Tudo o que você precisa saber sobre a Infraestrutura de Chave Pública de Recursos (RPKI)

Tudo o que você precisa saber sobre a Infraestrutura de Chave Pública de Recursos (RPKI) é perfilado pela BTW Media porque evidências publicadas a vinculam à infraestrutura da internet, governança, dependências operacionais ou visibilidade de mercado.

• Segurança da informação é um tema sempre atual, e oBorder Gateway Protocol (BGP)tem enfrentado exposição a vulnerabilidades por muito tempo. Vale a pena entender sobre um novo framework de criptografia, a Infraestrutura de Chave Pública de Recursos, ou RPKI.
• Operadores de rede empregam mecanismos baseados em confiança, como protocolos ponto a ponto e filtragem manual de rotas, para reduzir o risco de sequestro de BGP e, embora eficazes até certo ponto, essas soluções são limitadas.
• Ao aproveitar o poder da criptografia, a RPKI fornece uma solução padronizada e escalável para os desafios contínuos impostos pelas vulnerabilidades do BGP.

NOSSA OPINIÃO:
A RPKI representa um salto monumental na segurança do roteamento da Internet, utilizando criptografia para fornecer uma solução padronizada e escalável aos desafios persistentes impostos pelas vulnerabilidades do BGP.
–Fei Wang, Repórter da BTW

Por que precisamos da RPKI?

Quando se trata de segurança da informação em redes, você pode ter ouvido falar do Border Gateway Protocol (BGP), mas, como espinha dorsal do roteamento da Internet, o BGP há muito enfrenta exposição a vulnerabilidades, deixando-o aberto a manipulação e sequestro. A Infraestrutura de Chave Pública de Recursos (RPKI) é um framework de criptografia projetado para fortalecer o BGP e proteger as rotas da Internet contra atores maliciosos.

Leia também:O que é o Protocolo de Informações de Roteamento (RIP)?

O BGP subjacente é o protocolo que conecta a espinha dorsal da Internet e ajuda os roteadores a determinar o caminho mais eficiente para os pacotes viajarem pela Internet. Ele troca informações de roteamento entre redes (sistemas autônomos), semelhante à forma como o GPS se comunica com satélites e outros dispositivos GPS para fornecer direções de navegação precisas. Os roteadores anunciam suas rotas disponíveis para roteadores vizinhos por meio de mensagens BGP. Essas mensagens contêm informações sobre prefixos IP alcançáveis e o caminho para alcançá-los.

Em seguida, os roteadores vizinhos usam essas informações para atualizar sua tabela de roteamento e determinar o caminho ideal de encaminhamento para o endereço IP de destino.

Leia também:Segurança, anonimato e estabilidade: por que os servidores proxy são uma ferramenta de internet cada vez mais popular

Mas um cenário que não podemos ignorar é se uma entidade maliciosa se infiltrar na rede de um provedor de serviços de Internet e anunciar fraudulentamente o roteamento incorreto de prefixos IP. De repente, o tráfego legítimo é desviado para destinos indesejados, causando caos e comprometendo a confidencialidade, integridade e disponibilidade dos serviços online. Esse fenômeno insidioso, às vezes chamado de sequestro de BGP, destaca a necessidade urgente de medidas de segurança robustas para proteger o roteamento da Internet.

Aqui está um exemplo: Em fevereiro de 2008, para cumprir uma ordem governamental, a Pakistan Telecomanunciou erroneamente uma rota BGP para redirecionar o tráfego do YouTube para seus próprios servidores. Infelizmente, o provedor upstream que recebeu a rota a aceitou sem verificação e depois passou a informação adiante, espalhando assim a rota errada pela Internet até que quase todos que usavam a Internet acreditavam que o Facebook havia movido seus servidores para a rede paquistanesa. O erro não apenas paralisou o YouTube, mas também deixou o Provedor de Serviços de Internet (ISP) do Paquistão em uma situação difícil, que logo recebeu milhões de solicitações de usuários do YouTube.

Como o BGP não garante a autenticidade dos anúncios de roteamento, ataques deliberados de hackers e configuração incorreta de parâmetros de rede podem levar ao sequestro de rotas.

Como a próxima infraestrutura de segurança da Internet implantada pela ICANN após o DNSSEC, a RPKI constrói um sistema de autorização de autenticação de recursos de endereço IP sob a perspectiva do gerenciamento de recursos de endereço IP para verificar se o anúncio de roteamento de um prefixo de endereço IP específico é legítimo, e fornece uma fonte confiável de informações para a implementação de um esquema de segurança de roteamento entre zonas (como S-BGP e BGPsec).

Ma Di, China Internet Network Information Center

Soluções existentes: IRR, BGPsec, RPKI

Operadores de rede empregam mecanismos baseados em confiança, como protocolos ponto a ponto e filtragem manual de rotas, para reduzir o risco de sequestro de BGP e, embora eficazes até certo ponto, essas soluções são inerentemente limitadas e dependem de supervisão humana e cooperação para manter a integridade das rotas. Uma dessas soluções elásticas é filtrar usando as informações disponíveis noInternet Routing Registry (IRR). O IRR é um banco de dados público de informações de roteamento fornecido pelos Registros Regionais de Internet (RIRs) e fornecedores terceirizados. No entanto, essa solução tem algumas limitações, porque terceiros no jogo não conseguem manter os dados sistematicamente.

O Border Gateway Protocol Security (BGPsec)é outra solução avançada que é uma extensão segura do BGP conforme definido na RFC 8205. No BGPsec, o atributo AS_PATH é substituído pelo novo atributo BGPsec_Path, que fornece uma maneira de validar criptograficamente rotas recebidas de peers.

Soluções avançadas dependem da Infraestrutura de Chave Pública de Recursos (RPKI) para autenticação criptográfica de informações de roteamento.

Quiz rápido

Qual não é uma solução existente para a crise do BPG?

A. BGPsec

B. RPKI

C. AS

D. IRR

A resposta está no final deste artigo.

O que é RPKI

Você pode pensar na RPKI como um sistema de controle de passaporte e visto para o tráfego da Internet. As informações de roteamento são como o destino ou país da Internet. Assim como precisamos de um passaporte e visto válidos para entrar legalmente em um determinado país, os roteadores da Internet precisam de um certificado de criptografia válido e uma Autorização de Origem de Rota (ROA) emitida pela RPKI para anunciar e verificar prefixos IP. O certificado criptográfico atua como passaporte para verificar a identidade do detentor do endereço IP, enquanto a ROA atua como visto para autorizar a origem legítima do prefixo IP.

Sem o “passaporte” correto (certificado criptografado) e o “visto” (ROA), os roteadores da Internet não podem anunciar rotas (prefixos IP) para destinos específicos com segurança, prevenindo assim tráfego não autorizado e garantindo que os pacotes cheguem ao seu destino pretendido de forma segura e eficiente. Com a RPKI habilitada, operadores de rede e roteadores atuam como agentes vigilantes de controle de fronteira, verificando a legitimidade dos avisos de roteamento antes de armazená-los e disseminá-los, prevenindo assim que tráfego não autorizado entre ou saia de um “país” (prefixo IP) específico na Internet.

Leia também: O que é o RIPENCC?

Como a RPKI funciona para o Registro Regional de Internet APNIC

O sistema de emissão de certificados da RPKI corresponde à arquitetura de alocação de recursos numéricos da Internet, conforme mostrado na figura acima. O sistema de emissão de certificados autoriza recursos emitindo certificados de recursos de cima para baixo. O conteúdo do certificado inclui a relação de vinculação entre o prefixo do endereço IP/número AS e a instituição receptora, indicando que o detentor do recurso foi legalmente autorizado a usar esta parte dos recursos numéricos.

A RPKI opera em um modelo hierárquico, no qual os Registros Regionais de Internet (RIRs) servem como autoridades de nível superior responsáveis pelo gerenciamento dos recursos numéricos da Internet. Esses recursos incluem blocos de endereços IP e Números de Sistemas Autônomos (ASNs), que são componentes essenciais do roteamento da Internet. Os RIRs emitem certificados criptográficos para os detentores de recursos, vinculando suas alocações de endereços IP a chaves criptográficas. Esses certificados são então usados para gerar Autorizações de Origem de Rota (ROAs), que especificam as origens legítimas dos prefixos de endereços IP.

Por que a RPKI é importante?

A adoção da RPKI trouxe muitos benefícios para o ecossistema da Internet. A RPKI fornece um mecanismo para verificar a autenticidade dos anúncios de rota, o que pode prevenir o sequestro de BGP e o vazamento de rotas, e melhorar a segurança e estabilidade das rotas da Internet. Além disso, a RPKI dá aos operadores de rede controle sobre suas políticas de roteamento, garantindo que o tráfego flua pelo caminho pretendido e minimizando o risco de má configuração ou atividade maliciosa.

Benefícios da RPK
A. Muito mais seguro do que verificar manualmente o banco de dados Whois ou o banco de dados IRR.
B. A origem segura do prefixo ou origin-as é o primeiro passo para prevenir muitos ataques à integridade do BGP.
C. Instrução/informação do custodiante do recurso pode ser verificada criptograficamente (por exemplo, assinatura de Carta de Autoridade).

P: Como um roteador de borda da Internet pode sincronizar com um servidor para validação de roteadores RPKI?

Existem servidores públicos para consultá-lo?

“O que acontece com o repositório, existe um software que é um intermediário entre a LACNIC e os roteadores. Esse é o validador RPKI, foi um no projeto porto desenvolvido com o México, e assim disponibiliza as informações validadas criptograficamente para os roteadores de borda. A relação entre o roteador de borda – é de extrema confiança porque a proximidade e a segurança entre um roteador de borda e um validador devem ser boas. Não é recomendado usar validadores para seus roteadores, pois existem validadores públicos, mas é para ver como o validador se parece etc. Não é para você conectá-lo a um roteador de borda.”Gianina Pensky, Head of Registration Services, respondeu nowebinar da LACNIC – Segurança de Rede com RPKI.

Portanto, a RPKI representa uma importante área de desenvolvimento para a segurança do roteamento da Internet. Ao aproveitar o poder da criptografia, a RPKI fornece uma solução padronizada e escalável para os desafios contínuos impostos pelas vulnerabilidades do BGP. À medida que continuamos a lidar com um ambiente digital complexo, a adoção da RPKI é um passo crítico para construir uma infraestrutura de Internet mais segura, resiliente e confiável.

A resposta correta é C.