APNIC文摘—RPKI問答:我們為什麼不外包驗證?

本APNIC文摘原標題為RPKI Q&A — Why don’t we outsource validation?,由APNIC首席科學家Geoff Huston撰文。

身為APNIC首席科學家,Geoff Huston經常收到許多關於邊界閘道通訊協定(Border Gateway Protocol,BGP)路由安全的問題。在這篇文章中,Geoff說明為什麼他認為目前資源公鑰基礎建設(Resource Public Key Infrastructure,RPKI)建置的方式是把安全外包,並丟出許多假設問題,希望藉此激盪社群新想法,共同思考如何更安全的部署RPKI。

很多人會說「安全外包」(outscourced security)的概念自相矛盾。然而,Geoff指出,目前域名安全擴充程式(Domain Name Security Extensions,DNSSE)的部署方式就是把安全外包:使用者端的內建伺服器(stub resolver)不驗證DNS回應,而是仰賴遞迴解析器進行驗證後,直接收受未加密、附上「已驗證」標籤的回應。

DNSSEC這種無條件信任的做法聽起來不免令人心生懷疑,然而,Geoff指出,RPKI的驗證方式與DNSSEC其實大同小異。以最簡單的概念解釋,RPKI是把「已驗證」標籤貼在路由宣告上,BGP看到標籤,就相信此路由宣告安全並轉傳出去。

在DNSSEC中,客戶端至少還可以要求遞迴解析器「不管驗證結果如何都把回應傳給我」,但RPKI卻做不到這點。目前的實作上,有部署RPKI的路由會直接丟掉未通過驗證的訊息。路由運作的基本原理是每個路由都保證會轉傳來自其他路由的訊息,直到訊息到達目的地。如此一來,當部署了RPKI的路由把未通過驗證的訊息丟掉,它的下一個鄰居就收不到訊息,但也不會知道自己沒有收到訊息。從這個角度理解,RPKI等於是讓你的鄰居幫你決定是否接受訊息,也是一種「安全外包」。

為了推廣RPKI,很多單位,包括區域網路註冊管理機構(Regional Internet Registry,RIR)提供所謂的「RPKI代管服務」,幫客戶執行RPKI功能。Geoff認為這也是安全外包,看似安全,其實是交出掌控權,為自己徒增弱點。

那麼,不如完全捨棄代管服務,也不要在BGP上裝RPKI了,把一切都裝在內容傳遞網路(Content Delivery Network,CDN)如何?反正現在很多人不都認為有了CDN,也不太需要網際網路了?

Geoff最後表示,這篇文章並非為了提出完美解方。透過說明路由如何運作,指出問題,他希望藉此拋磚引玉,激勵眾人一起想出更安全的路由運作方式。

*台灣網路資訊中心(TWNIC)與亞太網路資訊中心(APNIC)合作,定期精選APNIC Blog文章翻譯摘要,提供中心部落格讀者了解目前亞太地區網路發展之最新趨勢。原文標題為RPKI Q&A — Why don’t we outsource validation?

圖片來源:APNIC網站

Leave a Comment

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *

Scroll to Top