مکانیک امنیت BGP: مقایسه RPKI، BGPsec و فیلترینگ سنتی مسیر

اینترنت شبکه‌ای از شبکه‌ها است و پروتکل دروازه مرزی (BGP) به عنوان سرویس پستی جهانی آن عمل می‌کند. هر بار که کاربر یک صفحه وب را درخواست می‌کند، ایمیلی می‌فرستد یا ویدیویی را استریم می‌کند، BGP کارآمدترین مسیر را در میان ده‌ها هزار سیستم مستقل (AS) در سراسر جهان تعیین می‌کند.[3][8]

با این حال، BGP در سال ۱۹۸۹ بر پایه اعتماد مطلق طراحی شد. این پروتکل ذاتاً فرض می‌کند که وقتی یک شبکه ادعا می‌کند مالک یک بلوک خاص از آدرس‌های IP است، حقیقت را می‌گوید. هیچ مکانیزم داخلی برای تأیید هویت یا مجوز در پروتکل پایه وجود ندارد.[5]

این معماری «اعتماد پیش‌فرض» یک آسیب‌پذیری بزرگ به نام ربایش BGP ایجاد می‌کند. اگر یک عامل مخرب – یا صرفاً یک روتر با تنظیمات اشتباه – یک مسیر جعلی را اعلام کند، ترافیک در نظر گرفته شده برای مقصد قانونی به طور مخفیانه به شبکه رباینده هدایت می‌شود.[4][7]

نمونه‌های واقعی از قطعی‌های تصادفی گرفته تا جاسوسی با حمایت دولتی را در بر می‌گیرند. بین سال‌های ۲۰۱۷ تا ۲۰۲۶، انحرافات عمده ترافیک بارها شکنندگی مسیریابی جهانی را آشکار کرده است، که منجر به ارسال ترافیک اروپایی از طریق ارائه‌دهندگان مخابراتی خارجی یا قطع کامل خدمات ابری بزرگ شده است.[2][6]

برای ایمن‌سازی این زیرساخت، اپراتورهای شبکه باید بین سه پارادایم اصلی یکی را انتخاب کنند: فیلترینگ سنتی مسیر، زیرساخت کلید عمومی منابع (RPKI)، و پروتکل سخت‌گیرانه رمزنگاری BGPsec.[1][3]

فیلترینگ سنتی مسیر متکی بر لیست‌های دستی یا خودکار از همتایان مورد اعتماد است. مدیران شبکه به صراحت تعریف می‌کنند که کدام پیشوندهای IP را از شبکه‌های همسایه خاص می‌پذیرند و هرگونه اعلامیه‌ای را که خارج از آن پارامترها باشد، حذف می‌کنند.[7]

اگرچه فیلترینگ از نظر محاسباتی ارزان است و نیازی به هماهنگی جهانی ندارد، اما مقیاس‌پذیری ضعیفی دارد. حفظ لیست‌های فیلتر دقیق در میان ده‌ها هزار مسیر پویا جهانی از نظر مدیریتی برای ارائه‌دهندگان ترانزیت ردیف ۱ غیرممکن است و آن را به یک راه‌حل موضعی تبدیل می‌کند، نه یک درمان سیستمی.[2]

RPKI وارد می‌شود، که اینترنت را از اعتماد مفروض به تأیید رمزنگاری مبدأ تغییر می‌دهد. RPKI از مجوزهای مبدأ مسیر (ROA) برای پیوند رمزنگاری یک پیشوند IP به یک شماره AS خاص استفاده می‌کند.[3][8]

هنگامی که یک روتر اعلامیه BGP را دریافت می‌کند، پایگاه داده RPKI را بررسی می‌کند. اگر AS اعلام‌کننده مسیر با امضای رمزنگاری در ROA مطابقت نداشته باشد، مسیر به عنوان نامعتبر علامت‌گذاری شده و قبل از اینکه ترافیک منحرف شود، حذف می‌گردد.[4]

پذیرش RPKI در سطح جهانی افزایش یافته است و به طور مؤثری تنظیمات اشتباه تصادفی و ربایش‌های ساده مبدأ را حذف می‌کند. این فناوری بازدهی بالایی را برای سربار محاسباتی متوسط فراهم می‌کند و آن را به استاندارد فعلی صنعت برای امنیت مسیریابی تبدیل کرده است.[5][6]

با این حال، RPKI یک نقطه کور حیاتی دارد: فقط مبدأ مسیر را اعتبارسنجی می‌کند، نه کل مسیر را. یک مهاجم پیچیده همچنان می‌تواند هاپ‌های میانی در مسیر AS را جعل کند و به طور کامل اعتبارسنجی مبدأ RPKI را دور بزند.[2][4]

اینجاست که BGPsec، که در RFC 8205 رسمی شده است، وارد معادله می‌شود. BGPsec یک افزونه برای BGP است که مستلزم آن است که هر روتر در طول مسیر، مسیر را قبل از ارسال به هاپ بعدی، به صورت رمزنگاری امضا کند.[1]

تحت BGPsec، یک روتر کل زنجیره امضاها را اعتبارسنجی می‌کند. اگر هر هاپی جعل یا تغییر یابد، اعتبارسنجی رمزنگاری شکست می‌خورد و ربایش مبتنی بر مسیر از نظر ریاضی غیرممکن می‌شود.[1][5]

مصالحه در اینجا فشار شدید سخت‌افزاری است. BGPsec مستلزم آن است که روترها عملیات رمزنگاری پیچیده را در زمان واقعی برای صدها هزار مسیر انجام دهند، که نیازمند ارتقاء قابل توجه CPU و حافظه در سراسر ستون فقرات جهانی است.[1][7]

علاوه بر این، BGPsec به پذیرش پیوسته نیاز دارد. اگر حتی یک روتر در یک مسیر از BGPsec پشتیبانی نکند، زنجیره امضاها شکسته می‌شود و پروتکل به BGP استاندارد و تأیید نشده باز می‌گردد.[1][3]

برای اپراتورهای شبکه امروز، تصمیم‌گیری در مورد یافتن یک راه‌حل کامل نیست، بلکه در مورد لایه‌بندی دفاعی است. اجماع صنعت به شدت از استقرار تهاجمی RPKI در حال حاضر حمایت می‌کند، در حالی که BGPsec را به عنوان یک هدف معماری بلندمدت برای زمانی که قابلیت‌های سخت‌افزاری به آن می‌رسند، در نظر می‌گیرد.[4][8]