Интернет полагается на объявления маршрутизации BGP между сетями. Исторически эти объявления зависели от доверия, что позволяло ошибкам или перехвату перенаправлять трафик по всему миру. 24 февраля 2008 года Pakistan Telecom попыталась заблокировать YouTube, объявив более конкретный маршрут, который принял ее апстрим-провайдер PCCW Global, перенаправив трафик YouTube по всему миру примерно на два часа. RPKI (Resource Public Key Infrastructure) был разработан для предотвращения этого, позволяя владельцам IP-адресов публиковать подписанные записи, Авторизации Происхождения Маршрута (ROA), называющие разрешенные сети. Сетевые операторы сравнивают объявления с этими записями и могут отклонять недопустимые.
Доля маршрутизируемых префиксов, которые являются валидными по RPKI, выросла с 54,0% до 70,3% за один год, прирост составил 16,4 процентных пункта, или 30% роста. Большая часть этого скачка пришлась на Китай, который вырос с 3,7% до 83,0% IPv4-адресов в валидных маршрутах, обеспечив почти 60% глобального прироста. RPKI вырос за последний год больше, чем за два предыдущих года вместе взятые. Данные показывают, что недопустимые маршруты почти не распространяются; маршруты, не прошедшие проверку RPKI, видны всего с двух точек наблюдения, в то время как валидные видны с 596. Почти половина всех недопустимых маршрутов достигает только одной точки наблюдения.
Испания имеет наибольшую долю недопустимых IPv4-префиксов — 28,2%, но взвешенная по видимости, она падает до 0,057%. Италия имеет наибольший показатель для стран с не менее чем миллионом IPv4-адресов — 0,121%, в основном из-за того, что WIND TRE (AS1267) объявляет 34 маршрута, которые ее собственные ROA не разрешают.
RPKI делает то, для чего был разработан. По мере того как все больше сетей внедряют его, недопустимые маршруты отбрасываются, что улучшает общую безопасность и стабильность маршрутизации в Интернете.
Ключевые сущности: Компании: PCCW Global, WIND TRE | Местоположения: Испания, Италия, Словакия
Часто задаваемые вопросы: Как RPKI предотвращает перехват BGP?
RPKI позволяет владельцам IP-адресов публиковать подписанные Авторизации Происхождения Маршрута, называющие разрешенные сети. Операторы сравнивают объявления с этими записями и отклоняют недопустимые, предотвращая перенаправление трафика.
Вопрос: Как RPKI предотвращает перехват BGP?
Ответ: RPKI позволяет владельцам IP-адресов публиковать подписанные Авторизации Происхождения Маршрута, называющие разрешенные сети. Операторы сравнивают объявления с этими записями и отклоняют недопустимые, предотвращая перенаправление трафика.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing