحفظ يمكن أن يكون مضللًا.

ينطبق الحذر نفسه على المعايير والممارسات اللاحقة. يوفر RFC 8212 وإجراءات MANRS وإرشادات NIST أطر ضبط مفيدة. [15][17][18] وينبغي استخدامها لتصميم المعالجة الحالية، لا لاختراع إثبات حول ما نشره كل مشغّل أو كان ملزمًا به تعاقديًا أثناء الحدث.

حدود الحد الأقصى للبادئات ضرورية وسهلة الإساءة

حجم المسارات الاستثنائي يجعل ضابط الحد الأقصى للبادئات سؤالًا واضحًا. لا ينبغي أن يتمكن جار مباشر يعلن عادة مجموعة محدودة من إرسال عشرات آلاف المسارات غير المتوقعة من دون إنذار أو احتواء.

ومع ذلك، حد الحد الأقصى للبادئات ليس رقمًا واحدًا منسوخًا من قائمة صناعية. يجب اشتقاقه من مجموعة المسارات المتوقعة للعلاقة والنمو المشروع وأنماط الصيانة وعائلات العناوين وتأثير الفشل. الحد المرتفع جدًا لا يحتوي الحدث، والحد المنخفض جدًا قد يغلق جلسة سليمة ويسبب انقطاعًا.

يفصل التصميم الناضج بين عتبات التحذير والإجراء. يجب أن يصل التحذير إلى قناة تشغيلية مملوكة مع السياق قبل الاستجابة الصارمة. وقد ترفض الاستجابة الصارمة المسارات الزائدة أو تحفظ آخر مجموعة مصرح بها معروفة أو تعزل الجلسة أو تغلقها. ويجب اختبار السلوك المختار.

تحتاج تغييرات العتبات إلى حوكمة. يجب أن يحدد الرفع الطارئ الطالب والدليل والموافق وتاريخ الانتهاء والرصد. وإلا فقد يتحول استثناء مؤقت إلى تعرض دائم.

الحجم أيضًا بُعد واحد فقط. يمكن لعدد صغير من البادئات ذات الأهمية الاستراتيجية أن يسبب تأثيرًا شديدًا. يجب أن تجمع الضوابط بين الحجم والتخويل وصلاحية المنشأ ومعقولية المسار ونطاق العلاقة وأهمية الوجهة ومعدل التغير.

يوضح حدث Safe Host لماذا يجب أن يعرف المستوردون عدد المسارات المتوقع قبل الحادث. إذا جُمع خط الأساس فقط بعد بدء التسريب، يصبح الاحتواء تفاوضًا تحت الضغط. مجموعة مصرح بها مجمّدة وعتبة مختبرة تحوّلان الحجم غير الطبيعي إلى إشارة فورية قابلة للتنفيذ.

ما زالت الشبكات الأخرى تتحكم في قبولها ونشرها

المصدِّر والمستورد المباشران محوريان، لكن المسار سافر عبر منظومة أوسع. ظهرت Cogent وشبكات أخرى في نقاشات وتقارير معاصرة، أحيانًا بطرق صُححت أو وُضحت لاحقًا. [3][5][6] الدرس ليس إسناد درجة لوم واحدة غير متمايزة، بل رسم كل جزء مسار مرصود إلى التحكم المتاح عند تلك الشبكة.

قد لا تعرف شبكة عبور أبعد التفاصيل الخاصة لعلاقة Safe Host وChina Telecom الأصلية. لكنها تستطيع أن تسأل ما إذا كان المسار معقولًا، وما إذا كان منشأ المسار مصرحًا به، وما إذا كان الحجم شاذًا، وما إذا كان المسار يتعارض مع بيانات مخروط العميل، وما إذا كانت الخلاصات المستقلة تفيد بوجود تسريب.

يتحكم مشغّلو الوصول والهاتف المحمول في تنوع المسارات ومرونة الخدمة. إذا اعتمدت الخدمات الحرجة على مسارات تشترك في تبعيات المنبع، فقد يؤثر تسريب واحد على علامات أو مناطق متعددة رغم التنوع التعاقدي الظاهري. لذلك يجب أن تكمل أدلة الطبولوجيا تعداد المزودين.

يمكن لمشغلي المحتوى والسحابة رصد بادئاتهم من نقاط رصد خارجية والحفاظ على جهات اتصال لتنبيهات المسارات والتنسيق مع مزودي المنبع. لا يمكنهم تكوين كل شبكة عبور مباشرة، لكن يمكنهم كشف المسارات غير المتوقعة وتقديم أدلة تسرّع الاحتواء.

لمشغلي نقاط تبادل الإنترنت وخوادم المسارات أدوار مختلفة حسب الطبولوجيا. وقد تشمل ضوابطهم سياسة المشاركين وترشيح خادم المسارات وإعدادات الحد الأقصى للبادئات وتنسيق الحوادث. ويجب أن تثبت الأدلة أنهم كانوا فعليًا على المسار ذي الصلة قبل إسناد الواجبات.

يجب أن يتجنب المنظمون والعملاء معاملة كل هذه الأطراف كأطراف قابلة للتبادل. الأسئلة الأكثر فعالية تتبع المسار:

ماذا استقبلت هذه الشبكة؟
ماذا قبلت؟
ماذا اختارت؟
ماذا وجّهت؟
ماذا أعلنت لاحقًا؟
أي سياسة وأي دليل حكم كل قرار؟
أي تنبيه انطلق ومن ملكه وما الإجراء الذي تبعه؟
كيف أثبتت الشبكة أن الحالة غير الطبيعية سُحبت؟

تجعل هذه الطريقة مسارًا بمسار المسؤولية الموزعة ملموسة من دون التظاهر بأن كل مشغّل كانت له الرؤية أو السلطة نفسها.

يجب تصميم المرونة العابرة للحدود، لا استنتاجها من أسماء المزودين

كشف الحدث أيضًا ضعفًا في التخطيط. غالبًا ما تعدّ المنظمات المزودين أو مراكز البيانات أو العقود وتفترض أن كل اسم يمثل مسار شبكة مستقلًا. يمكن لسياسة BGP أن تجعل خدمات مستقلة اسميًا تتقارب على عبور أو نقطة تبادل أو كابل أو نظام مستقل مشترك.

يجب أن يفحص تقييم المرونة المسارات الفعلية من مناطق المستخدمين ذات الصلة إلى البادئات الحرجة. ويجب أن يختبر الظروف الطبيعية وظروف الفشل، ويشمل IPv4 وIPv6، ويحدد الأنظمة المستقلة والمنشآت المشتركة. يمكن لتسريب المسارات تغيير تلك المسارات ديناميكيًا، لذا يكون الرصد الخارجي المستمر أو بالعينات أكثر فائدة من مخطط لمرة واحدة.

تحتاج القيود العابرة للحدود إلى معالجة صريحة. قد تكون للخدمة متطلبات حول زمن الاستجابة أو الاختصاص القضائي أو الوصول التشغيلي أو التعرض. ولا يمكن فرض هذه المتطلبات ببند تعاقدي وحده إذا كانت تغيرات التوجيه غير مرئية. يجب أن ينبه الرصد عندما يدخل المسار AS أو جغرافية غير متوقعة، لكن يجب أن يحافظ التنبيه على عدم اليقين في تحديد الموقع الجغرافي ويميز أدلة مستوى التحكم عن توجيه الحزم.

يظل التشفير أساسيًا لأن التحكم في المسار غير كامل. فهو يقلل عاقبة العبور غير المتوقع، لكنه لا يزيل مخاطر التوافر أو البيانات الوصفية أو تحليل الحركة أو نقاط النهاية. ضوابط التوجيه وضوابط التشفير تحل مشكلتين مختلفتين.

يجب أن تشمل تمارين الحوادث تسريب مسار يرسل المسارات عبر شبكة دولية غير متوقعة. ويجب أن يختبر التمرين الكشف الفني وتصعيد NOC وجهات اتصال المزودين وتواصل العملاء والتقييم القانوني وحفظ الأدلة. الهدف ليس تهويل المخاطر الجيوسياسية، بل جعل مسؤوليات الاستجابة قابلة للتنفيذ قبل وقوع حدث ملتبس.

سجل التعافي الموثوق يثبت السحب والعودة إلى الوضع الطبيعي

تشير التقارير العامة إلى أن التوجيه غير الطبيعي استمر أكثر من ساعتين في بعض الملاحظات قبل عودة المسارات إلى طبيعتها. [1][2][4][5][7] وكما في أعداد المسارات، تعتمد المدة الدقيقة على نقطة الرصد والتعريف. وقد لا يمثل آخر مسار غير طبيعي عند مراقب التقارب العالمي.

يجب أن يميز سجل التعافي الخاضع للمساءلة بين:

متى بدأ التصدير المسبب؛
متى رصده أول مراقب خارجي؛
متى وصل تنبيه إلى فريق مملوك؛
متى غيّرت Safe Host التصدير أو عطلته؛
متى توقف AS4134 عن قبول المسارات أو نشرها؛
متى رصد الجيران المباشرون عمليات السحب؛
متى عادت المُجمِّعات الرئيسية إلى المسارات المتوقعة؛
متى عاد التوجيه وصحة الخدمة إلى طبيعتهما؛ و
متى أُزيلت المسارات القديمة أو الاستثنائية المتبقية.

يجب أن يحدد السجل مصدر كل طابع زمني. قد تستخدم سجلات الموجّهات وتحديثات المُجمِّعات وأنظمة التذاكر وسجلات المحادثة والقياسات النشطة وصحة التطبيقات ساعات مختلفة. مزامنة الوقت والتطبيع جزء من الأدلة.

يجب أن يعمل إثبات السحب على طبقات متعددة. يمكن لموجّه محلي أن يُظهر أنه لم يعد يعلن المسار. ويمكن لجار مباشر أن يُظهر استلام سحب أو بديل. ويمكن لمُجمِّعات المسارات أن تُظهر اختفاء مسار AS غير الطبيعي من أقرانها. ويمكن للقياسات النشطة أن تُظهر عودة التوجيه إلى طبيعته. ويمكن لقياس الخدمة عن بعد أن يُظهر التعافي.

لا تثبت أي من هذه الملاحظات وحدها التقارب الشامل. فهي تشكل معًا سجلًا محدودًا قابلًا للتدقيق.

يجب أن يحدد التقرير أيضًا ما تغير بشكل دائم. وتشمل الأمثلة:

تصحيح دور الجلسة أو إرفاق خريطة المسار؛
فلتر بادئات مصرح بها مولَّد؛
قيد مخروط العميل أو المسار؛
عتبات تحذير وحد أقصى أقل للبادئات؛
سياسة رفض افتراضية صريحة؛
التحقق من RPKI وصيانة ROAs؛
تنبيه شذوذ مملوك؛
تحسين بيانات الاتصال والتصعيد؛
عملية نشر كناري أو مرحلية؛ و
اختبار إعادة تشغيل باستخدام نمط المسار التاريخي.

قول «أُضيفت فلاتر» لا يكفي. يجب أن تُظهر الأدلة مدخل الفلتر والمخرج المولَّد ونتيجة النشر والحالة الفعلية والاختبار السلبي ونتيجة الرصد.

يجب أن يبقى الخطر المتبقي ظاهرًا. قد تكون بيانات العلاقات غير كاملة، وقد يفلت تسريب منشأ صالح من التحقق من المنشأ، وقد توسّع الاستثناءات النطاق، وللمُجمِّعات نقاط عمياء، وقد يؤثر إغلاق الجلسة الصارم نفسه على التوافر. يجب أن يشرح سجل المعالجة كيف تُدار هذه المقايضات.

اختبار التكرار أهم من بيان سياسة

أقوى دليل على نجاح المعالجة هو إعادة تشغيل مضبوطة لفئة الفشل.

يجب أن تعيد بيئة الاختبار إنتاج جلسة بدور العلاقة ذي الصلة ومجموعة مسارات متوقعة مجمّدة. ثم يجب أن تُدخل:

مسارًا خارج مجموعة البادئات المصرح بها؛
إعلان جدول كامل أو عالي الحجم؛
مسار AS غير متوقع؛
مسار منشأ صالح منشورًا عبر علاقة غير مقصودة؛
استثناءً منتهي الصلاحية؛
مسارًا قديمًا بعد إزالة التخويل؛ و
فشل أحد مصادر بيانات السياسة.

يجب أن يُظهر المشغّل ما تفعله كل طبقة. يجب أن يرفض المصدِّر المجموعة غير الصالحة أو يكبتها. ويجب أن يحتوي المستورد ما يفلت. ويجب أن تنبه ضوابط الحد الأقصى للبادئات والشذوذ. ويجب أن يبقى التصدير اللاحق محدودًا. ويجب أن يتلقى مالك الاستجابة سياقًا كافيًا للتصرف. ويجب أن يعيد التراجع آخر حالة مصرح بها معروفة.

يجب أن تستخدم الاختبارات مسار توليد السياسات والنشر الفعلي. فلتر مختبري يختلف عن الإنتاج لا يثبت كثيرًا. ويجب أن تشمل النتائج نسخ البرمجيات والسياسات وهاشات التكوين والمسارات المتوقعة والفعلية والتوقيت وتسليم التنبيهات والقرارات البشرية والملاحظة المستقلة.

يجب أن يشمل الاختبار أيضًا فشل الضابط نفسه. ماذا يحدث إذا كانت خلاصة IRR قديمة أو مدقق RPKI غير متاح أو مترجم السياسات يخطئ أو مُجمِّع الرصد يفقد جلسة؟ يجب أن تكون خيارات الفشل المفتوح والفشل المغلق متعمدة ومربوطة بأهمية الخدمة.

لا يحتاج المسؤولون التنفيذيون إلى فحص كل مسار، لكن يجب أن يطالبوا بأدلة على أن الاختبار حدث، وفُسرت الاستثناءات، وأن للفشل ملاكًا، وأن الاختبار التالي مجدول. ويمكن للمدققين أخذ عينات من الأعمال الأساسية.

يحوّل هذا النهج أمن التوجيه من طموح إلى ادعاء تشغيلي قابل للدحض.

يجب أن تتبع أسئلة الحوكمة التحكم لا العناوين

يمكن لمجالس الإدارة والمنظمين والعملاء والمدققين طرح أسئلة فعالة من دون التظاهر بتشغيل جلسات BGP.

يجب أن تسأل مجالس الإدارة:

من الأشخاص والأنظمة التي يمكنها تغيير إعلانات المسارات العامة؟
كم جلسة خارجية تفتقر إلى دور علاقة صريح؟
ما نسبة جلسات العملاء التي تستخدم فلاتر بادئات مصرح بها حديثة؟
أي الجلسات لديها حدود تحذير وحد أقصى صارم للبادئات؟
كم استثناءً مفتوحًا ومن يملكها ومتى تنتهي؟
متى كانت آخر إعادة تشغيل لتسريب المسارات وما الذي فشل؟
ما سرعة إثبات المنظمة للسحب من نقاط رصد مستقلة؟

يجب أن يسأل مزودو العبور ما إذا كانت سجلات العملاء والأقران تطابق التكوين الفعلي، وما إذا كانت الفلاتر مولَّدة ومختبرة، وما إذا كان التحقق من المنشأ مطبقًا باستمرار، وما إذا كان التصدير اللاحق مقيدًا بشكل منفصل.

يجب أن يسأل مشغّلو مراكز البيانات والاستضافة ما إذا كانت مسؤوليات التوجيه واضحة بين المنشأة والشبكة والمستأجر والبائع ومزود العبور. عقد الاستضافة المادي لا يحدد تلقائيًا من يملك سياسة تصدير AS21217.

يجب أن يطلب عملاء المؤسسات والهاتف المحمول أدلة طبولوجيا ورصد مسارات خارجي وجهات اتصال للحوادث وإثبات حالة المسارات في تقارير ما بعد الحادث. ويجب أن يتجنبوا مساواة تنوع أسماء المزودين بتنوع المسارات.

يجب أن يتتبع المدققون عينة موارد من أدلة السجل عبر توليد السياسات إلى التكوين الفعلي واختبار مسار سلبي. لقطات شاشة لبوابة أو سياسة مكتوبة ليست دليل إنفاذ.

يجب أن يتجنب المنظمون فرض ضابط واحد كعلاج شامل. تحسّن ROAs أدلة المنشأ، لكنها لا ترمّز كل علاقة. وتحتوي حدود الحد الأقصى للبادئات الحجمَ لكنها قد تسبب انقطاعات إذا لم تُدار. ويجب أن تركز المتطلبات الفعالة على النتائج: النطاق المصرح به والاحتواء متعدد الطبقات والأدلة المحفوظة والتنسيق والتعافي المختبر.

يجب أن يرفض مراجعو الحوادث «خطأ بشري» كسبب جذري. فالعبارة لا تفسر لماذا استطاع إجراء واحد تصدير مجموعة مسارات ضخمة، ولماذا قبلها جار مباشر، ولماذا لم تحتوها الضمانات اللاحقة، ولماذا انطلقت التنبيهات أو لم تنطلق، ولماذا استغرق التعافي الوقت المرصود.

يجب أن يميز الإبلاغ العام بين الواقعة والاستنتاج والمجهول. ويجب أن يُسند أعداد المسارات والمدة ووصف العلاقات والخدمات المتأثرة وملاحظات التوجيه وتوقيت التعافي. ويجب أن يصحح الأخطاء من دون محو أثر الأدلة.

اختبار المساءلة هو انتشار محدود وتعافٍ قابل للتحقق

يبقى حدث Safe Host في 6 يونيو 2019 مفيدًا لأنه يجمع بين سياسة التوجيه التقنية والتبعات العابرة للحدود.

صدّر AS21217 مجموعة مسارات استثنائية. وقبل AS4134 منها ما يكفي ونشرها حتى غيّرت المسارات المرصودة وأثرت على قابلية الوصول لأجزاء من البنية التحتية الأوروبية للشبكات. واتخذت شبكات أخرى قراراتها الخاصة بالقبول والنشر. وحفظت المُجمِّعات العامة وأنظمة القياس جزءًا من السجل.

لا تبرر الأدلة نتيجة نية خبيثة أو عدد مسارات عالمي واحد أو تصنيف علاقة تجاري واحد غير متنازع عليه أو ادعاءً بأن كل حزمة فُحصت أو اتبعت المسار المادي نفسه. هذه الحدود جزء من سجل المساءلة.

تبقى المسؤولية ملموسة. سيطر المصدِّر على مجموعة المسارات. وسيطر المستورد المباشر على أول حدود احتواء. وسيطرت شبكات أخرى على الانتشار اللاحق والمرونة. وسيطر مشغّلو الرصد على الأدلة. وسيطر مشغّلو الخدمات على استجابة تأثير المستخدمين. وتحمل المستخدمون النهائيون العواقب من دون سلطة على حالة BGP.

مجموعة الضوابط الدائمة متعددة الطبقات: سياسات استيراد وتصدير صريحة وفلاتر بادئات ومسارات مصرح بها وأدلة علاقات وضوابط حد أقصى للبادئات والتحقق من المنشأ ورصد الشذوذ وتغييرات مرحلية وجهات اتصال تنسيق مسماة ورصد مسارات مستقل وسحب مُتحقق منه.

سجلات التسجيل وسياسات التوجيه دفاتر حسابات لا غنى عنها. فهي تحدد الموارد والمنشآت وجهات الاتصال، لكنها لا تفرض مسارًا. الكود الفعلي هو الذي يحدد قابلية الوصول.

لذلك يجب أن يكون المشغّل الموثوق قادرًا على إثبات أربعة أمور:

أنه يعرف المسارات التي يُخوَّل الجار بالإعلان عنها ويتوقعها؛
أن سياسته الفعلية ترفض أو تحتوي الإعلانات خارج ذلك النطاق؛
أن رصده يكشف تغيرات المسارات والحجم غير الطبيعية بسرعة كافية ليتمكن مالك من التصرف؛ و
أنه بعد الاحتواء تُظهر الأدلة المستقلة أن عمليات السحب انتشرت وعاد التوجيه المتوقع.

هذا هو اختبار تصفية الأقران والمساءلة العابرة للحدود الذي كشفه تسريب Safe Host. المعيار ليس المنع الكامل، بل الانتشار المحدود والتحكم المُسند والأدلة القابلة لإعادة الإنتاج والتعافي القابل للتحقق خارج الشبكة التي تقدم الادعاء.

تسريب مسارات Safe Host عام 2019 جعل تصفية الأقران اختبار مساءلة عابرًا للحدود

لماذا هذا مهم