A Internet depende de um sistema global de roteamento que permite que redes, centros de dados, plataformas em nuvem, provedores de serviços de Internet e empresas troquem tráfego. Um dos protocolos mais importantes neste sistema é o Border Gateway Protocol, conhecido como BGP. O BGP permite que redes independentes anunciem quais intervalos de endereços IP elas podem alcançar. Sem o BGP, a Internet moderna não seria capaz de conectar milhões de redes em diferentes países e provedores. No entanto, o BGP foi originalmente projetado para trocar informações de roteamento com base principalmente na confiança. Quando uma rede anuncia um prefixo de IP, outras redes podem aceitar o anúncio sem ter um método criptográfico forte para confirmar se essa rede está realmente autorizada a usar o prefixo. Isso cria um problema de segurança. Um anúncio de rota incorreto ou malicioso pode redirecionar o tráfego, interromper serviços ou expor dados a caminhos indesejados.
O RPKI foi desenvolvido para melhorar a segurança do roteamento na Internet. O nome significa Infraestrutura de Chaves Públicas de Recursos. Ele fornece uma maneira de conectar recursos numéricos da Internet, como prefixos IPv4 e IPv6, com o Número do Sistema Autônomo autorizado a originá-los. Os operadores de rede podem então usar essas informações para determinar se um anúncio BGP está consistente com a autorização registrada.
Para empresas que operam a sua própria ASN, gerem recursos de IP, utilizam múltiplos fornecedores upstream ou planeiam anunciar espaço IPv4 ou IPv6, compreender o RPKI está a tornar-se cada vez mais importante. O RPKI não substitui o BGP e não resolve todos os problemas de roteamento. Em vez disso, fornece uma camada adicional de verificação que ajuda as redes a tomar decisões de roteamento mais seguras.
O que é RPKI?
O RPKI é um quadro de segurança que utiliza certificados digitais e registos criptográficos para verificar a relação entre um prefixo de endereços IP e um ASN de origem. Um prefixo IP é um bloco de endereços, como um IPv4 /24 or an IPv6 /48. Um ASN identifica uma rede independente que participa do roteamento BGP.
A ideia básica é simples. Uma organização autorizada a utilizar um prefixo IP publica uma declaração assinada que identifica qual o ASN permitido para originar esse prefixo no BGP. As redes que recebem anúncios BGP podem comparar o anúncio com as informações publicadas. Se o anúncio corresponder, pode ser tratado como autorizado. Se entrar em conflito com as informações, o anúncio pode ser considerado suspeito ou inválido.
Os registos utilizados para expressar esta autorização são comumente chamados de Autorizações de Origem de Rota, ou ROAs. Um ROA identifica um prefixo IP, um ASN de origem autorizado e, quando aplicável, o comprimento máximo do prefixo que o ASN está autorizado a anunciar. Embora os ROAs sejam uma parte importante do RPKI, este artigo foca-se no propósito mais amplo do RPKI e em como ele melhora a segurança do roteamento.
O RPKI é geralmente operado através dos Registos Regionais de Internet, incluindo o RIPE NCC, ARIN, APNIC, LACNIC e AFRINIC. Dependendo da região e do tipo de recurso, o detentor do recurso ou a organização patrocinadora pode criar e gerir os registos de autorização relevantes através dos sistemas do registo.
Porque o BGP precisa do RPKI?
O BGP foi criado numa altura em que a Internet era mais pequena e o número de redes participantes era limitado. O seu objetivo principal era trocar informações de alcançabilidade entre sistemas autónomos. O BGP pode selecionar caminhos com base em políticas, comprimento do caminho, preferência local e outros atributos, mas o protocolo em si não verifica automaticamente se um ASN está autorizado a originar um determinado prefixo IP.
Isto significa que um erro de configuração pode, por vezes, assemelhar-se a um anúncio malicioso. Se uma rede anunciar acidentalmente um prefixo pertencente a outra organização, outras redes podem inicialmente aceitar a rota. O resultado pode ser tráfego direcionado para o destino errado, perda de conectividade ou roteamento instável.
Um exemplo bem conhecido é um vazamento de rota ou sequestro de prefixo. Num sequestro, uma ASN anuncia um prefixo que não controla ou que não deveria originar. O anúncio pode ser mais específico do que a rota legítima, ou pode atingir redes suficientes para afetar o tráfego. Mesmo quando o incidente é acidental, o impacto operacional pode ser significativo.
O RPKI ajuda ao fornecer aos operadores de rede uma fonte externa de informação de autorização. Em vez de depender apenas do conteúdo de um anúncio BGP, um router ou sistema de segurança de roteamento pode verificar se o ASN de origem foi autorizado pelo detentor do espaço de endereços. Isto não previne todos os incidentes de roteamento, mas torna mais fácil identificar e filtrar uma classe importante de erros de roteamento.
Como Funciona o RPKI?
O RPKI funciona através de uma cadeia de confiança. Os recursos numéricos da Internet são geridos por Registos Internéticos Regionais, e esses registos fornecem a base para os certificados digitais relevantes. O detentor de um recurso IP pode criar um registo de autorização que indique qual o ASN que pode originar o prefixo.
Os registos assinados são recolhidos em repositórios que podem ser acedidos por software de segurança de roteamento. Um operador de rede executa um validador RPKI ou utiliza um serviço que realiza a validação em seu nome. O validador descarrega os registos disponíveis, verifica as suas assinaturas, confirma se estão atualizados e produz um conjunto de dados validado.
O conjunto de dados validado é então conectado à infraestrutura de roteamento da rede. Quando uma rota BGP é recebida, o router ou o sistema de políticas de roteamento compara o prefixo anunciado e o ASN de origem com as informações RPKI validadas. O resultado é normalmente classificado como Válido, Inválido ou Não Encontrado.
Este processo ocorre separadamente da própria sessão BGP. O BGP continua a trocar informações de roteamento, enquanto o RPKI fornece dados adicionais de autorização que podem ser utilizados na política de roteamento. Uma rede pode decidir como lidar com cada resultado de validação. Por exemplo, pode rejeitar rotas Inválidas, atribuir-lhes uma preferência mais baixa ou gerar alertas para análise adicional.
O processo foi concebido para ser distribuído e escalável. Redes de grandes dimensões podem validar milhares de prefixos sem que seja necessário que cada organização estabeleça uma relação direta com todas as outras redes. Isto é importante porque a Internet inclui um número enorme de operadores independentes, com políticas e ambientes técnicos diferentes.
O que é uma Autorização de Origem de Rota?
Uma Autorização de Origem de Rota é um registo assinado que indica qual o ASN autorizado a originar um prefixo IP específico. É uma das partes mais visíveis e práticas da implementação do RPKI.
Por exemplo, uma organização pode controlar o prefixo IPv4 192.0.2.0/24 e utilize ASN AS64500 para o anunciar. A organização pode criar uma autorização que permita AS64500 originar 192.0.2.0/24. Se outra ASN anunciar posteriormente o mesmo prefixo, as redes que realizam validação RPKI podem detetar que a origem não corresponde à autorização.
A autorização também pode especificar um comprimento máximo de prefixo. Isto é importante porque uma rede pode querer permitir que o ASN de origem anuncie exatamente o prefixo agregado, mas não prefixos mais específicos e menores. Um comprimento máximo cuidadosamente selecionado pode reduzir o risco de um anúncio inesperado ser tratado como autorizado.
A configuração ROA requer atenção, pois um registo incorreto pode fazer com que uma rota legítima seja considerada inválida. Se uma organização alterar o seu fornecedor de trânsito, mover um prefixo para uma ASN diferente, dividir um anúncio em prefixos mais específicos ou transferir recursos para outro detentor, os registos de autorização podem precisar de ser atualizados. Um registo desatualizado pode causar uma interrupção mesmo quando a configuração BGP está correta.
Um artigo futuro pode explicar como criar um ROA, como escolher um comprimento máximo e como atualizar autorizações durante uma migração de ASN ou recursos IP.
O que significam Válido, Inválido e Não Encontrado?
Um resultado válido significa que um anúncio BGP está coberto por uma autorização RPKI aplicável e que o ASN de origem está autorizado a anunciar o prefixo. Geralmente, indica que o prefixo anunciado, o comprimento do prefixo e o ASN de origem estão em conformidade com a autorização publicada.
Um resultado inválido significa que existe uma autorização, mas o anúncio BGP não está em conformidade com ela. Isto pode acontecer porque o ASN de origem não está autorizado, porque o anúncio é mais específico do que o comprimento máximo permitido ou porque o prefixo se sobrepõe a uma autorização para uma origem diferente. As rotas inválidas merecem atenção imediata, pois podem representar um sequestro, uma configuração acidental ou uma migração incompleta.
Um resultado Not Found significa que não foi encontrada nenhuma autorização aplicável para o anúncio. Isso não significa automaticamente que a rota é maliciosa ou incorreta. Significa apenas que o RPKI não consegue confirmar a origem utilizando os registos atualmente publicados. Muitas rotas legítimas permanecem como Not Found porque o detentor dos recursos não criou uma autorização.
A distinção entre Inválido e Não Encontrado é importante. Inválido indica um conflito com os dados de autorização existentes, enquanto Não Encontrado indica a ausência de dados de autorização. Os operadores de rede costumam tratar as rotas Inválidas com mais seriedade, mas a sua política de roteamento exata depende da sua tolerância ao risco, dos requisitos do serviço e dos procedimentos operacionais.
Why RPKI Matters for IPv4 Networks
O espaço de endereços IPv4 é limitado, e muitos prefixos IPv4 estão agora em uso em arranjos complexos que envolvem fornecedores, centros de dados, plataformas de cloud, empresas de arrendamento e transações de transferência. Estes arranjos tornam a precisão do roteamento especialmente importante.
Quando um prefixo IPv4 é transferido ou movido entre organizações, a origem BGP também pode mudar. Se a autorização do antigo proprietário permanecer ativa enquanto o novo proprietário anuncia o prefixo a partir de uma ASN diferente, a rota pode tornar-se Inválida no RPKI. Esta é uma das razões pelas quais o planeamento do RPKI deve ser incluído nos trabalhos de transferência e migração de IPv4.
Antes de aceitar ou anunciar um prefixo IPv4, uma organização deve confirmar qual entidade controla o recurso, qual ASN se espera que o origine e se os registos de autorização relevantes refletem o plano de roteamento previsto. O registo do registo público, os anúncios BGP e as informações RPKI devem ser analisados em conjunto. O RPKI é particularmente útil quando uma empresa utiliza vários fornecedores de trânsito. Uma autorização de origem consistente pode ajudar a proteger o prefixo, independentemente do fornecedor upstream que transporte a rota. No entanto, a organização ainda precisa de garantir que todos os fornecedores estão a utilizar o ASN e o comprimento do prefixo corretos.
As empresas que avaliam um bloco IPv4 também podem utilizar ferramentas públicas para rever os dados de registo atuais, informações sobre a ASN de origem, o estado RPKI e a visibilidade BGP. Estas verificações não substituem a diligência devida contratual ou a avaliação de reputação, mas podem revelar inconsistências óbvias no roteamento antes de uma transação ou implementação.
Why RPKI Matters for IPv6 Networks
As redes IPv6 beneficiam dos mesmos princípios de validação de origem que as redes IPv4. Os prefixos IPv6 são anunciados através do BGP, e uma origem incorreta pode criar riscos semelhantes, incluindo interrupção de tráfego, vazamento de rotas e anúncios não autorizados.
Os despliegues de IPv6 implican a miúdo bloques de enderezos máis grandes e plans de enderezado máis estruturados. Unha organización pode recibir unha asignación ampla e anunciar un agregado, mentres usa subredes internas máis pequenas para sitios, centros de datos ou servizos. A autorización RPKI debe coincidir cos prefixos que están realmente destinados ao enrutamento público.
Um erro comum é assumir que o roteamento IPv6 é automaticamente mais seguro porque o IPv6 tem um espaço de endereços muito maior. O tamanho do espaço de endereços não elimina a necessidade de verificar a origem da rota. Se um prefixo IPv6 for anunciado por uma ASN incorreta e não existir autorização, outras redes podem ter capacidade limitada para distinguir o anúncio de uma rota legítima. As organizações que implementam IPv6 devem incluir o RPKI no seu projeto inicial de roteamento, em vez de esperar até que a rede esteja totalmente operacional. Isso facilita a coordenação do plano de endereços, uso de ASN, provedores upstream e registos de autorização antes que o tráfego de produção dependa do anúncio.
Quais são os principais benefícios do RPKI?
O principal benefício do RPKI é que ele fornece um método amplamente reconhecido para validar a origem de uma rota BGP. Isso dá aos operadores de rede uma base mais sólida para filtrar e monitorar anúncios do que apenas as informações do BGP.
O RPKI pode reduzir o risco de aceitar rotas que são claramente inconsistentes com a autorização declarada pelo detentor dos recursos. Também pode ajudar a identificar erros operacionais durante migrações de rede, alterações de provedores, mudanças no patrocínio do ASN e transferências de recursos IPv4 ou IPv6.
Para os titulares de recursos IP, o RPKI demonstra que a organização está a gerir ativamente a segurança do roteamento do seu espaço de endereços. Isto pode melhorar a coordenação com os fornecedores de trânsito e reduzir a confusão quando múltiplas partes estão envolvidas no anúncio do mesmo prefixo.
Para os operadores de trânsito e empresas de alojamento, a validação RPKI pode tornar-se parte de um programa mais abrangente de segurança de roteamento. Os provedores podem utilizar os resultados da validização em conjunto com filtros de prefixos, dados do IRR, monitorização BGP e políticas internas de roteamento. Nenhuma fonte de dados é perfeita, mas combinar vários sinais proporciona uma melhor visibilidade operacional.
O RPKI também melhora a resposta a incidentes. Quando surge um anúncio BGP inesperado, a equipa de rede pode verificar rapidamente se a origem está autorizada. Isto ajuda a distinguir um possível hijacking de uma alteração de roteamento legítima, mas não documentada.
O que o RPKI Não Pode Fazer
O RPKI é valioso, mas não substitui completamente a segurança de roteamento. Ele valida a relação entre um prefixo e um ASN de origem. Não prova que cada salto no caminho BGP seja confiável, nem garante que o tráfego seguirá a rota física mais eficiente ou segura.
O RPKI não encripta o tráfego das aplicações. Não protege sessões web, consultas DNS, correio eletrónico ou dados privados contra interceptação. As tecnologias de encriptação, como TLS, VPNs e protocolos de aplicação seguros, continuam a ser necessárias para esses fins.
O RPKI também não impede automaticamente todos os vazamentos de rotas. Uma rota pode ser originada pelo ASN correto, mas ainda assim ser propagada para locais onde não deveria aparecer. A validação de origem pode classificar tal rota como Válida porque a origem é autorizada, mesmo que o caminho mais amplo esteja operacionalmente incorreto.
O RPKI não comprova, por si só, a propriedade legal. Os registos do registo, os contratos, os documentos de transferência e a autorização organizacional continuam a ser importantes. Um resultado Válido indica que a rota corresponde a uma autorização publicada; não confirma que todos os requisitos comerciais ou legais tenham sido satisfeitos.
Finalmente, o RPKI só funciona eficazmente quando os registos são mantidos. Uma organização que cria autorizações e depois se esquece de as atualizar após uma mudança de fornecedor ou ASN pode causar a sua própria interrupção de roteamento.
Como uma empresa pode começar a usar RPKI?
O primeiro passo é criar um inventário de todos os prefixos IPv4 e IPv6 que a organização possui, arrenda, patrocina ou espera anunciar. Para cada prefixo, registe o ASN de origem pretendido, os fornecedores de anúncio, o comprimento do prefixo e se o prefixo está atualmente visível no BGP.
O próximo passo é confirmar os registos e os registros de recursos. A organização deve verificar se o espaço de endereços está associado à conta correta, organização, LIR patrocinador ou detentor de recursos. Se os dados públicos de registo estiverem desatualizados, devem ser corrigidos antes de criar novas autorizações de roteamento. Após a confirmação do inventário de recursos, a organização pode criar os registros de autorização apropriados através do seu Registro Internet Regional ou provedor patrocinador. O ASN de origem e o comprimento máximo do prefixo devem refletir o plano de roteamento real. Se vários ASNs forem utilizados legitimamente, o design deve ser documentado cuidadosamente em vez de adicionar autorizações amplas sem uma razão clara.
A organização deve, em seguida, validar os registos utilizando um validador RPKI ou um serviço de monitorização estabelecido. É importante confirmar que os anúncios pretendidos retornam um resultado Válido antes de aplicar políticas de filtragem rigorosas ao tráfego dos clientes ou da produção.
O processo de implementação deve ser tratado como um processo operacional, e não como uma tarefa de configuração única. As alterações nos fornecedores upstream, no patrocínio do ASN, na agregação de prefixos, nas localizações dos data centers e nos acordos de transferência de IPv4 podem afetar todos os registos RPKI. A monitorização e a gestão de alterações devem fazer parte do fluxo normal de trabalho da rede.
Erros Comuns na Implementação do RPKI
Um erro comum é criar uma autorização para a ASN de origem errada. Isto acontece frequentemente durante uma migração de fornecedor, quando a ASN antiga permanece no registo enquanto a rede começa a anunciar a partir de uma nova ASN.
Outro erro é definir incorretamente o comprimento máximo do prefixo. Se uma organização autorizar apenas um agregado, mas anunciar uma rota mais específica, o anúncio mais específico pode tornar-se Inválido. Se o comprimento máximo for definido de forma demasiado ampla, a autorização pode permitir anúncios que a organização não pretendia permitir.
Os registos desatualizados também constituem um problema significativo. Uma autorização que estava correta há vários anos pode já não corresponder ao desenho atual da rede da organização. As revisões regulares são especialmente importantes após uma transferência de IPv4, fusão, alteração do LIR patrocinador ou renomeação de ASN.
Algumas organizações também assumem que um resultado de Não Encontrado significa que uma rota deve ser rejeitada. Na maioria dos casos, Não Encontrado significa que não existe nenhuma autorização. Deve ser tratado de acordo com a política da rede e o modelo de risco, em vez de ser tratado como automaticamente malicioso.
RPKI, IRR e Monitorização BGP
O RPKI é uma parte de uma abordagem mais ampla de segurança de roteamento. As bases de dados IRR contêm objetos de política de roteamento que podem ser utilizados por operadores de rede para gerar filtros. Estes objetos podem descrever qual ASN se espera que origine um prefixo, mas utilizam um modelo de confiança e validação diferente do RPKI.
A monitorização BGP mostra o que está realmente a ser anunciado e onde o anúncio é visível. Pode revelar alterações de rotas, origens inesperadas, mudanças de caminho e períodos de instabilidade. O RPKI indica se a origem está autorizada, mas não fornece o histórico operacional completo de uma rota.
Por esta razão, o RPKI, o IRR e a monitorização do BGP são frequentemente utilizados em conjunto. Uma revisão robusta da roteamento pode comparar o registo no registry, o ASN esperado, o objeto IRR, a autorização RPKI e as observações do BGP em tempo real. Quando estas fontes concordam, a posição de roteamento torna-se mais fácil de compreender. Quando discordam, a divergência deve ser investigada antes de uma migração ou transferência ser concluída.
Como deve ser mantido o RPKI?
A manutenção do RPKI deve estar ligada à gestão de alterações da rede. Quando uma organização planeia alterar o seu ASN de origem, o fornecedor upstream, o comprimento do prefixo ou a localização do anúncio, deve rever o efeito esperado nos registos de autorização antes de efetuar a alteração.
A monitorização deve alertar a equipa de rede quando um prefixo esperado se tornar Inválido, quando uma autorização for removida ou quando surgir uma origem anteriormente não vista. Os alertas são mais úteis quando incluem o prefixo afetado, o ASN da origem, o estado de validação atual e a hora da alteração.
As organizações devem também documentar quem é responsável pela gestão do RPKI. Em algumas empresas, a equipa de engenharia de rede gere os registos. Noutras, o LIR patrocinador, o prestador de serviços geridos ou a equipa de segurança trata deles. Uma propriedade clara ajuda a evitar atrasos durante incidentes e migrações de provedores.
Uma revisão periódica pode ser agendada mensalmente, trimestralmente ou sempre que ocorrer uma alteração significativa no roteamento. A frequência adequada depende do tamanho e da complexidade da rede. O ponto importante é que o RPKI deve ser tratado como uma parte viva do sistema de roteamento.
Perguntas Frequentes sobre RPKI
O RPKI é obrigatório para usar o BGP?
Não. Uma rede pode utilizar o BGP sem publicar registos de autorização RPKI. No entanto, o RPKI é cada vez mais recomendado porque oferece às outras redes uma forma de validar a origem das rotas anunciadas pela organização.
O RPKI impede um sequestro de BGP?
O RPKI não impede fisicamente que outra rede envie um anúncio BGP não autorizado. Permite que as redes receptoras identifiquem anúncios que não correspondam às autorizações publicadas. As redes podem então rejeitar, desfavorecer ou monitorizar essas rotas de acordo com as suas políticas.
O RPKI é apenas para IPv4?
No. RPKI supports both IPv4 and IPv6 prefixes. The same basic origin validation concept applies to both address families.
Um resultado de RPKI "Not Found" é perigoso?
Não necessariamente. Not Found significa que não foi encontrada nenhuma autorização aplicável. Isso não prova que a rota esteja errada. No entanto, os detentores de recursos devem considerar publicar autorizações precisas para que outras redes possam validar seus anúncios.
O RPKI pode substituir um objeto de rota IRR?
Não. O RPKI e o IRR têm propósitos diferentes e são frequentemente utilizados em conjunto. Alguns fornecedores utilizam ambos os sistemas ao criar filtros de roteamento e ao rever anúncios.
O que acontece se um registo RPKI estiver errado?
Um registo incorreto pode fazer com que um anúncio BGP legítimo seja classificado como Inválido. A organização deve rever o ASN de origem, o comprimento do prefixo e o comprimento máximo, e atualizar a autorização antes de aplicar o filtro estrito de rotas.
RPKI is an important improvement to the security of Internet routing. It gives IP resource holders a way to publish cryptographic authorization for the ASNs that are allowed to originate their IPv4 and IPv6 prefixes. It also gives network operators a practical method for checking whether BGP announcements match that authorization.
O conceito é simples: o detentor de um prefixo IP publica a origem pretendida, e outras redes validam o anúncio com base nessa informação. O resultado pode ajudar a identificar rotas autorizadas, rotas em conflito e rotas para as quais não foi publicada qualquer autorização. O RPKI não substitui uma engenharia de rede cuidadosa, a gestão dos registos, os registos IRR, a monitorização BGP ou a diligência devida contratual. Também não garante que todas as rotas sejam seguras ou que todos os incidentes de roteamento sejam evitados. O seu valor reside em adicionar um sinal de autorização fiável ao processo de roteamento.
Para organizações que gerem um ASN, espaço IPv4, espaço IPv6 ou múltiplos fornecedores upstream, o RPKI deve ser incluído no desenho normal de roteamento. Antes de anunciar um prefixo, alterar de fornecedor, concluir uma transferência de IPv4 ou implementar uma nova rede IPv6, reveja os dados do registo, o ASN de origem, os registos de autorização e o estado BGP em tempo real em conjunto. Esse processo simples pode evitar erros evitáveis e melhorar a fiabilidade geral da conectividade à Internet.