Protokol BGP (Border Gateway Protocol), který používají poskytovatelé připojení a peeringové uzly, není zrovna bezpečný. Zabezpečení RPKI (Resource public Key Infrastructure) sice již dlouhou dobu existuje, ale je pomalu nasazováno.
Více se o RPKI dozvíte například v našem dva roky starém článku. Cloudflare v pátek spustil server „Is BGP Safe Yet“, kde můžete snadno prověřit svého ISP, zda RPKI používá.
(Zdroj: Slashdot)
Je fajn, že někdo udělal lepší webový test než ten předchozí, který byl spíš jen takovým experimentem. Ale to načasování se moc nepovedlo. V době koronakrize, kdy spousta lidí pracuje z domova a je závislá na funkčním připojení k internetu není radno provádět takovéto konfigurační změny, které můžou snadno vyústit v zahazování legitimního provozu.
Jak navíc trefně upozorňuje ex-zaměstnanec Ben Cox, zdá se, že i samotný Cloudflare má v zahazování nevalidních prefixů rezervy.
Your ISP (Vodafone Czech Republic, AS16019) does not implement BGP safely. It should be using RPKI to protect the Internet from BGP hijacks.
A tak at to tu neni az tak pesimisticky... :D Ale ano, vim ze moc lidi v nasi kotline si s tim zatim nehralo.
Your ISP (VSHosting s.r.o., AS43541) implements BGP safely. It correctly drops invalid prefixes.
fetch https://valid.rpki.cloudflare.com
correctly accepted valid prefixes
fetch https://invalid.rpki.cloudflare.com
correctly rejected invalid prefixes
Ale ono to neni vubec tezke to overit ani z druhe strany. Zatim prave diky tomu, ze mnoho siti realne validaci neprovadi. Staci vypropagovat RPKI-invalid prefix a z testovaciho stroje v nem umistenem otestovat chovani cilovych siti z pohledu RPKI validace. Pokud mel Vas ISP problem s routovanim a soucasne priznavate, ze vlastne nema vlastni sitare znale problematiky a nejak to flikuje na koleni... tak si ke skutecne pricine tech problemu defacto odpovidate sam ;-) Tutlani problemu pred negativnimi dopady rozhodne neochrani. Security through obscurity neni z pohledu bezpecnosti funkcni model.
