保护Internet路由的路径

多年来，Internet路由一直依赖于基于信任的模型。虽然这个系统总体运作良好，但它现在正在努力应对互联网的指数增长和越来越多的在线网络威胁行为者。目前，基于信任的系统中可利用的弱点正在成为一个主要的安全问题。

由Verizon引发的巨大Cloudflare中断最近暴露了基于信任的路由引起的问题。此次中断导致许多在Cloudflare上托管的网站脱机并在几个小时内无法访问。虽然本质上不是恶意的，但这一事件证明了当前的互联网路由模型 - 建立在所有数据包通过广告路径路由的信任基础上 - 可以被利用;并具有毁灭性的影响。

今天，互联网流量通过所声称的路径以及它声称拥有的信息进行路由是远远不能确定的。很明显，需要一个更好的路由验证系统。

与旧的

由于无法大规模验证路线公告，因此基于信任的互联网路由模型不再能够有效地处理路线验证任务。这里的问题是虽然存在许多路由数据库，其中一些由地区互联网注册机构(RIR)维护，但现有系统缺乏数据的加密签名。随着时间的推移，这些Internet路由注册表数据库开始保存无效的数据 - 无论是因为它已过时，还是因为它包含尚未修复的拼写错误，或者在更极端的情况下，因为恶意行为者故意插入不正确的信息以借出外观他们劫持的合法性。

随着互联网流量的增加和数据库变得越来越过时，路由验证的重要性也在增加。这促成了由RIR，开源软件开发商和几家主要路由器供应商共同开发的资源公钥基础设施(RPKI)的开发。RPKI是一种社区驱动的路由创新，通过将IP地址和AS号连接到信任锚(数字证书)来帮助实时和大规模保护Internet的路由基础设施。为了使RPKI以最佳方式工作，它需要三个步骤 - 路由源授权，路由源验证和路由过滤。

然后，RPKI以加密方式验证路线公告，以消除对流量来源的疑问。虽然RPKI是一个很有前景的解决方案，但它在实践中意味着什么?对于互联网路由基础设施安全性的担忧是否意味着终结?

第一步

RPKI毫无疑问地提供了改进的路由安全性，但它仅保护使用它的网络附近的路由。它不保护流量路由的整个路径。这意味着RPKI现在是防止从网络路由的第一跳中潜在劫持的最有效方法。

但是，它无法阻止整体的Internet劫持，因为无效路由可能已经沿着路由线行进，直到它被停止。

这并不是说RPKI不是组织应该(或可以承受)忽视的重要一步。它的作用是至关重要的;它的部署越广泛，它就越有效。

充分利用RPKI

为了使RPKI最有效，IP地址和ASN的持有者需要创建一个称为路由源授权('ROA')的加密语句。ROA只能由前缀的合法持有者创建，并说明哪个AS号被授权在互联网上宣布此前缀。这有助于验证路线公告来自他们声称的路线(路线原点验证)，然后过滤请求(路线过滤)，从而删除任何“无效”路线。路由过滤实际上是阻止恶意行为者宣传不属于它们的路由的原因;或者是一个简单的错误配置，从被传播和滚雪球变成一个更大的事件。

为了使路由过滤有效，更多组织需要开始创建ROA，以确保其路由不受恶意或无意的劫持。简而言之，ROA有助于数字化验证前缀应该来自何处以及合法持有者应该是谁(防止不良行为者进行欺诈性索赔，或者防止无辜的路由错误)。

　　免责声明：本文由用户上传，与本网站立场无关。财经信息仅供读者参考，并不构成投资建议。投资者据此操作，风险自担。 如有侵权请联系删除！