RPKI na Internet: Garantindo a Segurança e a Integridade do Roteamento

RPKI (Resource Public Key Infrastructure) é a especificação de uma tecnologia discutida e proposta pelo IETF (Internet Engineering Task Force), RFC 6480, que permite a validação de anúncios de rotas via protocolo BGP. Essa tecnologia faz uso de Certificados Digitais (PKI) e de uma cadeia de certificação para validar a alocação de um conjunto de recursos de Numeração Internet feita por um RIR/NIR a uma organização.

À organização titular de alocações de Recursos de Numeração Internet é emitido um certificado digital segundo um padrão X.509 de uma extensão específica onde estarão listados os recursos alocados a essa organização. Os Certificados Digitais X.509 contêm uma série de informações e também uma chave pública utilizada para validar a autenticidade de objetos que tenham sido assinados criptograficamente. Um dos objetos assinados com a referida chave privada se chama ROA (Route Origin Authorization), e contém uma lista de blocos IPv4 e/ou IPv6 e um ASN que está autorizado a originar rotas para os referidos blocos.

Hierarquia

Em uma infraestrutura de certificação digital de chaves públicas há uma hierarquia que é "percorrida" em processos de validação. O topo da hierarquia é chamado de "Raiz de Confiança", ou Trust Anchor em inglês. Nada mais é que um certificado digital "auto-assinado". E esse certificado é instalado em sistemas que fazem as validações. Um exemplo mais usual são os navegadores web que vêm com uma série de certificados "Raiz" pré-instalados.

Repositórios

Na Infraestrutura RPKI faz-se necessária a validação de uma série de certificados digitais e outros objetos, como por exemplo ROAs. Esse processo de validação faz uso de diversos certificados digitais e outros objetos que são publicados em repositórios na internet. No modelo de C.A "Delegado" há a opção de usar um sistema de repositório do próprio Registro.br ou então um outro mantido pela organização que venha a operar a C.A.

Inicialização

Antes de habilitar RPKI para as alocações feitas pelo Registro.br, a organização deve instalar o sistema de C.A em sua infraestrutura. O Registro.br está configurado para utilizar a C.A desenvolvida pelo NLNETLABS chamada de Krill.

Segurança no RPKI

A segurança dos anúncios de rotas na Internet tem se tornado uma preocupação cada vez mais relevante em um mundo digital cada vez mais interconectado. O RPKI (Resource Public Key Infrastructure) surge como uma solução inovadora e eficaz para combater os ataques cibernéticos. Além disso, ele garante a autenticidade das informações transmitidas pelos roteadores.

Ao permitir a validação das informações de roteamento com base em chaves criptográficas, o RPKI estabelece um sistema confiável de verificação da origem e autorização dos anúncios de rotas na Internet. Com isso, evita-se a propagação de rotas falsas e a manipulação maliciosa do tráfego de rede. Logo, é possível proteger organizações e usuários contra ataques, como sequestro de rotas e ataques de negação de serviço (DDoS).

RPKI e BGP

Todos os dias, os porteiros de condomínios no Brasil e no resto do mundo atendem prestadores de serviço que comparecem para resolver os mais diversos problemas, em geral, a pedido de algum morador. São funcionários das operadoras de telecomunicações, dos fabricantes de elevadores, concessionárias de serviços públicos, além de tantos outros profissionais. Mas como ter certeza de que aquele é o prestador de serviço legítimo?

As pessoas responsáveis pela administração e manutenção da Internet enfrentam esse mesmo tipo de dúvida todos os dias. Quais organizações estão autorizadas a utilizar um protocolo como o BGP, por exemplo, que faz os anúncios de rotas? No passado, não havia esse tipo de preocupação. Contudo, os últimos anos mostraram que era preciso acrescentar camadas de segurança no uso desse protocolo. Hoje, há um movimento entre os gestores dos sistemas autônomos (abreviados como “AS”, que são os conjuntos de IPs administrados por determinadas organizações) para que implantem a infraestrutura RPKI (Resource Public Key Infrastructure). Dessa forma, é possível assegurar maior segurança ao anúncio de rotas nas operações com o BGP.

O RPKI associa cada anúncio de rota com o AS que o publicou

O RPKI é um método criptográfico para assinatura de registros, que associa cada anúncio de rota do BGP com o número do AS que o publicou. Muitos AS já fizeram a sua implantação – como os grandes operadores de rede internacionais –, mas muitos ainda usam o BGP sem a garantia do RPKI. Portanto, sem assinatura no registro de cada rota. Esses registros ficam na mesma situação de um prestador de serviço que pede acesso ao condomínio, mas não tem credenciais para exibir. Em abril de 2018, um anúncio malicioso (sem assinatura RPKI) desviou para um endereço na Ucrânia o tráfego destinado à empresa MyEtherWallet, na Alemanha. Por conta disso, o desvio favoreceu o roubo de um valor equivalente a US$ 160 mil dos usuários da MyEtherWallet.

Esse e outros fatos no dia a dia da Internet mostraram a necessidade de implantação do RPKI como camada de segurança. Quando a Internet foi inventada e começou a operar, quando ainda era uma rede pequena e administrada por poucas pessoas, elas usavam o BGP anunciando novas rotas. Faziam também as correções ou atualizações necessárias de um AS. Contudo, todos sabiam que aquelas alterações tinham sido feitas por alguém responsável e com o conhecimento necessário.

Naquela época, ninguém precisava se identificar nem certificar o anúncio de uma rota. Afinal, aquelas pessoas eram os pesquisadores, os cientistas, os acadêmicos, gente dos laboratórios, gente das universidades e mais ninguém. Logo, era gente que se encontrava em conferências, reuniões, congressos, pessoas que por causa disso podiam confiar umas nas outras. Essa confiança mútua permitiu que, desde esse início, os protocolos que organizam a Internet, como o BGP, não precisassem das camadas de segurança.

A segurança da Internet não é mais baseada em confiança

Entretanto, com o passar dos anos, a Internet começou a crescer, tornando-se finalmente a rede de todas as redes, e de interesse para muitos outros grupos. Começou, então, a existir a necessidade de segurança, para impedir que pessoas não autorizadas tivessem acesso a essas operações fundamentais da rede. Hoje, a quantidade de pessoas que opera a Internet é tão grande, que é impossível todos os operadores se conhecerem. Por causa disso, ficou inviável administrar as operações simplesmente com base em confiança mútua.

No caso do BGP, a segurança está implementada pelo RPKI, para impedir que pessoas não autorizadas manipulem ou mesmo sabotem o protocolo. Todavia, claro que alguém pode errar num anúncio de rota, devido às complexidades de configuração do BGP. Dependendo do erro, o resultado poderá ser uma rota mais longa para determinado endereço, e um aumento da latência na resposta. Mas o erro – ou uma sabotagem – pode também bloquear o acesso a grandes blocos de endereços IP, como já aconteceu no passado.

O BGP é fundamental. E a sua segurança, pelo RPKI, também. Ele é um protocolo projetado para o intercâmbio de roteamento entre os sistemas autônomos. Para exemplificar, você pode entender as funções do BGP como as mesmas de um painel de avisos num aeroporto, exibindo a lista de voos de partida. Uma pessoa que vai viajar para a capital de outro país em geral chega ao aeroporto sabendo apenas o seu destino e o horário do voo. Entretanto, a principal informação que ela precisa para chegar ao avião está no número do seu voo. Todos os dias, várias empresas fazem voos para aquele mesmo destino. Porém, somente aquele voo identificado no cartão de embarque tem, na sua lista de passageiros, o nome daquela pessoa associado ao número da sua poltrona e aos seus documentos pessoais.

Informações precisas sobre cada destino

Para que ela consiga embarcar, basta olhar o painel e localizar ali o número do voo. Ao lado dele, estará identificado o terminal em que se encontra a aeronave e a sala para o embarque dos passageiros. Com essas informações – terminal e sala de embarque –, o passageiro conseguirá chegar ao avião e será transportado até o seu destino. O BGP faz a mesma coisa com as rotas, indicando em suas tabelas o caminho para alcançar um determinado endereço da Internet.

Mas quem garante que os dados no quadro de avisos do aeroporto foram inseridos pelas pessoas autorizadas? Ou quem garante que determinado AS está autorizado a anunciar rotas pelo seu BGP? No caso do aeroporto, a resposta está nas várias camadas de segurança implantadas para a operação do painel de avisos – logins, senhas e outros fatores de autenticação. E no caso do BGP, a camada fundamental de segurança está no RPKI. Criando uma identidade única para cada registro, associada a um certificado, o RPKI atribui confiança à rota publicada. Dessa forma, reduz o risco de interferências indesejáveis à operação de toda a Internet.