Кратко

  • В OpenBSD 8.0, выпущенной 20 октября, указано, что rpki-client теперь корректно применяет ограничения центра доверия к сертификатам маршрутизаторов BGPsec.
  • Локальная проверка сужает набор ресурсов, принимаемых одним валидатором. Публикацию объектов центром доверия и решения других валидаторов она не контролирует.

В ограждении появилась ещё одна калитка

На странице OpenBSD 8.0 изменение сформулировано одной строкой: ограничения в rpki-client(8) теперь правильно применяются к сертификатам маршрутизаторов BGPsec. Та же запись есть в подробном списке изменений. Релиз вышел 20 октября.

Разница между наличием функции и её реальным охватом часто скрывается в типе сертификата. Сертификат маршрутизатора BGPsec связывает ключ с применением BGPsec и интернет-ресурсами. Запись OpenBSD подтверждает, что rpki-client теперь корректно проверяет ограничения для этого класса сертификатов. В заметке не названы затронутые старые версии и не описан инцидент; опубликованный факт — исправление кода.

Изменение связано с проектом SIDROPS при IETF — «Constraining RPKI Trust Anchors». Версия -02 предлагает каждому участнику, который проверяет RPKI (RP), локально определить, какие ресурсы он ожидает от центра доверия (TA). RP сопоставляет IP-адреса и номера AS в сертификате конечного объекта со своим набором разрешённых ресурсов. Сертификат за пределами набора приводит к отклонению подписанного объекта этим RP.

«Все ресурсы» — очень широкое полномочие

В проекте сказано, что все пять региональных интернет-регистратур (RIR) при обычной работе указывают в сертификатах TA все ресурсы как подчинённые. Такая ширина помогает избежать ошибок проверки при временных несоответствиях данных, особенно во время передачи ресурсов между регистрами. Для RP область подписывающих полномочий может оказаться шире текущих владений регистра.

Файл .constraints добавляет у RP отдельную точку решения. Каждый файл относится к TA с одноимённым .tal. Оператор может разрешить префиксы, диапазоны адресов и номера AS, а затем вырезать исключения записями deny. Запрет имеет приоритет; ресурсы без записи allow отклоняются по умолчанию. Чтобы исключить один диапазон, не приходится вручную перечислять весь Интернет.

Ошибка формата отключает весь файл целиком. Проект требует, чтобы RP отверг некорректный файл и не проверял по нему сертификаты конечных объектов. Пока файл не исправлен, локальный слой ограничений для этой TA не действует. Значит, разбор синтаксиса, доставка пакета и ответственность за обновление относятся к мерам безопасности.

Проверка применяется к объектам, в профиле которых IP- или AS-ресурсы явно перечислены в расширениях RFC 3779: ROA, ASPA, RSC и сертификатам маршрутизаторов BGPsec. Подписанные TAL и манифесты приведены как примеры вне области проверки, поскольку используют наследуемые ресурсы. Локальное правило сужает результат проверки одного RP; дальнейший выбор маршрута зависит от источника данных и собственной политики маршрутизатора.

Код появился раньше финального стандарта

Актуальная версия -02 остаётся действующим Internet-Draft. Datatracker указывает состояние SIDROPS: “Waiting for Write-Up Revised I-D Needed – Issue raised by WGLC”. В проекте сказано, что перед публикацией RFC приложение о реализации будет удалено.

При этом механизм уже работает в программном обеспечении. В приложении говорится, что C-реализация rpki-client включает его по умолчанию с 2023 года; там же перечислены реализации на Rust (panda-rpki) и Go. Авторы сообщают, что все три дали одинаковые результаты на наборах OpenBSD fixtures. IETF отдельно отмечает, что не проверяла сведения о реализациях, представленные участниками. Это свидетельство заявленных реализаций и общего набора проверок, а не независимый аудит совместимости. В руководстве OpenBSD описаны отдельные .constraints для каждой TA и локальные правила allow/deny.

Исправление в 8.0 показывает, как давно существующая функция может иначе обрабатывать один класс сертификатов. Публичная запись не сообщает старые затронутые версии и точный участок кода; эти детали позволили бы оценить исторический охват. Уже подтверждено, что OpenBSD исправила применение ограничений к сертификатам BGPsec. Тестировать следует каждый класс объектов, а не только наличие настройки.

Маленький файл может обновляться полгода

Проект советует тем, кто распространяет ограничения вместе с операционной системой или сторонним пакетом, закладывать задержку до шести месяцев, прежде чем пользователи обновятся. Набор ресурсов и правила передачи меняются. Локальный список должен следовать границе, которую обещает поддерживать. Устаревшая запись allow может заблокировать уже легитимный ресурс; отсутствующее правило может пропустить больше, чем рассчитывал оператор.

Стратегия NRO на 2026–2028 годы относит подготовку документа Trust Anchor Constraints к планам работы с RPKI. Программа NRO по RPKI ещё в целях 2025 года предусматривала консультацию сообщества о конфигурации центров доверия. Документирование правил и изменение кода идут рядом. OpenBSD 8.0 — свежий пример изменений в валидаторе.

Оператору сети стоит проверить вполне конкретные вещи: отражает ли файл задуманный диапазон, связан ли он с правильным TAL, приходит ли новая версия с пакетом, читается ли она без ошибки и проверяется ли каждый используемый тип сертификата. Строка OpenBSD превратила последний пункт в обязательную проверку.

Источники