Битва за BGP: Белый дом внедряет RPKI и ROA в сетях США

В новом отчете Белого дома подробно описываются шаги, которые необходимо предпринять для повышения безопасности маршрутизации интернета с использованием протокола BGP (Border Gateway Protocol), который играет ключевую роль в управлении интернет-трафиком между сетями по всему миру.

Вопросы безопасности маршрутизации начали привлекать внимание правительства США еще в 2022 году, когда стало известно о случаях перехвата интернет-трафика иностранными хакерами через уязвимости в протоколе BGP. Такие атаки, известные как BGP hijacking , стали одной из причин для разработки данной дорожной карты.

В работе над отчетом принимали участие несколько ключевых государственных агентств, включая Министерство юстиции (DOJ), Министерство обороны (DOD), Федеральную комиссию по связи (FCC), Агентство по кибербезопасности и защите инфраструктуры (CISA), а также Управление национального директора по кибербезопасности (ONCD) Белого дома.

Хотя рекомендации ONCD нельзя назвать революционными, они соответствуют текущим лучшим практикам отрасли. В частности, операторам интернет-сетей рекомендовано использовать такие технологии, как RPKI, ROA и ROV. Эти криптографические инструменты помогают удостовериться, что организация, управляющая IP-адресами, действительно владеет ими и может объявлять маршруты через эти адреса.

Особое внимание в отчете уделено внедрению RPKI и связанных с ним технологий, таких как ROA, которая позволяет подтверждать, что только определенная сеть имеет право объявлять маршруты для конкретного блока IP-адресов. Технология ROV, в свою очередь, проверяет, что маршруты, объявленные другими сетями, являются корректными и безопасными.

Помимо этого, Белый дом также упомянул технологию BGPsec , которая представляет собой расширение протокола BGP, предлагающее дополнительные функции безопасности. Однако внедрение такой технологии не является приоритетом на текущем этапе. Вместо этого, правительство США выбрало постепенный подход, в рамках которого операторам сетей предлагается начать с внедрения ROA как первого шага к улучшению безопасности маршрутизации.

Важной частью стратегии является сотрудничество с частным сектором. Белый дом планирует совместно с CISA создать рабочую группу, которая будет разрабатывать рекомендации и материалы, направленные на упрощение процесса внедрения технологий RPKI, ROA и ROV.

Согласно данным Национального института стандартов и технологий (NIST) , сегодня почти половина маршрутов в сети BGP уже проверяется с использованием ROV, а по данным исследования компании Kentik , более 70% маршрутов IPv4 уже защищены с помощью ROA. Однако, как отмечает Cloudflare , основная проблема заключается в том, что большая часть этого защищенного трафика исходит от зарубежных операторов сетей, тогда как компании в США пока отстают в внедрении этих технологий.