Network Security on Nalar

BGP Roles dan OTC Membatasi Propagasi Route Leak

Wed, 23 Sep 2026 00:00:00 +0000

Sebuah rute BGP dapat memiliki origin yang valid tetapi tetap bergerak melampaui cakupan yang dimaksudkan oleh network yang menukarkannya. Perbedaan ini penting karena otorisasi origin dan kontrol route leak memeriksa properti yang berbeda. RFC 7908 mendefinisikan route leak sebagai propagasi routing announcement melampaui cakupan yang dimaksudkan, umumnya bertentangan dengan kebijakan yang terkait hubungan customer, provider, atau peer.

RFC 9234 menambahkan mekanisme protokol untuk konteks hubungan tersebut. BGP Roles menyatakan hubungan pada sesi eBGP, sedangkan atribut Only to Customer, disingkat OTC, menandai rute yang propagasi berikutnya dibatasi. Mekanisme ini menargetkan kebijakan propagasi rute; mekanisme tersebut tidak mengubah BGP menjadi protokol path yang diautentikasi secara kriptografis.

DNS Cookies Membatasi Amplifikasi dan Pemalsuan DNS Off-Path

Wed, 23 Sep 2026 00:00:00 +0000

UDP membuat DNS efisien, tetapi source address dapat dipalsukan oleh pengirim off-path. Query kecil yang membawa alamat korban dapat memicu response yang lebih besar menuju korban tersebut, sehingga terbentuk reflection dan amplification. Response palsu juga relevan bagi resolver karena penyerang dapat mencoba menyisipkan jawaban sebelum response yang sah tiba.

DNS Cookies menambahkan token transaksi ringan pada batas ini. RFC 7873 menetapkan option COOKIE pada EDNS, sedangkan RFC 9018 memperbarui konstruksi sisi server agar implementasi dapat saling beroperasi, termasuk pada deployment anycast multi-vendor. Cakupan mekanisme ini sengaja terbatas: mekanisme tersebut menaikkan biaya pemalsuan off-path, tetapi bukan enkripsi, autentikasi data DNS, atau perlindungan dari adversary yang dapat mengamati traffic pada jalur.

NSEC3 Opt-Out Menukar Cakupan Bukti demi Skala Delegasi

Wed, 23 Sep 2026 00:00:00 +0000

DNSSEC memerlukan jawaban kriptografis bukan hanya saat data tersedia, tetapi juga saat nama atau record yang diminta tidak ada. NSEC3 menyediakan negative proof tersebut melalui rantai hashed owner name. Pada zona yang didominasi delegasi menuju child zone tanpa tanda tangan, merepresentasikan setiap delegasi tidak aman di dalam rantai dapat menambah pekerjaan pemeliharaan secara signifikan.

NSEC3 Opt-Out mengubah kompromi tersebut. Sebuah Opt-Out span dapat mencakup delegasi tidak aman tanpa memberikan NSEC3 record tersendiri kepada setiap delegasi. Hasilnya dapat mengurangi pembaruan NSEC3 chain pada zona besar yang sarat delegasi, tetapi nama yang dihilangkan tidak lagi memperoleh pernyataan terautentikasi yang sama mengenai keberadaan atau ketidakberadaannya.

Validasi Origin RPKI Memeriksa Otoritas Prefix BGP

Wed, 23 Sep 2026 00:00:00 +0000

BGP mengumumkan reachability, tetapi sebuah route advertisement tidak membuktikan bahwa Autonomous System yang menjadi origin memiliki otorisasi untuk mengumumkan prefix tersebut. Resource Public Key Infrastructure, atau RPKI, menambahkan data otorisasi resource bertanda tangan yang dapat diubah menjadi record untuk validasi origin pada router.

Pemeriksaan ini sengaja memiliki cakupan sempit. Prefix dan origin AS pada rute dibandingkan dengan validated ROA payloads, yang umum disebut VRP. Hasilnya dapat digunakan oleh kebijakan routing, tetapi tidak mengautentikasi setiap AS di dalam AS_PATH dan tidak mengubah BGP menjadi protokol validasi path.