Censé corrigé BGP, le protocole RPKI épinglé pour ses failles

L'infrastructure de clé publique de ressource (Resource Public Key Infrastructure ou RPKI) n'est pas encore la solution attendue pour combler les failles de sécurité du Border Gateway Protocol (BGP) de l'Internet, comme beaucoup dans le secteur des communications le pensent, a averti une équipe de chercheurs allemands. Dans un article récemment publié intitulé « RPKI : Pas parfait mais suffisamment bon », Haya Schulmann et Niklas Vogel, du Centre National de Recherche Athene pour la Cybersécurité Appliquée et de l'Université Goethe de Francfort, ainsi que Michael Waidner, d'Athene et de l'Université Technique de Darmstadt, décrivent une série de problèmes liés au RPKI qui doivent encore être résolus pour que celui-ci tienne ses promesses.

L’article jette un froid sur l’optimisme du National Cyber Director du gouvernement américain (ONCD), qui a publié le mois dernier une feuille de route demandant aux fournisseurs d’accès à Internet (FAI) américains d’accélérer la mise en place du RPKI afin de remédier à l’insécurité largement reconnue du BGP.

Limiter la surface d'attaque

Le problème fondamental avec le protocole BGP, sur lequel repose aujourd’hui le routage Internet, est qu'il a été conçu sans ce que les auteurs qualifient d’« authentification cryptographique des annonces ». Pour faire simple, les fournisseurs de services peuvent, intentionnellement ou par mauvaise configuration, introduire de fausses routes (ou trompeuses) qui détournent ou redirigent le trafic, ou usurpent des routes légitimes. C’est un problème récurrent ces dernières années, avec plusieurs incidents de routage BGP signalés, dont plus d'un impliquant China Telecom en 2018. C'est à ce moment-là que le gouvernement américain a commencé à s’intéresser au BGP, qui jusqu’alors était une question qui préoccupait essentiellement les ingénieurs. Sous BGP, il n'existe aucun moyen d'authentifier les modifications de routage. L'arrivée du RPKI il y a un peu plus de dix ans visait à résoudre ce problème, en utilisant un enregistrement numérique appelé Autorisation d'Origine de Route (ROA) qui identifie un FAI comme ayant l'autorité sur une infrastructure IP spécifique. La validation de l’origine des routes (ROV) est le processus qu’un routeur suit pour vérifier qu’une route annoncée est autorisée par le bon certificat ROA. En principe, cela rend impossible pour un routeur malveillant de revendiquer une route qu’il n’a pas le droit d'utiliser. RPKI est l'infrastructure à clé publique qui lie tout cela, en termes de sécurité.

Le problème, c'est que pour que ce système fonctionne, il faut que beaucoup plus de FAI adoptent le RPKI, ce qui, jusqu’à récemment, n’a progressé que très lentement. Cependant, bien que les chercheurs notent des progrès, ils soulignent que des problèmes plus profonds subsistent. Beaucoup de ces problèmes sont similaires à ceux rencontrés avec n’importe quel logiciel. « Nous constatons que les implémentations actuelles du RPKI manquent encore de résilience à l’échelle de la production et sont minées par des vulnérabilités logicielles, des spécifications incohérentes et des défis opérationnels, soulevant ainsi des inquiétudes majeures en matière de sécurité », écrivent les auteurs dans leur introduction. Le RPKI a donc besoin d’un processus pour traiter les vulnérabilités. Il lui faut des outils pour corriger ces failles, ainsi qu’un moyen de s’assurer qu’aucun code malveillant ne s’infiltre dans la chaîne d'approvisionnement du développement.

Renforcé la supply chain

En parallèle, les FAI qui déploient cette technologie manquent d’outils automatisés pour corriger les vulnérabilités dès qu'elles apparaissent, expliquent les auteurs. Ce manque d’automatisation oblige également les FAI à se reposer sur des processus manuels qui entraînent des erreurs et des connexions lentes dues à des erreurs de configuration. « Les déploiements manquent d’expérience avec la validation stricte du RPKI dans des environnements de production complets et fonctionnent en mode de test ‘fail-open’ », ajoutent les auteurs. Comme le mode « fail-open » propage des routes invalides bien qu’elles échouent à la validation RPKI, c’est comme apprendre à faire du vélo avec des roues stabilisatrices, mais en tombant quand même. Il existe également un risque considérable que des acteurs malveillants tentent d’insérer des portes dérobées dans les logiciels RPKI. « Étant donné que toutes les implémentations logicielles populaires du RPKI sont open source et acceptent les contributions de la communauté, la menace de portes dérobées intentionnelles est importante dans le contexte du RPKI », expliquent-ils. Une chaîne d'approvisionnement logicielle qui développe des logiciels aussi cruciaux pour le routage Internet devrait être soumise à un degré plus élevé de tests et de validation, affirment-ils.

Les auteurs ne proposent pas de solutions simples aux lacunes actuelles du RPKI, admettant que « exiger une pleine maturité avant un déploiement à grande échelle est une attente très académique ; dans la vraie vie, il n’existe rien comme la pleine maturité et la perfection, seulement quelque chose de plus ou moins suffisamment bon ». Ce qu'ils semblent dire, c'est que l'importance du RPKI pour l'Internet mérite plus d’attention qu’un projet de sécurité ordinaire. Il a besoin de meilleurs outils d’automatisation pour faciliter sa gestion et ses correctifs, ainsi que d’une plus grande attention à la chaîne d'approvisionnement logicielle. Surtout, avec la feuille de route de la Maison-Blanche qui a redéfini les attentes, cette attention est dès maintenant nécessaire. Jusqu’à présent, le RPKI a progressé sans heurt. Cependant, l’implication des gouvernements, qui ne fera que croître étant donné la grande importance du routage internet pour la sécurité numérique, marque le début d'une phase exigeant une meilleure mise en œuvre.