RPKI: Руководство для руководителей по защите цифровых магистралей сети

Краткое содержание: что нужно знать

Почему бизнес-лидеры должны заботиться о «технических» темах вроде RPKI?

Представьте, что вы просыпаетесь и обнаруживаете, что сайт компании недоступен, письма клиентов возвращаются, а облачные сервисы не работают. Техническая команда сообщает, что кто-то «перехватил» ваш интернет-трафик. Это не гипотетический сценарий — такое регулярно происходит с организациями любого масштаба, которые не защитили свои цифровые адреса.

Простыми словами, RPKI (Инфраструктура открытых ключей ресурсов) — это цифровая система подтверждения прав на интернет-адреса. Она доказывает, что вы законный владелец своих IP-адресов, и не позволяет другим выдавать себя за вашу сеть в интернете. Без этой защиты ваше цифровое присутствие остаётся уязвимым.

В качестве менеджера по работе с клиентами в InterLIR я на собственном опыте убедился, как организации сталкиваются с последствиями инцидентов маршрутизации. Наши клиенты — от компаний в сфере кибербезопасности до хостинг-провайдеров и игровых студий — всё чаще осознают, что защита их IP-адресов является не просто технической задачей, а базовым требованием для бизнеса.

Интернет был построен на принципах доверия, но это доверие всё чаще эксплуатируется. Когда Пакистан в 2008 году случайно заблокировал YouTube на глобальном уровне, объявив его IP-адреса своими, это выявило фундаментальный изъян в системе маршрутизации. Сегодня подобные инциденты продолжают происходить — иногда случайно, но часто в результате целенаправленных атак.

В этом руководстве я простыми словами объясню, что такое RPKI, расскажу, почему его внедрение критически важно для непрерывности бизнеса, и предложу чёткий план по защите интернет-присутствия вашей организации. Вам не нужно разбираться в технических деталях — достаточно понимать, почему это важно и какие действия необходимо предпринять.

Как мы оказались с такими уязвимыми цифровыми магистралями?

Чтобы понять важность RPKI, рассмотрим, как мы пришли к текущей ситуации. Изначально интернет проектировался без акцента на безопасность — он строился на доверии между небольшим сообществом академических и исследовательских учреждений.

На заре интернета анонсирование IP-адресов, принадлежащих вашей сети, было простой системой, основанной на доверии. Это напоминало маленький городок, где все знали друг друга, и никто не запирал двери. Протокол BGP (Border Gateway Protocol), управляющий маршрутизацией трафика в интернете, был создан в этой доверительной среде.

От маленького сообщества к глобальной инфраструктуре

По мере превращения интернета из исследовательской сети в глобальную критическую инфраструктуру эта модель доверия стала проблематичной. Сегодня интернет объединяет миллиарды устройств в миллионах сетей, управляемых бесчисленными организациями по всему миру. Однако ядро системы маршрутизации по-прежнему в значительной степени работает по принципу честности.

Это создает фундаментальную проблему безопасности: любая сеть может заявить права на любой IP-адрес, при этом не существует встроенного механизма проверки таких заявлений. Это как если бы кто угодно мог заявить права на физическое местоположение вашего бизнеса, просто повесив табличку с названием вашей компании.

В InterLIR мы помогали клиентам, которые обнаружили, что их IP-адреса объявляются неавторизованными сторонами, что приводило к перенаправлению их трафика. В одном из случаев хостинг-провайдер обнаружил проблему только после жалоб клиентов на нестабильную работу сервисов — к этому моменту конфиденциальные данные уже были скомпрометированы.

Последствия этой уязвимости выходят далеко за рамки технических неудобств. Когда ваш трафик перехватывают, злоумышленники могут:

RPKI был разработан для устранения этого фундаментального пробела в безопасности путем создания криптографической системы проверки прав на объявление определенных IP-адресов. Это цифровой аналог защиты прав собственности в защищенном от подделки реестре.

Что такое RPKI и как это защищает ваш бизнес?

Когда я объясняю RPKI нашим клиентам в InterLIR, я начинаю с простой аналогии: RPKI похож на систему цифровых правоустанавливающих документов и сертификатов проверки для ваших интернет-адресов. Позвольте мне разбить это на практические аспекты, которые важны для вашего бизнеса.

Основные компоненты защиты RPKI

RPKI состоит из трёх ключевых компонентов, которые работают вместе для защиты вашей сети:

Вот как это работает на практике: ваша организация создаёт ROA для ваших IP-адресов через региональный интернет-регистратор (RIR). Эти ROA криптографически подтверждают, что вы уполномочены использовать эти адреса. Другие сети затем проверяют анонсы маршрутов по этим ROA, прежде чем принимать трафик, предназначенный для ваших адресов.

Три состояния валидации маршрутов

Когда другие сети проверяют ваши анонсы маршрутов, они классифицируют их по трём состояниям:

В InterLIR мы наблюдаем значительные изменения в подходе организаций к RPKI. Всего два года назад многие наши клиенты считали его опциональным. Сегодня он становится стандартным бизнес-требованием, поскольку крупные сети всё чаще фильтруют невалидные маршруты.

Например, один из наших клиентов, игровая компания с IP-адресами в нескольких регионах, изначально сопротивлялся внедрению RPKI из-за кажущейся сложности. После инцидента с угонами маршрутов, который привел к простою их сервисов на несколько часов, они быстро изменили подход. Бизнес-последствия — потеря выручки, жалобы клиентов и затраты на экстренное реагирование — значительно перевесили скромные усилия, необходимые для внедрения RPKI.

Два подхода к внедрению: Hosted vs. Delegated

Существует два способа внедрения RPKI, каждый с разным уровнем сложности и контроля:

Для большинства наших клиентов в InterLIR я рекомендую начать с Hosted RPKI. Он обеспечивает преимущества безопасности с минимальными операционными затратами. При необходимости вы всегда можете перейти на Delegated RPKI, если этого потребуют специфические требования.

Какова реальная бизнес-стоимость игнорирования RPKI?

При обсуждении RPKI с клиентами неизбежно возникает вопрос о рентабельности инвестиций (ROI). Позвольте мне изложить это в терминах, которые важны для руководителей бизнеса, а не только для технических специалистов.

Скрытые издержки ненадёжной маршрутизации

Один из наших клиентов, SaaS-провайдер с клиентами по всей Европе, столкнулся с этим на собственном опыте. Их трафик был перехвачен почти на четыре часа, прежде чем проблема была обнаружена. Инцидент привёл к потере примерно €30 000 выручки, потребовал экстренного реагирования технической команды (включая ночные часы) и привёл к дорогостоящему аудиту безопасности для выявления возможной утечки данных.

Конкурентное отставание из-за бездействия

Помимо прямых затрат, игнорирование RPKI создает растущее конкурентное disadvantage. Крупные сети и поставщики контента все чаще внедряют строгую проверку маршрутов, что означает отклонение недействительных маршрутов. Если ваша организация не реализовала RPKI должным образом, ваши сервисы могут стать недоступными для клиентов, использующих эти сети.

Эта тенденция ускоряется. В InterLIR мы наблюдаем, что внедрение RPKI выросло с примерно 20% адресного пространства IPv4 в 2020 году до более чем 40% сегодня. Крупные облачные провайдеры и сети доставки контента возглавляют этот процесс, и некоторые уже внедрили фильтрацию недействительных маршрутов.

Бизнес-реальность проста: внедрение RPKI превращается из рекомендации по безопасности в базовое требование для подключения к интернету. Организации, которые откладывают внедрение, сталкиваются с растущим риском перебоев в обслуживании по мере развития экосистемы интернета.

Обоснование инвестиций

По сравнению с потенциальными затратами из-за инцидентов маршрутизации внедрение RPKI требует минимальных вложений:

Когда я обсуждаю это с клиентами, я представляю RPKI не как затраты, а как страховой полис, защищающий их цифровую инфраструктуру. Окупаемость этих скромных инвестиций становится очевидной при сравнении с потенциальными затратами от одного инцидента маршрутизации.

Каков план разумного лидера по внедрению RPKI?

Основываясь на нашем опыте помощи организациям во внедрении RPKI в InterLIR, я разработал простой план, которому могут следовать руководители бизнеса. Этот подход балансирует между улучшением безопасности и операционной практичностью.

Фаза 1: Подготовка и планирование

1️⃣ Инвентаризация IP-ресурсов — Составьте полный список всех блоков IP-адресов, которыми владеет или пользуется ваша организация, включая информацию о том, в каком RIR они зарегистрированы.

2️⃣ Документирование BGP-анонсов — Вместе с технической командой задокументируйте, какие именно IP-префиксы вы анонсируете и через какие ASN (номера автономных систем).

3️⃣ Определение заинтересованных сторон — Выявите, кто должен быть задействован в процессе внедрения, обычно включая операторов сети, команды безопасности и поставщиков услуг.

Эта подготовительная фаза критически важна для плавного внедрения. В InterLIR мы часто помогаем клиентам с этим процессом инвентаризации, так как многие организации обнаруживают, что у них нет полных записей об их IP-ресурсах.

Фаза 2: Создание и тестирование ROA

1️⃣ Начните с Hosted RPKI — Если у вас нет особых требований к Delegated RPKI, начните с более простого варианта Hosted через ваш RIR.

2️⃣ Создавайте точные ROA — Следуйте «принципу точного соответствия», создавая ROA, которые точно соответствуют вашим фактическим BGP-анонсам.

3️⃣ Осторожность с maxLength — Установите поле maxLength в точности так, как вы анонсируете, чтобы избежать создания уязвимостей безопасности.

4️⃣ Проверьте ваши ROA — Используйте публичные инструменты валидации, чтобы убедиться, что ваши ROA правильно опубликованы и соответствуют вашим анонсам.

Частая ошибка, которую мы наблюдаем, — это создание организациями слишком разрешительных ROA с широкими значениями maxLength. Это создает уязвимости, которые могут быть использованы злоумышленниками. Например, если вы анонсируете префикс /24, но устанавливаете maxLength /28, злоумышленники могут анонсировать более конкретные префиксы (например, /28), которые будут считаться валидными согласно вашему ROA.

Этап 3: Внедрение проверки происхождения маршрутов (ROV)

После настройки ROA можно приступать к проверке входящих анонсов маршрутов от других участников. Это следует внедрять поэтапно:

1️⃣ Режим мониторинга — Начните с простого логирования статуса проверки маршрутов без каких-либо действий. Это поможет оценить потенциальное влияние фильтрации.

2️⃣ Корректировка предпочтений — Измените настройки маршрутизации, отдавая предпочтение валидным маршрутам перед неизвестными, но продолжая принимать и те, и другие.

3️⃣ Фильтрация невалидных маршрутов — Как только процесс станет понятным, начните отклонять невалидные маршруты. Это и есть полная реализация преимуществ RPKI для безопасности.

Такой постепенный подход минимизирует риски перерывов в обслуживании. Один из наших клиентов, хостинг-провайдер, во время фазы мониторинга обнаружил, что несколько его вышестоящих провайдеров имели невалидные анонсы маршрутов. Выявив эти проблемы до внедрения фильтрации, они избежали потенциальных проблем с подключением.

Обеспечение долгосрочной работоспособности вашей реализации

По мере роста распространения RPKI рассмотрите следующие перспективные шаги:

Vladislava Shadrina

Customer Account Manager