RPKI : Resource Public Key Infrastructure
Réseau
RPKI : Resource Public Key Infrastructure. « Infrastructure à clés publiques des ressources », par analogie avec le cadastre qui atteste, tampon à l'appui, qui possède quelle parcelle.
Certificats de ressources : Les registres Internet régionaux délivrent aux titulaires des certificats qui attestent leur détention de blocs d'adresses IP et de numéros d'AS (Autonomous System, système autonome). Le titulaire signe ensuite des ROA qui désignent le ou les AS autorisés à annoncer ses préfixes.
Validation d'origine : Des logiciels validateurs récupèrent et vérifient ces objets signés, puis fournissent aux routeurs une liste épurée. Chaque annonce BGP est alors classée valide, invalide ou inconnue, et la politique courante consiste à rejeter les invalides (c'est la ROV).
Ce qu'elle ne dit pas : RPKI certifie avec une rigueur notariale qui a le droit d'annoncer une adresse, et se tait sur la route empruntée : un acte de propriété impeccable, qui ignore tout des voleurs de grands chemins. Vérifier le chemin relève d'autres mécanismes, comme ASPA.
Ce qui arrive si on s'en passe
Sans validation RPKI, un routeur accepte n'importe quelle annonce d'origine : un réseau qui annonce par erreur ou par malveillance un préfixe qui n'est pas le sien attire le trafic correspondant, et une annonce plus spécifique l'emporte même sur la légitime. Le trafic peut alors être intercepté, bloqué ou jeté dans le vide, sans alerte côté victime. À l'inverse, un titulaire qui ne publie aucun ROA prive les autres réseaux du moyen de rejeter les annonces usurpant ses adresses : ses préfixes restent classés inconnus, donc acceptés. La protection n'existe que si les deux gestes sont faits, publier et filtrer.
Explication de la marmotte
Sur Internet, chaque grand réseau annonce aux autres : « pour joindre telle adresse, passez par moi ». Longtemps, tout le monde s'est cru sur parole. Ce système ajoute des attestations signées, un peu comme des titres de propriété tamponnés par une autorité reconnue, qui disent quel réseau a le droit d'annoncer quelles adresses. Les autres réseaux vérifient le tampon et ignorent une annonce qui ne colle pas. On évite ainsi qu'un réseau, par erreur ou par malice, attire vers lui le trafic destiné à quelqu'un d'autre.
Où ce terme est utilisé
- BGP, la confiance par défaut (21 occurrences)
- BGP, Internet, anycast et sécurité des annonces (6 occurrences)
- Empoisonnement de cache DNS de Kaminsky à SAD DNS et parades (2 occurrences)
- Menaces réseau, détection et réponse opérationnelle (2 occurrences)