A Internet depende de anúncios de roteamento BGP entre redes. Esses anúncios historicamente dependem de confiança, permitindo que erros ou sequestros redirecionem o tráfego globalmente. Em 24 de fevereiro de 2008, a Pakistan Telecom tentou bloquear o YouTube anunciando uma rota mais específica, que seu provedor upstream PCCW Global aceitou, redirecionando o tráfego do YouTube globalmente por cerca de duas horas. O RPKI (Resource Public Key Infrastructure) foi projetado para evitar isso, permitindo que os detentores de endereços IP publiquem registros assinados, Autorizações de Origem de Rota (ROAs), nomeando redes permitidas. Os operadores de rede comparam os anúncios com esses registros e podem rejeitar os inválidos.
A parcela de prefixos roteados que são válidos pelo RPKI subiu de 54,0% para 70,3% em um ano, um ganho de 16,4 pontos percentuais, ou um crescimento de 30%. Grande parte do salto veio da China, que passou de 3,7% para 83,0% de endereços IPv4 em rotas válidas, respondendo por quase 60% do ganho global. O RPKI cresceu mais no ano passado do que nos dois anos anteriores combinados. Os dados mostram que rotas inválidas dificilmente se propagam; rotas que falham nas verificações do RPKI são vistas por apenas dois pontos de observação, enquanto as válidas são vistas por 596. Quase metade de todas as rotas inválidas alcança apenas um ponto de observação.
A Espanha tem a maior parcela de prefixos IPv4 inválidos com 28,2%, mas ponderado pela visibilidade, isso cai para 0,057%. A Itália tem o maior número para países com pelo menos um milhão de endereços IPv4 com 0,121%, em grande parte devido ao WIND TRE (AS1267) anunciando 34 rotas que seus próprios ROAs não permitem.
O RPKI está fazendo o que foi projetado para fazer. À medida que mais redes o adotam, rotas inválidas estão sendo descartadas, melhorando a segurança e a estabilidade geral do roteamento da Internet.
Entidades principais: Empresas: PCCW Global, WIND TRE | Locais: Espanha, Itália, Eslováquia
Perguntas frequentes: Como o RPKI evita sequestros BGP?
O RPKI permite que os detentores de endereços IP publiquem Autorizações de Origem de Rota assinadas nomeando redes permitidas. Os operadores comparam os anúncios com esses registros e rejeitam os inválidos, evitando o redirecionamento de tráfego.
FAQ Q: Como o RPKI evita sequestros BGP?
FAQ A: O RPKI permite que os detentores de endereços IP publiquem Autorizações de Origem de Rota assinadas nomeando redes permitidas. Os operadores comparam os anúncios com esses registros e rejeitam os inválidos, evitando o redirecionamento de tráfego.
Fonte: Hacker News · Resumido por HeadlinesBriefing