RPKI, internet yönlendirme duyurularının doğruluğunu kriptografik olarak doğrulamayı sağlayan bir kaynak sertifikasyon altyapısıdır. Sistem, hangi ağın hangi adres blokunu duyurmaya yetkili olduğunu kayıt altına alır. Yönlendiriciler bu kayıtları kullanarak gelen duyuruları doğrular ve yetkisiz olanları reddeder. Böylece hatalı ya da kötü niyetli duyuruların yayılması engellenir. Bu altyapı, yönlendirme güvenliğinin temel bileşenidir. Benimseme oranı zamanla artmaktadır.

Sistem, adres blokları için yetkilendirme kayıtları üretilmesine dayanır. Blok sahibi, hangi ağ numarasının bu bloku duyurabileceğini ve azami blok uzunluğunu belirtir. Bu kayıt kriptografik olarak imzalanır ve dağıtılır. Doğrulama yapan yönlendiriciler kaydı kontrol eder. Uyumsuz duyurular geçersiz sayılır. Karar yapılandırmaya göre verilir.

RPKI ile Yönlendirme Güvenliği Nedir?

RPKI, adres bloklarının hangi ağlar tarafından duyurulabileceğini kriptografik olarak belgeleyen ve yönlendirme duyurularının bu belgelere göre doğrulanmasını sağlayan altyapıdır.

Doğrulama sonucunda üç durum ortaya çıkabilir: geçerli, geçersiz ve bulunamadı. Geçerli duyurular normal işlenir, geçersiz olanlar reddedilebilir. Bulunamadı durumu, ilgili blok için kayıt üretilmemiş olduğunu gösterir. Bu durumda duyuru genellikle kabul edilir. Kapsam arttıkça bu durumun oranı azalır. Koruma güçlenir.

Nasıl Uygulanır?

Adres bloku sahipleri için ilk adım, yetkilendirme kayıtlarının oluşturulmasıdır. Bu işlem, bloku tahsis eden kuruluşun portalı üzerinden yapılır. Kaydın doğru oluşturulması kritik önemdedir; hatalı kayıt kendi duyurularınızın reddedilmesine yol açabilir. Bu nedenle önce doğrulama araçlarıyla kontrol edilmelidir. Test ortamı kullanılabilir. Dikkat gereklidir.

İkinci adım, doğrulama yapan yönlendiricilerin yapılandırılmasıdır. Bu adım genellikle internet servis sağlayıcıları tarafından yapılır. Kurumsal kullanıcılar için ise sağlayıcının doğrulama yapıp yapmadığı önemlidir. Bu bilgi sağlayıcıdan talep edilmelidir. Tedarik değerlendirmesinde yer alır. Kriter olarak kullanılır.

Üçüncü adım, kayıtların güncel tutulmasıdır. Adres bloku başka bir sağlayıcıya taşındığında ya da yeni bloklar eklendiğinde kayıtlar güncellenmelidir. Güncellenmeyen kayıtlar kesintiye yol açar. Bu süreç değişiklik yönetimine bağlanmalıdır. Kontrol listesi kullanılır. Sorumlu atanır.

• Adres bloku için yetkilendirme kaydı oluşturulması
• Azami blok uzunluğunun doğru belirlenmesi
• Kayıtların doğrulama araçlarıyla kontrol edilmesi
• Sağlayıcının doğrulama yaptığının teyit edilmesi
• Değişikliklerde kayıtların güncellenmesi

Sağladığı Koruma ve Sınırları

Altyapı, yetkisiz kaynak duyurularını engeller ve yönlendirme kaçırma olaylarının önemli bir bölümünü önler. Özellikle yapılandırma hatasından kaynaklanan olaylarda etkilidir. Kasıtlı saldırılarda da koruma sağlar. Buna karşılık tüm senaryoları kapsamaz. Yol manipülasyonuna karşı koruma sınırlıdır. Ek mekanizmalar geliştirilmektedir.

Koruma, kapsamın genişliğine bağlıdır. Kayıt üretilmemiş bloklar için doğrulama yapılamaz ve koruma sağlanmaz. Bu nedenle yaygın benimseme önemlidir. Kurumların kendi bloklarını kaydetmesi kolektif faydaya katkı sağlar. Uygulama maliyeti düşüktür. Getirisi geniştir.

Ayrıca doğrulama yapmayan sağlayıcılar üzerinden yayılan duyurular etkisini sürdürebilir. Bu nedenle sağlayıcı seçimi de bir güvenlik kararıdır. Doğrulama yapan sağlayıcıların tercih edilmesi önerilir. Bu kriter sözleşmeye eklenebilir. Denetim yapılabilir. Sorgulanmalıdır.

İzleme ile Birlikte Kullanım

Altyapı önleyici bir kontroldür; izleme ise tespit sağlar. İkisi birlikte kullanıldığında hem yetkisiz duyurular engellenir hem de gerçekleşenler hızla fark edilir. İzleme hizmetleri, kurumun bloklarına ait duyuruları sürekli gözlemler. Uyarı geldiğinde inceleme başlatılır. İki katman tamamlayıcıdır. Birlikte planlanır.

Kayıtların doğruluğunun izlenmesi de gereklidir. Hatalı bir kayıt, kendi duyurularınızın geçersiz sayılmasına yol açar ve kesinti üretir. Bu durum izleme araçlarıyla tespit edilir. Erken uyarı, kesintiyi önler. Kurulum basittir. Maliyeti düşüktür.

Kayıt Oluşturmada Dikkat Edilecekler

Yetkilendirme kaydı oluştururken azami blok uzunluğu doğru belirlenmelidir. Bu değer, duyurulabilecek en dar bloku tanımlar. Çok dar tanımlanırsa meşru duyurular geçersiz sayılabilir. Çok geniş tanımlanırsa ise koruma zayıflar. Mevcut duyuru yapısı incelenerek karar verilir. Değişiklik planı da dikkate alınır.

Birden fazla ağdan duyuru yapılıyorsa her biri için kayıt gerekir. Yedeklilik amacıyla farklı sağlayıcılar kullanan kurumlarda bu durum sıkça görülür. Eksik kayıt, yedek yolun kullanılamaması anlamına gelir. Bu risk kesinti üretir. Envanter eksiksiz olmalıdır. Kontrol yapılır.

Kayıtların doğrulanması için ücretsiz araçlar bulunmaktadır. Bu araçlar, mevcut duyurularınızın kayıtlarla uyumlu olup olmadığını gösterir. Kayıt oluşturulduktan sonra mutlaka kontrol edilmelidir. Hatalı kayıt kesinti üretir. Doğrulama basittir. Atlanmamalıdır.

Benimseme ve Ekosistem

Altyapının etkisi, benimseme oranıyla doğru orantılıdır. Doğrulama yapan sağlayıcı sayısı arttıkça, yetkisiz duyuruların yayılma alanı daralır. Son yıllarda büyük sağlayıcıların katılımıyla kapsam belirgin biçimde genişlemiştir. Bu eğilim sürmektedir. Kurumların katkısı da değerlidir. Kayıt oluşturmak kolektif fayda üretir.

Bazı ülkelerde ve sektörlerde bu uygulama zorunlu hâle gelmektedir. Kamu ve finans düzenlemeleri bu yönde ilerlemektedir. Bu durumda uygulama bir uyum gerekliliği olur. Planlama buna göre yapılır. Takvim belirlenir. Kaynak ayrılır.

Kurumların kendi altyapılarında da doğrulama yapması mümkündür. Kendi yönlendiricilerini işleten kurumlar bu özelliği etkinleştirebilir. Bu yapılandırma, gelen duyuruların doğrulanmasını sağlar. Yönlendirme kaçırma riskine karşı ek koruma sunar. Uygulama teknik bilgi gerektirir. Destek alınabilir.

Yönlendirici Yapılandırması

Doğrulama yapan yönlendiriciler, kayıt verisini bir doğrulayıcı sunucudan alır. Bu sunucu, kayıt havuzlarını düzenli olarak indirir ve doğrulanmış veri kümesi üretir. Yönlendirici bu veriyi kullanarak duyuruları değerlendirir. Sunucunun erişilebilir olması kritik önemdedir. Erişim kesildiğinde doğrulama yapılamaz. Yedeklilik önerilir.

Geçersiz duyurulara verilecek yanıt da yapılandırılır. Reddetme en güvenli seçenektir ama hatalı kayıtlar nedeniyle meşru trafiği etkileyebilir. Bu nedenle geçiş, önce izleme moduyla yapılır. Kayıtlar incelendikten sonra reddetme etkinleştirilir. Kademeli yaklaşım risk yönetir. Süreç planlanır.

Bulunamadı durumundaki duyurular genellikle kabul edilir. Kapsam genişledikçe bu durumun oranı azalır. Gelecekte bu duyuruların da reddedilmesi tartışılmaktadır. Şimdilik kabul edilmeleri gerekir. Aksi hâlde internetin önemli bir bölümü erişilemez olur. Karar ekosistem olgunluğuna bağlıdır. Yönlendirme kaçırma riski bu süreçte azalmaktadır.

Privia Security olarak internete açık altyapının erişilebilirlik ve yönlendirme risklerini siber risk analizi kapsamında değerlendiriyoruz.