Qu’est-ce que l’autorisation d’origine de routage (ROA) ?

Une Route Origin Authorization (ROA) est un objet signé cryptographiquement au sein de la Resource Public Key Infrastructure (RPKI) qui permet au détenteur d’une ressource d’adresses IP de spécifier quel système autonome (AS) est autorisé à être à l’origine des routes pour certains préfixes IP. Les ROA fournissent aux opérateurs réseau des informations vérifiables pouvant être utilisées pour évaluer l’origine des annonces du Border Gateway Protocol (BGP).

Les ROA constituent un élément important de la sécurité moderne du routage, car BGP ne vérifie pas lui-même de manière cryptographique si le système autonome qui annonce un préfixe IP a été autorisé par le détenteur de la ressource. Lorsqu’elles sont combinées à la Route Origin Validation (ROV), les données ROA aident les réseaux à identifier les annonces dont les informations d’origine sont en conflit avec les autorisations de routage publiées.

Cependant, une ROA ne valide pas l’intégralité du chemin BGP et n’empêche pas tous les types de fuites de routes ou d’incidents de routage. Comprendre précisément ce qu’une ROA autorise — et comment la configurer correctement — est essentiel pour maintenir à la fois la sécurité du routage et la continuité du réseau.

Qu’est-ce qu’une Route Origin Authorization (ROA) ?

Une Route Origin Authorization (ROA) est un objet RPKI signé numériquement par lequel le détenteur d’une ressource d’adresses IP autorise un Autonomous System Number (ASN) particulier à être à l’origine des routes pour un ou plusieurs préfixes IP.

Les ROA font partie de la Resource Public Key Infrastructure. Leur objectif n’est pas d’indiquer aux routeurs quel chemin est le meilleur. Elles fournissent plutôt des informations d’autorisation vérifiables que les opérateurs réseau peuvent comparer aux annonces BGP.

Par exemple, une organisation contrôlant un préfixe IPv4 peut créer une ROA indiquant que AS64500 est autorisé à être à l’origine de ce préfixe. Les réseaux effectuant une Route Origin Validation peuvent ensuite comparer les annonces BGP observées avec cette autorisation.

La norme IETF actuelle définissant le profil ROA est la RFC 9582, publiée en 2024, qui a remplacé l’ancienne spécification RFC 6482.

Pourquoi la ROA est-elle importante ?

Le Border Gateway Protocol (BGP) est chargé d’échanger les informations de routage entre les systèmes autonomes sur Internet. BGP permet aux réseaux d’annoncer les préfixes IP qu’ils peuvent atteindre, mais le BGP traditionnel ne comporte pas de mécanisme cryptographique intégré permettant de prouver que l’ASN d’origine est autorisé par le détenteur de cet espace d’adressage.

Cela crée la possibilité qu’un ASN incorrect annonce le préfixe d’un autre réseau, que ce soit à la suite d’une erreur de configuration ou d’une activité malveillante.

Comment fonctionne une ROA ?

La validation des routes basée sur les ROA implique plusieurs composants distincts. Le détenteur de la ressource publie l’autorisation, le logiciel de validation RPKI vérifie les données signées cryptographiquement, et les opérateurs réseau décident de la manière dont les informations de validation obtenues doivent influencer la politique de routage BGP.

Quelles informations contient une ROA ?

Pour le routage, trois éléments d’information sont particulièrement importants pour comprendre une ROA :

Un objet ROA unique autorise un seul ASN d’origine. Si le même espace d’adressage doit légitimement être annoncé par plusieurs systèmes autonomes, plusieurs ROA peuvent être créées afin de représenter ces autorisations.

Comment ROA et RPKI fonctionnent ensemble

ROA et RPKI sont étroitement liés, mais il ne s’agit pas de la même chose. RPKI est le cadre cryptographique plus large destiné aux ressources numériques d’Internet. Une ROA est un type d’objet signé créé au sein de ce cadre.

À lire également : Qu’est-ce que RPKI et comment fonctionne-t-il ?

Validation ROA : Valid, Invalid et NotFound

Lorsqu’une annonce BGP est comparée aux informations d’autorisation RPKI validées, le résultat de la validation de l’origine est généralement classé comme Valid, Invalid ou NotFound. Certaines interfaces peuvent utiliser le terme Unknown pour le troisième état.

Une route Invalid ne doit pas automatiquement être interprétée comme la preuve d’une attaque. Des routes légitimes peuvent devenir Invalid en raison d’une ROA obsolète, d’un ASN incorrect, d’une migration ou d’une longueur maximale mal configurée.

Qu’est-ce que maxLength dans une ROA ?

Le champ facultatif maxLength détermine jusqu’à quel niveau de spécificité une annonce peut aller tout en restant autorisée par cette ROA.

Supposons qu’une organisation contrôle 203.0.113.0/24. Si elle autorise AS64500 à annoncer uniquement ce /24 exact, elle n’a pas besoin d’autoriser des préfixes plus spécifiques supplémentaires.

Si l’organisation a légitimement besoin qu’AS64500 annonce des préfixes /25 à l’intérieur du /24, l’autorisation peut permettre des annonces plus spécifiques jusqu’au /25.

Comment la ROA contribue à réduire le risque de détournement BGP

Un détournement de préfixe BGP peut se produire lorsqu’un système autonome annonce un espace d’adressage qu’il n’est pas autorisé ou censé annoncer. Les annonces incorrectes peuvent résulter d’erreurs de configuration ou d’une activité malveillante.

La publication d’une ROA précise permet aux réseaux effectuant ROV de distinguer une origine autorisée d’une annonce en conflit avec l’autorisation publiée par le détenteur de la ressource.

Ce contre quoi une ROA ne protège pas

La ROA est un mécanisme de sécurité précieux, mais sa fonction ne doit pas être exagérée. La Route Origin Validation standard basée sur les ROA se concentre spécifiquement sur l’autorisation de l’origine des routes.

Cette distinction est particulièrement importante, car présenter les ROA comme une solution générale aux fuites de routes peut créer une attente incorrecte quant à l’étendue de leur protection.

Comment créer une ROA

Le processus exact de création d’une ROA dépend de la manière dont l’environnement de certification RPKI de l’organisation est géré. Les détenteurs de ressources numériques Internet utilisent généralement les services RPKI associés au registre Internet régional approprié ou exploitent, lorsque cela est applicable, une infrastructure RPKI déléguée.

Avant de créer l’autorisation, l’équipe réseau doit déterminer la configuration de routage de production prévue.

Une fois publiée, la ROA doit être vérifiée par rapport aux annonces BGP réelles de l’organisation. La surveillance doit se poursuivre après le déploiement, plutôt que de considérer la création d’une ROA comme une tâche de configuration ponctuelle.

Erreurs courantes de configuration des ROA

ASN d’origine incorrect

Si l’ASN spécifié dans la ROA ne correspond pas à l’ASN qui est réellement à l’origine de la route, une annonce légitime peut devenir Invalid.

Longueur maximale incorrecte

Un réseau peut légitimement annoncer des préfixes plus spécifiques, mais si l’autorisation ne permet pas ces longueurs de préfixe, les annonces peuvent être classées comme Invalid.

maxLength excessivement large

Autoriser des préfixes nettement plus spécifiques que ceux que le réseau prévoit d’annoncer peut élargir inutilement la portée de l’autorisation.

Oublier de mettre à jour les ROA lors d’une migration

Si un réseau change de fournisseur upstream ou déplace un préfixe vers un autre ASN d’origine, son autorisation de routage doit être coordonnée avec la migration. Dans le cas contraire, la nouvelle route légitime peut devenir Invalid.

Supprimer une autorisation trop tôt

Lors des migrations de routage, supprimer l’ancienne autorisation avant que le trafic ait été entièrement déplacé peut provoquer temporairement des problèmes de validation de l’origine. Les changements d’autorisation et les changements BGP doivent suivre une séquence contrôlée.

Bonnes pratiques ROA pour les opérateurs réseau

ROA et gestion des adresses IP

La gestion des ROA montre pourquoi la gestion des adresses IP publiques va au-delà du simple fait de posséder ou d’accéder à un bloc d’adresses. Une ressource IPv4 ou IPv6 utilisée en production doit également être correctement routée, enregistrée, autorisée, surveillée et maintenue.

Cela devient particulièrement important lors de la location d’adresses IPv4, des migrations réseau, des changements de fournisseur, du multihoming et de l’expansion de l’infrastructure. L’autorisation de routage doit rester alignée sur l’ASN d’origine réel pendant tout le cycle de vie opérationnel.

Les organisations qui gèrent des ressources IPv4 publiques devraient donc inclure la vérification des ROA et de RPKI dans leurs procédures de modification du routage, plutôt que de les traiter comme des tâches administratives distinctes.

Conclusion

Route Origin Authorization est l’un des composants les plus importants de la sécurité du routage basée sur RPKI. Une ROA permet au détenteur d’une ressource d’adresses IP de publier une autorisation cryptographiquement vérifiable indiquant quel système autonome peut être à l’origine de préfixes IP spécifiés.

Les réseaux effectuant une Route Origin Validation peuvent comparer les annonces BGP avec cette autorisation et classer l’origine des routes comme Valid, Invalid ou NotFound. Cela fournit un signal de sécurité supplémentaire qui peut aider à identifier certaines annonces d’origine non autorisées ou mal configurées.

Les ROA doivent néanmoins être gérées avec soin. Un ASN d’origine incorrect, une longueur maximale trop restrictive ou trop large, ou une migration de routage mal coordonnée peut affecter la validation de routes légitimes. La ROA ne valide pas non plus l’intégralité du chemin BGP et n’élimine pas toutes les formes de fuite de routes.

Pour les opérateurs réseau, la ROA doit donc être considérée comme un élément d’une stratégie plus large de gestion du routage et des ressources IP combinant des autorisations précises, la surveillance BGP, le filtrage des routes, la gestion des changements et la continuité opérationnelle.

Questions fréquemment posées

1. Que signifie ROA ?

ROA signifie Route Origin Authorization. Il s’agit d’un objet RPKI signé qui autorise un système autonome à être à l’origine des routes pour certains préfixes IP.

2. Quelle est la différence entre ROA et RPKI ?

RPKI est l’infrastructure cryptographique plus large destinée aux ressources numériques d’Internet. Une ROA est un type d’objet signé au sein de RPKI qui décrit l’autorisation de l’origine d’une route.

3. Quelles informations sont incluses dans une ROA ?

Pour le routage, une ROA identifie un ASN d’origine autorisé et un ou plusieurs préfixes IP. Chaque préfixe peut également inclure une longueur maximale facultative définissant jusqu’à quel niveau de spécificité une annonce BGP autorisée peut aller.

4. Que signifie une ROA Valid ?

Un état d’origine de route Valid signifie que l’annonce BGP est couverte par au moins une autorisation validée qui permet son ASN d’origine et sa longueur de préfixe.

5. Que signifie RPKI Invalid ?

Invalid signifie qu’une autorisation couvrant la route existe, mais que l’annonce BGP ne correspond pas à un ASN d’origine autorisé ou à une longueur de préfixe permise.

6. Que signifie NotFound ?

NotFound signifie qu’aucune ROA validée ne couvre le préfixe annoncé. Cet état est différent de Invalid et n’indique pas à lui seul un routage non autorisé.

7. Une ROA empêche-t-elle le détournement BGP ?

La Route Origin Validation basée sur les ROA peut aider les réseaux à identifier certaines origines de routes non autorisées lorsque des ROA appropriées existent. Elle réduit le risque, mais n’empêche pas toutes les formes de détournement BGP.

8. Une ROA empêche-t-elle les fuites de routes ?

Pas nécessairement. Une fuite de route peut toujours provenir de l’ASN correct et autorisé et apparaître ainsi comme Valid dans le cadre de la Route Origin Validation. Une ROA ne valide pas l’intégralité du chemin AS.

9. Une ROA incorrecte peut-elle perturber un routage légitime ?

Oui. Une autorisation incorrecte de l’ASN ou de la longueur de préfixe peut rendre Invalid des annonces BGP légitimes. Les réseaux qui rejettent les routes Invalid peuvent alors cesser d’accepter ces annonces.

10. Quand une ROA doit-elle être mise à jour ?

Les ROA doivent être vérifiées chaque fois que l’ASN d’origine, la structure des préfixes, les annonces plus spécifiques, l’architecture upstream ou toute autre configuration de routage pertinente change.