Validasi Origin RPKI Memeriksa Otorisasi Prefix dan Origin

Sebuah pengumuman BGP dapat menyebut origin AS tanpa membuktikan bahwa pemegang ruang alamat yang diumumkan memberi otorisasi kepada AS tersebut untuk mengoriginkan rute. Resource Public Key Infrastructure, atau RPKI, menyediakan objek routing bertanda tangan yang diproses relying party menjadi data otorisasi tervalidasi. Validasi origin BGP membandingkan data itu dengan rute yang dilihat router.

Pemeriksaannya sengaja sempit. Mekanisme ini mengevaluasi prefix rute dan origin AS terhadap record tervalidasi. Mekanisme tersebut tidak mengautentikasi setiap AS di AS_PATH, membuktikan bahwa path yang terlihat sah, atau menentukan apakah kebijakan ekspor telah dipatuhi.

ROA menyatakan otorisasi origin

RFC 9582 menetapkan profil Route Origin Authorization saat ini. ROA adalah objek RPKI bertanda tangan digital yang dipakai pemegang blok alamat IP untuk memberi otorisasi kepada sebuah AS agar dapat mengoriginkan rute bagi satu atau beberapa prefix di dalam blok tersebut.

Setelah validasi kriptografis dan resource selesai, sistem routing lazimnya menggunakan representasi turunan bernama Validated ROA Payload, atau VRP. Field yang relevan bagi validasi origin dapat digambarkan sebagai:

VRP = {
  prefix,
  maxLength,
  originAS
}

prefix menunjukkan blok alamat yang diotorisasi. originAS menunjukkan origin yang diotorisasi. maxLength membatasi panjang prefix rute yang lebih spesifik dan masih tercakup oleh otorisasi tersebut.

Field terakhir itu sensitif bagi keamanan. Otorisasi untuk 203.0.113.0/24 dengan panjang maksimum /24 tidak mengotorisasi /25. Panjang maksimum /25 dapat mengizinkan rute /24 dan /25 yang tercakup VRP, dengan syarat origin AS juga cocok.

Validasi membedakan cakupan dari kecocokan

RFC 6811 menetapkan klasifikasi inti berdasarkan apakah sebuah VRP mencakup rute dan apakah VRP yang mencakup tersebut juga cocok dengan batas origin dan panjang prefix.

Ringkasnya:

tidak ada VRP yang mencakup
    -> NotFound

VRP mencakup + sedikitnya satu cocok
    -> Valid

VRP mencakup + tidak ada yang cocok
    -> Invalid

Sebuah rute tercakup ketika prefix-nya berada di dalam prefix VRP dengan panjang prefix yang sama atau lebih panjang. Kecocokan juga mensyaratkan panjang prefix rute tidak melampaui panjang maksimum VRP dan ASN origin rute sama dengan ASN VRP.

Beberapa VRP dapat mencakup rute yang sama. Satu VRP yang cocok sudah cukup untuk status Valid, walaupun VRP lain yang mencakup tidak cocok. Invalid berlaku ketika cakupan ada tetapi tidak satu pun VRP yang mencakup menghasilkan kecocokan.

NotFound berbeda dari Invalid

Perbedaan antara NotFound dan Invalid penting secara operasional. NotFound berarti data validasi yang tersedia bagi router tidak memiliki VRP yang mencakup prefix rute. Status itu tidak menyatakan bahwa rute tersebut diotorisasi atau tidak diotorisasi.

Invalid membawa sinyal berbeda. Sedikitnya satu VRP mencakup prefix rute, tetapi tidak ada yang mengotorisasi kombinasi panjang prefix dan origin AS yang terlihat. Ketidakcocokan dapat berasal dari ASN origin, prefix yang terlalu spesifik, atau keduanya.

Status tersebut menjadi input bagi kebijakan routing lokal. RFC 6811 mengharuskan implementasi menyediakan status validasi bagi fungsi kebijakan rute dan tidak mewajibkan penolakan otomatis hanya karena rute berstatus Invalid. Operator menentukan kebijakan akhirnya, termasuk apakah suatu status memengaruhi penerimaan atau preferensi rute.

Data otorisasi berubah seiring waktu

RPKI merupakan sistem terdistribusi. Repository, perangkat lunak relying party, cache, dan router tidak melakukan refresh pada saat yang sama. RFC 6811 mencatat bahwa cache yang berbeda dapat sementara memiliki tampilan berbeda karena waktu pengambilan dan pembaruan tidak sama.

Karena itu, router perlu mengevaluasi ulang rute yang terdampak ketika data prefix-ke-AS tervalidasi berubah. VRP yang baru tersedia dapat mengubah rute NotFound menjadi Valid atau Invalid; penghapusan atau penggantian data otorisasi dapat kembali mengubah klasifikasinya.

Sifat temporal ini penting saat perubahan operasional dilakukan. Publikasi atau perubahan ROA dan perubahan pengumuman BGP adalah tindakan terpisah yang propagasinya tidak instan. Kebijakan routing yang menolak rute Invalid membuat koordinasi perubahan tersebut sangat berpengaruh terhadap reachability.

Validasi ekspor memakai origin efektif

Validasi origin tidak terbatas pada rute yang diterima. RFC 8893 menetapkan validasi origin RPKI untuk ekspor BGP dan menyoroti bahwa pemrosesan ekspor dapat mengubah origin AS yang terlihat pada rute.

Operasi seperti penghapusan private AS atau penanganan confederation dapat mengubah origin efektif pada rute yang akan dikirim. Validasi egress karena itu perlu mengklasifikasikan rute setelah transformasi outbound yang relevan, memakai origin efektif yang akan diterima neighbor dan bukan bentuk internal sebelumnya.

Batas ini cukup halus: validasi terhadap representasi inbound tidak otomatis memvalidasi representasi outbound yang sudah dimodifikasi.

Validasi origin tidak memvalidasi path

Status Valid menyatakan satu hal yang terbatas: data otorisasi tervalidasi mengizinkan kombinasi prefix rute dan origin AS yang terlihat. Status itu tidak mensertifikasi urutan AS perantara.

Penyerang atau salah konfigurasi dapat mempertahankan origin yang diotorisasi sambil memperkenalkan path yang keliru. Route leak juga dapat mempertahankan origin yang sah sambil melanggar hubungan propagasi yang dimaksud. Kasus tersebut berada di luar properti yang diperiksa validasi origin.

Mekanisme keamanan routing lain menangani permukaan berbeda. BGP Roles dan atribut OTC menargetkan kebijakan propagasi route leak. Mekanisme validasi path membuat klaim yang berbeda lagi. Menyamakan validasi origin dengan validasi path akan memperluas jaminannya melampaui data yang benar-benar diperiksa.

Ketersediaan bergantung pada data dan kebijakan

Validasi RPKI menambahkan pipeline data tepercaya ke keputusan routing: objek bertanda tangan diambil, divalidasi secara kriptografis, diubah menjadi payload yang dapat digunakan, disampaikan ke sistem routing, lalu diterapkan melalui kebijakan. Kegagalan atau state usang pada tahap mana pun dapat memengaruhi klasifikasi.

Hal itu tidak membuat validasi origin tidak efektif; hal tersebut menetapkan batas operasionalnya. Keputusan router didasarkan pada data tervalidasi yang tersedia saat itu serta kebijakan yang dikonfigurasi bagi setiap status.

Klaim keamanannya tetap presisi. Validasi origin RPKI dapat mendeteksi rute BGP yang prefix dan origin AS-nya bertentangan dengan data otorisasi tervalidasi yang tersedia. Mekanisme ini tidak dapat menetapkan bahwa seluruh path antardomain autentik, patuh kebijakan, atau bebas manipulasi.