ROA : Route Origin Authorization
Réseau
ROA : Route Origin Authorization. « Autorisation d'origine de route », par analogie avec la procuration signée qui désigne qui a le droit de parler au nom du propriétaire d'un terrain.
Contenu : Un ROA est un objet signé de la RPKI qui associe un numéro d'AS (Autonomous System, système autonome) à un ou plusieurs préfixes, chacun avec une longueur maximale autorisée. Il est signé avec un certificat délivré par la chaîne des registres, en remontant jusqu'à un RIR (Registre Internet Régional).
Usage par les routeurs : Les opérateurs récupèrent les ROA publiés, les valident, puis classent chaque annonce BGP en valide, invalide ou inconnue : c'est la validation d'origine (ROV). Rejeter les invalides est le geste qui donne un sens à tout l'édifice.
Longueur maximale : Une longueur maximale trop généreuse autorise des sous-préfixes que personne n'annonce, et un imposteur peut alors les annoncer en usurpant l'origine légitime. On a rarement vu autant de soin mis à signer une porte laissée entrouverte.
Ce qu'il ne couvre pas : Un ROA atteste l'origine, pas le chemin : un AS intermédiaire peut toujours mentir sur la suite du trajet. D'autres mécanismes comme ASPA s'attaquent à cette partie.
Ce qui arrive si on s'en passe
Sans ROA publié, un préfixe reste dans l'état « inconnu » pour tous les routeurs qui pratiquent la validation d'origine : ils ne peuvent pas distinguer l'annonce légitime d'une annonce usurpée, et aucune ne sera rejetée. Un AS malveillant ou mal configuré peut alors annoncer ce préfixe, ou un sous-préfixe plus précis qui l'emporte à la sélection de route, et détourner le trafic vers lui pour l'écouter, le perdre ou le bloquer. Le propriétaire des adresses se prive ainsi d'une protection que les autres opérateurs appliquent déjà. À l'inverse, un ROA périmé ou erroné rend invalide l'annonce légitime : sa maintenance fait partie du dispositif, au même titre que sa création.
Explication de la marmotte
Sur Internet, chaque grand réseau annonce aux autres : « pour joindre telle adresse, passez par moi ». Rien n'empêche un réseau de mentir et d'attirer vers lui un trafic qui ne lui appartient pas. Pour limiter ça, le vrai propriétaire d'un bloc d'adresses peut publier une sorte d'attestation signée : « seul ce réseau-là a le droit d'annoncer mes adresses ». Les autres réseaux consultent ces attestations et peuvent ignorer les annonces qui ne correspondent pas. C'est comme une liste officielle, tamponnée par la mairie, des personnes autorisées à récupérer un colis à un nom donné.
Où ce terme est utilisé
- BGP, la confiance par défaut (15 occurrences)
- BGP, Internet, anycast et sécurité des annonces (9 occurrences)