Autorisation til routing (RPKI)
RPKI står for Resource Public Key Infrastructure. Kort sagt er det en sikkerhedsteknologi, der fungerer som et "digitalt ID-kort" for internettets vejvisere. Den bruges til at sikre den basale infrastruktur bag internettet (nærmere bestemt BGP-protokollen), så datatrafik ikke ender de forkerte steder. Her er en simpel forklaring på, hvordan det virker, og hvorfor det er vigtigt:
Problemet: Internet-kapring (BGP Hijacking)
Internettet består af tusindvis af mindre netværk (kaldet Autonome Systemer eller AS), der taler sammen via BGP (Border Gateway Protocol). BGP blev oprindeligt designet i internettets barndom og er bygget på ren tillid. Hvis et netværk ved en fejl (eller med onde hensigter) fortæller resten af verden: "Hej, jeg ejer IP-adresserne for Google/din bank!", så vil internettet tro på det. Det kaldes en BGP-kapring (hijacking) og kan føre til:
- At store dele af internettet går ned.
- At ondsindede aktører kan overvåge eller stjæle din data.
Løsningen: Hvordan RPKI hjælper
RPKI indfører kryptografisk validering. Det svarer til, at en uafhængig myndighed udsteder et underskrevet certifikat, der beviser, hvem der rent faktisk ejer hvilke IP-adresser.
- Udstødelse af certifikater (ROA): Ejeren af et netværk opretter en ROA (Route Origin Authorization). Det er et digitalt dokument, der sort på hvidt siger: "Det er kun netværk AS1234, der må sende trafik til disse IP-adresser."
- Kryptografisk tjek: Når andre routere på internettet modtager ruter, tjekker de op mod RPKI-databasen.
- Afvisning af falske ruter: Hvis en router ser en besked fra en svindler, der påstår at eje adresserne, kan routeren se, at det ikke matcher ROA-certifikatet, og afvise trafikken med det samme.
Hvorfor betyder det noget for dig?
Selvom du ikke ser RPKI i hverdagen, er det en af de vigtigste teknologier til at gøre internettet mere robust over for cyberangreb og menneskelige tastefejl. Store tech-giganter (som Cloudflare, Google og Microsoft) og store internetudbydere verden over har i de seneste år rullet RPKI ud i stor stil for at sikre, at din data lander det rigtige sted.
Hvorfor
- Eksempler på BGP Hijacks i RPKI Dokumentation
- Eksempler på Routing hændelser in SAC121 / SSAC Briefing on Routing Security (chapter 2)
- RFC 7908: Problem Definition and Classification of BGP Route Leaks
Statistik
- Pulse RPKI ROV metric og RPKI ROA metric fra Internet Society
- Route Origin Authorisation (ROA) statistics af MANRS
- .nl statistics for Route Origin Authorisation (ROA) af SIDN Labs
- Route Origin Validation (ROV) statistics fra APNIC
- RIPEstat - RPKI by country fra RIPE NCC
Yderligere information
- RPKI Documentation fra RPKI-teamet ved NLnet Labs og RPKI-community
- Mutually Agreed Norms for Routing Security (MANRS)
