Многие думают о киберугрозах как о вирусах или фишинге, но одна из самых критичных уязвимостей заложена в самой основе интернета. Протокол BGP, определяющий маршруты трафика, исторически полагается на «честное слово». Этим могут воспользоваться злоумышленники, а случайные ошибки в настройке маршрутизаторов способны привести к глобальным сетевым сбоям. Для минимизации подобных рисков BGP-маршрутизации используется специальная технология — RPKI.
Что такое BGP и где возникают риски
BGP (Border Gateway Protocol) — это, по сути, язык, на котором общаются между собой автономные системы (AS) — крупные блоки сетей, управляемые провайдерами, хостинг-компаниями или крупными организациями. Его главная задача — обмен информацией о доступных путях к тем или иным диапазонам IP-адресов. Когда вы пытаетесь загрузить веб-сайт, BGP помогает определить оптимальный маршрут для вашего запроса.
Проблема в том, что BGP был изначально основан на принципе доверия: каждый участник сети считается добросовестным. Если же злоумышленник объявит маршрут к IP-адресам, которые ему не принадлежат, трафик пойдёт через чужие сети, где его можно перехватить, проанализировать или просто «потерять».
Что такое RPKI
Для решения этой проблемы была разработана система RPKI (Resource Public Key Infrastructure, «инфраструктура открытых ключей для сетевых ресурсов»). По сути, это цифровой «паспортный контроль» для маршрутов BGP: RPKI создаёт криптографически защищённую связь между владельцами IP‑адресов и автономными системами.
Как работает RPKI
Каждый участник получает от одного из региональных интернет-регистраторов (RIR) цифровые сертификаты, подтверждающие его право распоряжаться конкретными сетевыми ресурсами.
На основе полученного сертификата владелец может создать в системе специальный цифровой документ — ROA (Route Origin Authorization). В нём владелец IP-адресов указывает, какая именно автономная система уполномочена объявлять его префиксы. Например, компания владеет блоком 192.0.2.0/24 и создаёт ROA, разрешающий только AS64500 делать такие объявления. Если кто-то другой — скажем, AS64501 — попытается объявить этот же префикс, система RPKI пометит такой маршрут как недействительный. Владелец может создать несколько ROA для разных частей своего адресного блока, делегируя их разным операторам.
Когда маршрутизатор получает BGP-объявление, он сверяет его с данными из RPKI. Существуют три возможных статуса маршрута:
- Valid — префикс объявлен авторизованной AS. Это предпочтительный маршрут.
- Invalid— префикс объявлен не той AS или с неверной длиной префикса. Маршрут должен быть отклонён.
- NotFound — для этого префикса нет ROA, проверка невозможна. Сеть продолжает работать по старым правилам BGP, полагаясь на традиционные политики.
Маршрутизаторы, отклоняя недействительные маршруты, блокируют потенциальные атаки до того, как они повлияют на пользователей.
Преимущества внедрения RPKI
Внедрение этой технологии приносит выгоды всем участникам глобальной сети:
- Повышение безопасности сети и снижение репутационных рисков. RPKI защищает трафик от перехвата и перенаправления.
- Стабильность маршрутизации. Многие инциденты происходят из-за человеческих ошибок при настройке. RPKI отсекает ошибочные объявления, не позволяя им распространиться по интернету.
- Соблюдение регуляторных требований. Всё больше отраслевых стандартов и национальных регуляторов рекомендуют или предписывают использование RPKI как обязательную меру кибербезопасности.
Настройка RPKI в последние годы упростилась: регистраторы предоставляют удобные веб-интерфейсы, а ведущие производители сетевого оборудования внедряют поддержку валидации в свои ОС.
Заключение
Отметим, что в современной цифровой среде безопасность BGP через RPKI — уже давно норма, а не инновация. Реализация RPKI защищает от потерь и репутационного ущерба, связанных с угонами маршрутов. Для поставщиков услуг это означает улучшение качества предоставляемых сервисов и укрепление репутации надежного партнера, а для конечных пользователей — должный уровень конфиденциальности и целостности передаваемых данных.
Интернет Хостинг Центр — платный хостинг для проектов любой сложности. Защита от DDoS-атак на каждом тарифе! 🔒
