El Border Gateway Protocol (BGP), la columna vertebral del enrutamiento de Internet, se basa históricamente en un modelo de confianza mutua entre Sistemas Autónomos (ASes). Esta confianza inherente lo hace vulnerable a errores accidentales o maliciosos, como el secuestro de rutas (route hijacking) o la fuga de rutas (route leaks), que pueden redirigir el tráfico, causar interrupciones de servicio y facilitar ataques. La necesidad de introducir mecanismos criptográficos para validar la autenticidad de los anuncios de ruta es un problema fundamental de la computación distribuida que busca garantizar la integridad y disponibilidad de la red global.
RPKI y ASPA abordan esta vulnerabilidad fundamental. RPKI se centra en la validación del origen de los prefijos IP, asegurando que solo el AS autorizado pueda anunciar un bloque de direcciones. ASPA extiende esta protección a la validación de la trayectoria, permitiendo a los operadores verificar que los ASes intermedios en una ruta son proveedores legítimos. La creciente adopción de estas tecnologías es una respuesta directa a la madurez y criticidad de Internet, donde las interrupciones tienen consecuencias económicas y sociales significativas. La historia de BGP es una de evolución desde un protocolo de confianza a uno que incorpora capas de verificación criptográfica para su resiliencia.
Arquitectura del Sistema
RPKI es una infraestructura de clave pública jerárquica que mapea bloques de direcciones IP a ASes autorizados para anunciarlos. En su núcleo, los Registros Regionales de Internet (RIRs) emiten certificados criptográficos a los titulares de bloques IP. Estos titulares, a su vez, crean y firman objetos llamados Route Origin Authorizations (ROAs). Un ROA especifica un prefijo IP, el AS autorizado para anunciarlo, y opcionalmente una longitud máxima de prefijo (maxLength) que ese AS puede anunciar. Los operadores de red que implementan RPKI descargan y validan estos ROAs desde repositorios públicos (Publication Points).
Cuando un router recibe un anuncio BGP, compara el prefijo y el AS de origen con los ROAs validados. Si el anuncio coincide con un ROA válido, se considera RPKI-valid. Si no hay un ROA para el prefijo, es RPKI-unknown. Si el anuncio entra en conflicto con un ROA (ej. un AS no autorizado anuncia el prefijo), se clasifica como RPKI-invalid. Los routers configurados para aplicar RPKI pueden entonces rechazar o degradar las rutas RPKI-invalid. ASPA, por otro lado, es un mecanismo más reciente que permite a un AS publicar un registro firmado nombrando a sus proveedores upstream autorizados. Esto permite a otros ASes validar la coherencia de la trayectoria BGP, detectando fugas de rutas donde un AS anuncia prefijos a un par o cliente que no es un proveedor legítimo. ASPA complementa a RPKI al abordar la validación de la trayectoria, mientras que RPKI se enfoca en la validación del origen.
Flujo de Validación de Origen RPKI
- 1 Titular IP Crea y firma un ROA (Route Origin Authorization) para su prefijo IP y AS auto...
- 2 RIR/Repositorio Publica el ROA firmado en un repositorio accesible públicamente.
- 3 Operador de Red Descarga y valida los ROAs desde los repositorios.
- 4 Router BGP Recibe anuncio BGP (prefijo, AS de origen).
- 5 Módulo RPKI Compara anuncio BGP con ROAs validados.
- 6 Decisión de Enrutamiento Clasifica la ruta como RPKI-valid, -invalid o -unknown. Actúa según la política.
| Capa | Tecnología | Justificación |
|---|---|---|
| networking | BGP (Border Gateway Protocol) | Protocolo de enrutamiento inter-AS fundamental, sobre el cual RPKI y ASPA añaden capas de seguridad. |
| security | RPKI (Resource Public Key Infrastructure) | Proporciona un marco criptográfico para validar la autenticidad del origen de los anuncios de prefijos IP en BGP. ROA (Route Origin Authorization) con o sin maxLength. |
| security | ASPA (Autonomous System Provider Authorization) | Extiende la seguridad de BGP validando la consistencia de la trayectoria de los ASes en una ruta, previniendo fugas de rutas. |
| storage | Repositorios RPKI (Publication Points) | Almacenan y distribuyen los objetos ROA firmados para que los operadores de red puedan descargarlos y validarlos. |
Trade-offs
Ganancias
- ▲ Reducción de secuestros de ruta (route hijacks)
- ▲ Mejora de la resiliencia del enrutamiento global
- ▲ Mayor confianza en los anuncios de BGP
Costes
- △ Complejidad operativa para la publicación y mantenimiento de ROAs/ASPAs
- △ Riesgo de configuraciones erróneas (ej. maxLength demasiado permisivo, ROAs perdidos)
- ▲ Cobertura incompleta de ASPA debido a la falta de publicación de registros por parte de algunos ASes
Fundamentos Teóricos
El problema de la seguridad en el enrutamiento de Internet ha sido objeto de estudio académico desde los primeros días de BGP. La vulnerabilidad inherente a un sistema basado en la confianza fue identificada tempranamente, llevando a propuestas para asegurar el origen y la trayectoria de las rutas. El concepto de una infraestructura de clave pública para recursos de Internet, que subyace a RPKI, tiene sus raíces en los principios de criptografía de clave pública y firmas digitales, fundamentales para la autenticación y la no repudiación en sistemas distribuidos. Trabajos como los de S. Kent et al. en 'Secure Inter-Domain Routing' (RFC 4593, 2006) y 'BGP Security' (RFC 4272, 2006) sentaron las bases teóricas para la necesidad de RPKI.
La evolución de BGP y sus problemas de seguridad también se pueden conectar con el concepto más amplio de la 'tragedia de los comunes' en redes, donde la falta de incentivos individuales para asegurar un recurso compartido (el sistema de enrutamiento global) lleva a una degradación colectiva de la seguridad. La adopción de RPKI y ASPA representa un esfuerzo coordinado para superar esta tragedia, incentivando a los operadores a contribuir a la seguridad colectiva mediante la publicación de información de autorización. La validación de rutas, tanto de origen como de trayectoria, es una aplicación directa de principios de seguridad criptográfica a un problema de infraestructura crítica a escala global.