RPKI i porwania BGP: jak zabezpieczyć routing, na którym stoi internet

Cały internet trzyma się na protokole, który powstał w czasach, gdy sieć była małym klubem wzajemnie ufających sobie instytucji. BGP (Border Gateway Protocol) decyduje o tym, którędy pakiety wędrują między sieciami — a mimo swojej krytycznej roli nie ma wbudowanego uwierzytelniania. Skutek: trasy da się „porwać”, przekierowując ruch całych organizacji przez sieć atakującego. To jedno z najbardziej niedocenianych ryzyk infrastrukturalnych — i jedno z niewielu, które faktycznie da się dziś systemowo naprawić.

Jak działa routing międzydomenowy

Internet to sieć systemów autonomicznych (Autonomous System, AS) — dużych sieci (operatorzy, chmury, wielkie firmy), każdy z własnym numerem (ASN). BGP to język, którym te sieci ogłaszają sobie nawzajem: „przez mnie dotrzesz do tych zakresów adresów (prefiksów)”. Router wybiera trasę na podstawie tych ogłoszeń, preferując m.in. krótsze ścieżki i bardziej szczegółowe prefiksy.

I tu tkwi problem: BGP domyślnie wierzy w to, co ogłaszają sąsiedzi. Nie ma mechanizmu, który by sprawdził, czy dana sieć ma prawo ogłaszać dany prefiks. Zaufanie jest wbudowane w projekt.

Dwa rodzaje incydentów: hijacking i route leak

Porwanie prefiksu (prefix hijacking). Sieć ogłasza prefiks, do którego nie ma prawa. Ruch kierowany do tych adresów zaczyna płynąć do niej — celowo (kradzież, podsłuch, przekierowanie na fałszywe usługi, przechwycenie certyfikatów) albo przez pomyłkę. Szczególnie groźny jest wariant z bardziej szczegółowym prefiksem (np. ogłoszenie /24 zamiast cudzego /16), bo routery preferują dokładniejszą trasę — więc porwanie „wygrywa” globalnie.

Wyciek trasy (route leak). Sieć rozgłasza dalej trasy w sposób niezgodny z relacjami biznesowymi (np. przepuszcza ruch, którego nie powinna), przez co ruch płynie nieoptymalną lub niepożądaną ścieżką. Zwykle to błąd konfiguracji, ale skutkiem bywają globalne zakłócenia i przeciążenia.

Historia zna liczne takie incydenty — od przekierowania ruchu dużych serwisów, przez przechwycenie transakcji, po wielogodzinne niedostępności — a wiele z nich to zwykłe pomyłki, nie celowe ataki. Skutek dla ofiary jest ten sam: jej ruch płynie tam, gdzie nie powinien. Podobnie jak przy atakach na infrastrukturę krytyczną, problemem jest tu dostępność i integralność, nie tylko poufność.

RPKI: przywracanie zaufania do pochodzenia trasy

Odpowiedzią jest RPKI (Resource Public Key Infrastructure) — kryptograficzna infrastruktura, która pozwala udowodnić, kto ma prawo ogłaszać dany prefiks. Działa w dwóch krokach:

1. ROA — autoryzacja pochodzenia. Posiadacz zasobów adresowych tworzy w swoim RIR (w Europie: RIPE NCC) ROA (Route Origin Authorization) — podpisany cyfrowo rekord mówiący: „prefiks X może być ogłaszany przez ASN Y (i z maksymalną długością Z)”. To publiczne, weryfikowalne oświadczenie o tym, kto jest prawowitym nadawcą trasy.

2. ROV — walidacja pochodzenia na routerze. Operatorzy uruchamiają ROV (Route Origin Validation): router porównuje przychodzące ogłoszenia BGP z bazą ROA i klasyfikuje je jako:

• Valid — ogłoszenie zgodne z ROA (właściwy ASN, właściwa długość),
• Invalid — sprzeczne z ROA (np. obcy ASN ogłasza cudzy prefiks — klasyczne porwanie),
• NotFound — brak ROA dla tego prefiksu (jeszcze niepodpisany).

Router skonfigurowany do odrzucania tras Invalid po prostu nie przyjmie porwanego ogłoszenia — atak przestaje działać na tych, którzy walidują. Im więcej sieci wdraża ROV, tym mniej miejsca ma hijacking.

Czego RPKI nie robi — i co dalej

RPKI w obecnej, powszechnie wdrażanej postaci chroni pochodzenie trasy (kto ją ogłasza), ale nie całą ścieżkę (przez jakie AS przechodzi). Atakujący może więc jeszcze próbować manipulować ścieżką w bardziej wyrafinowany sposób. Odpowiedzią na to są kolejne mechanizmy:

• BGPsec — kryptograficzna walidacja całej ścieżki AS; potężna, ale wdrożona marginalnie ze względu na koszt.
• ASPA (Autonomous System Provider Authorization) — nowsze, lżejsze podejście do wykrywania route leaków przez opis dozwolonych relacji dostawca–klient.

Praktyczny drogowskaz to inicjatywa MANRS (Mutually Agreed Norms for Routing Security), która zbiera minimalne dobre praktyki: filtrowanie, walidacja RPKI, anty-spoofing i koordynacja.

Co zrobić w swojej organizacji

• Podpisz swoje prefiksy (utwórz ROA). Jeśli masz własne zasoby adresowe i ASN, stwórz ROA w RIPE dla wszystkich prefiksów. To jednorazowa czynność, która chroni Twoje adresy przed porwaniem u operatorów walidujących. Kosztuje niewiele, a jest fundamentem.
• Włącz ROV na swoich routerach brzegowych (jeśli prowadzisz własny routing) i odrzucaj trasy Invalid.
• Wybieraj operatorów, którzy walidują. Jeśli nie prowadzisz własnego BGP, wybór dostawcy internetu i tranzytu stosującego RPKI to realna decyzja bezpieczeństwa — element oceny dostawców.
• Monitoruj swoje prefiksy. Serwisy analizujące globalny routing pozwalają wykryć, gdy ktoś zaczyna ogłaszać Twoje adresy. Wczesny alarm skraca czas trwania incydentu.
• Uwzględnij routing w ciągłości działania. Dla podmiotów objętych regulacjami (np. NIS2) odporność łączności to część obowiązków — a porwanie BGP potrafi odciąć usługi równie skutecznie jak atak DDoS.

Podsumowanie

BGP zbudowano na zaufaniu, którego dzisiejszy internet już nie zasługuje — i dlatego trasy da się porwać, a ruch przekierować. RPKI, przez podpisane ROA i walidację ROV, przywraca możliwość sprawdzenia, kto ma prawo ogłaszać dany prefiks, i pozwala odrzucać porwania. To jedno z niewielu ryzyk infrastrukturalnych, które da się realnie ograniczyć konkretnymi, wykonalnymi krokami: podpisz swoje prefiksy, waliduj przychodzące trasy i wybieraj operatorów, którzy robią to samo.

Jeśli chcecie ocenić odporność swojej łączności i architektury sieciowej — w tym zależności od routingu i dostawców — porozmawiajmy. Doradztwo w architekturze bezpieczeństwa obejmuje również warstwę sieci i ciągłości działania.

Najczęstsze pytania (FAQ)

Czy RPKI całkowicie eliminuje porwania BGP? Nie w pełni. Powszechnie wdrażana część RPKI chroni pochodzenie trasy (kto ją ogłasza) i skutecznie blokuje klasyczne porwania na sieciach, które walidują. Nie chroni jednak całej ścieżki AS — do tego służą nowsze mechanizmy (BGPsec, ASPA). Mimo to podpisanie prefiksów i walidacja to dziś największy pojedynczy zysk bezpieczeństwa routingu.

Nie prowadzę własnego BGP — czy to w ogóle mój problem? Tak, na dwa sposoby. Po pierwsze, jeśli masz własne zasoby adresowe i ASN, powinieneś utworzyć ROA, nawet jeśli routingiem zarządza operator. Po drugie, wybór dostawcy internetu i tranzytu stosującego RPKI realnie wpływa na to, czy Twój ruch jest chroniony — to kryterium przy ocenie dostawcy.

Ile kosztuje wdrożenie RPKI? Utworzenie ROA w RIR jest zwykle darmowe lub bardzo tanie i jednorazowe — to głównie kwestia konfiguracji, nie zakupu. Włączenie walidacji ROV na własnych routerach wymaga pracy operacyjnej, ale korzysta z gotowych, dojrzałych narzędzi. Bariera jest dziś organizacyjna, nie technologiczna.

Jak szybko wykryję, że ktoś porwał mój prefiks? Bez monitoringu — bywa, że dopiero po zgłoszeniach użytkowników. Z monitoringiem globalnego routingu (publiczne serwisy obserwujące ogłoszenia BGP) alarm może przyjść w minuty od pojawienia się nieautoryzowanego ogłoszenia, co drastycznie skraca czas trwania i skutki incydentu.