BGPsec

Uma extensão do BGP em que cada AS do caminho assina o anúncio da rota, para que o próprio AS path possa ser verificado.

O BGPsec (RFC 8205, setembro de 2017) é a camada de validação de caminho pensada para complementar a origin validation do RPKI, que só confere quem originou um prefix. O leitor o encontra em discussões de segurança de roteamento como um padrão pronto que, em 2024, o governo americano constatou ainda não implementado por fabricantes comerciais de roteadores.

Ele funciona por um atributo de caminho opcional e não transitivo que carrega assinaturas digitais produzidas por cada AS que propaga o UPDATE. A garantia é que cada AS listado autorizou explicitamente o anúncio da rota ao AS seguinte do caminho. A RFC 8205 o apresenta como complemento da origin validation; usados juntos, os dois devem impedir uma grande variedade de ataques de sequestro de rota.

A implantação parcial é a parte difícil. Se um AS do caminho não suporta BGPsec, o UPDATE assinado é convertido em um não assinado antes de seguir para esse AS, e a garantia daquele caminho se perde; a RFC 8207 descreve o resultado como ilhas de caminhos garantidos. Ele também só protege o plano de controle: não garante que os pacotes de dados sigam o caminho indicado.

A implantação é onde ele para. Em 2015, a BCP 194 ainda o chamava de trabalho em andamento, impossível de implementar. O roadmap do Office of the National Cyber Director, de setembro de 2024, diz que os padrões ficaram prontos em 2017 e que existem implementações de referência em protótipo, mas que o padrão ainda não foi implementado por fabricantes comerciais de roteadores, e aponta duas barreiras: ele muda o formato das mensagens BGP e, na implementação típica, exige que os roteadores processem assinaturas.

Também conhecido como: bgp-sec, bgpsec protocol, bgp path validation, as path signing

Fontes

← Todos os verbetes do glossário