RPKI Nedir?

BGP, komşularından gelen rota duyurularını temelde doğru kabul eder. Bir ağ, kendisine ait olmayan bir adres bloğunu duyurursa ve komşuları bunu kabul ederse, o bloğa giden trafik yanlış yere akar.

Bu, hem kaza sonucu hem kasten yaşandı. RPKI, duyuru sahipliğini doğrulanabilir hale getirmek için kuruldu.

Nasıl Çalışır

Adres bloğunun sahibi, bloğu hangi otonom sistemin duyurabileceğini bildiren imzalı bir kayıt yayımlar. Bu kayıt, adres tahsisi yapan kurumların işlettiği bir sertifika hiyerarşisine dayanır.

Yönlendiriciler bu kayıtları toplayan bir doğrulayıcıdan besleme alır. Gelen her duyuru üç sonuçtan birini alır: geçerli, geçersiz ya da kayıt bulunamadı.

Karar operatöre aittir. Yaygın uygulama, geçersiz olanları reddetmek ve kaydı olmayanları kabul etmektir.

DDoS ile İlişkisi

İkisi aynı torbaya konur, çünkü ikisi de BGP çevresinde konuşulur. Yaptıkları iş farklıdır.

RPKI, trafiğin nereye gideceği ile ilgilenir. Bir rota kaçırma girişimini engeller; trafiğin yanlış ağa yönlendirilip dinlenmesini ya da düşürülmesini zorlaştırır.

DDoS ise trafiğin hacmi ile ilgili bir problemdir. Hattı dolduran meşru görünüşlü paketler doğru rotadan gelir ve RPKI onlara dokunmaz.

Kaynak adresi sahte olan yansıtma saldırılarını da engellemez. RPKI rota duyurularını doğrular, veri paketlerinin kaynak adresini değil.

Yine de Neden Yapılır

Rota kaçırma, hizmet kesintisinin gerçek ve tekrarlanan sebeplerinden biridir. Kurumun kendi adres bloğu için kayıt yayımlaması, o bloğun başkası tarafından duyurulmasını doğrulama yapan ağlarda etkisiz kılar.

İki ayrı iş vardır ve ikisi de yapılmalıdır: kendi bloklarınız için kayıt yayımlamak, ve aldığınız duyuruları doğrulamak. Birincisi başkalarını korur, ikincisi sizi.

Kaynak adres sahteciliğine karşı yapılacak şey ise ayrıdır ve giriş filtrelemesiyle ilgilidir.