Je suis un homme du siècle dernier, j’essaie de m’adapter, mais je n’en ai pas vraiment envie.
La norme de sécurisation du routage Internet #BGPsec vient enfin d’être publiée. Il ne reste « plus qu’à » mettre en œuvre dans les routeurs et à déployer.
RFC 8205 BGPsec Protocol Specification
▻http://www.bortzmeyer.org/8205.html
RFC 8207 BGPsec Operational Considerations
▻http://www.bortzmeyer.org/8207.html
RFC 8210 The Resource Public Key Infrastructure (RPKI) to Router
Protocol (RTR), Version 1
▻http://www.bortzmeyer.org/8210.html
(Et quelques autres RFCs)
un commentaire sur Cloudflare et sa pub peu subtile via ▻https://isbgpsafeyet.com ?
@erratic Très bon service, et très utile pour sensibiliser les gens.
Oui, c’est dommage que ce soit Cloudflare qui le fasse, mais si on comptait sur la startup nation, la frenche tèche et le cloud souverain, on n’aurait toujours rien.
@stephane - Mais est-ce que RPKI est suffisant ? J’ai lu :
“a malicious party can easily work around RPKI by simply adding the AS number that’s authorized to originate a prefix to the end of the AS path in an otherwise fake BGP update. The RPKI mechanism won’t detect this; it simply trusts that the AS path is correct. And that’s where BGPsec comes in. The BGPsec protocol is intended to make sure that the AS path is indeed legitimate.”
▻https://www.noction.com/blog/bgpsec-protocol
@erratic Attention, l’auteur confond (c’est quand même assez nul de sa part) RPKI et ROA. ROA (le test fait par le site Web de Cloudflare) ne détecte en effet que les attaques les plus sommaires (et les erreurs de manipulation, qui sont quand même la grande majorité des détournements BGP). BGPsec est plus complet mais aussi bien plus compliqué.
BGPsec et ROA reposent, tous les deux, sur la #RPKI.