1. کیوں بی جی پی کی مقامی اصل کی توثیق نہیں ہے۔

BGP کو آپریٹو انٹرنیٹ کے لیے ڈیزائن کیا گیا تھا جہاں تمام شرکاء پر بھروسہ کیا گیا تھا۔ ایک روٹر اپ ڈیٹ پیغام کو قبول کرتا ہے اور بغیر کسی خفیہ تصدیق کے اس کا پرچار کرتا ہے کہ اصل میں AS ان IP سابقوں کا اعلان کرنے کا مجاز ہے۔ اس کا مطلب ہے کہ کوئی بھی AS — غلط کنفیگریشن یا بددیانتی کے ذریعے — کسی اور کے سابقے کا اعلان کر سکتا ہے، اور یہ اعلان چند منٹوں میں عالمی سطح پر پھیل سکتا ہے۔

قابل ذکر واقعات جنہوں نے RPKI کو اپنانے کو تیز کیا:

  • 2008 - پاکستان ٹیلی کام:پی ٹی سی ایل نے غلطی سے یوٹیوب کے ایڈریس اسپیس (208.65.153.0/24) کے لیے ایک زیادہ مخصوص سابقہ ​​کا اعلان کیا، جس سے اپ اسٹریم فراہم کنندگان کا راستہ واپس لینے سے پہلے ~2 گھنٹے تک عالمی سطح پر یوٹیوب کو بلیک ہول کیا گیا۔
  • 2010 - چائنا ٹیلی کام:چائنا ٹیلی کام نے ~18 منٹ کے لیے امریکی فوج، حکومت اور تجارتی نیٹ ورکس سے تعلق رکھنے والے ~50,000 سابقے بنائے۔ حادثاتی یا جان بوجھ کر کبھی تصدیق نہیں کی گئی۔
  • 2018 - ایمیزون روٹ 53 DNS ہائی جیک:ایک حملہ آور نے 205.251.196.0/24 (Amazon DNS) کو ہائی جیک کرنے کے لیے BGP کا استعمال کیا، کرپٹو کرنسی والیٹ ٹریفک کو فنڈز چرانے کے لیے ری ڈائریکٹ کیا۔ حملے میں eNet (AS10297) سے BGP اپ ڈیٹ کا استعمال کیا گیا۔
  • 2019 - چائنا ٹیلی کام کے ذریعے یورپی ٹریفک کو دوبارہ روٹ کیا گیا:یورپی موبائل ٹریفک (بشمول ووڈافون اور سوئٹزرلینڈ کے سوئس کام) کو چائنا ٹیلی کام کے ذریعے BGP روٹ لیک ہونے کی وجہ سے تقریباً 2 گھنٹے کے لیے دوبارہ روٹ کیا گیا۔

2. RPKI ٹرسٹ کا درجہ بندی

RPKI (آر ایف سی 6480) X.509 سرٹیفکیٹس کا ایک درجہ بندی بناتا ہے جس میں آئی پی ایڈریس کی جگہ کو کس طرح تفویض کیا جاتا ہے:

  1. آئی اے این اےروٹ ٹرسٹ اینکر رکھتا ہے۔ یہ پانچ RIRs (ARIN، RIPE NCC، APNIC، LACNIC، AFRINIC) کو وسائل کے سرٹیفکیٹ جاری کرتا ہے، ہر ایک اپنے پتے کی جگہ کا احاطہ کرتا ہے۔
  2. RIRsان کے ممبران (ISPs، انٹرپرائزز) کو ایڈریس اسپیس کے لیے سرٹیفکیٹ جاری کریں جو ان کے ممبران کے پاس ہے۔
  3. ممبرانEnd Entity (EE) سرٹیفکیٹ جاری کریں اور دستخط کریں۔راستے کی اصلیت کی اجازت(ROAs) - مخصوص ASN کو مخصوص سابقے شروع کرنے کی اجازت دینے والی دستخط شدہ تصدیقیں۔

تصدیق کنندگان اس دستخط شدہ آبجیکٹ کے درجہ بندی کو پانچ RIR ریپوزٹریوں (علاوہ کسی بھی ڈیلیگیٹ ریپوزٹریز) سے ڈاؤن لوڈ کرتے ہیں، سرٹیفکیٹ چین کی توثیق کرتے ہیں، اور ایک توثیق شدہ ROA پے لوڈ (VRP) ٹیبل بناتے ہیں۔ راؤٹرز اس کے بعد مقامی RPKI کیشے سے استفسار کرتے ہیں۔آر ٹی آر پروٹوکول (آر ایف سی 8210) اس ٹیبل کو حاصل کرنے اور آنے والی BGP اپڈیٹس پر اصل کی توثیق کرنے کے لیے۔

3. روٹ اوریجن اتھارٹیز (ROAs)

ایک ROA (آر ایف سی 6482) تین شعبوں پر مشتمل ایک دستخط شدہ آبجیکٹ ہے:

  • ASN: خود مختار نظام سابقہ ​​کو شروع کرنے کا مجاز ہے۔
  • سابقہ: IP سابقہ ​​(IPv4 یا IPv6) مجاز کیا جا رہا ہے۔
  • زیادہ سے زیادہ لمبائی: زیادہ سے زیادہ سابقہ ​​لمبائی جس کا اعلان کرنے کے لیے ASN مجاز ہے۔ اگر متعین نہ کیا گیا ہو تو صرف عین سابقہ ​​کی اجازت ہے۔ اگر /20 کے سابقہ ​​کے لیے، 24 پر سیٹ کیا گیا ہے، تو ASN /20 اور /24 کے درمیان کسی اور مخصوص کا اعلان بھی کر سکتا ہے۔
maxLength ایک عام غلط کنفیگریشن ویکٹر ہے۔ROA پر maxLength = 32 (IPv4) یا maxLength = 128 (IPv6) سیٹ کرنا ASN کو مزید مخصوص ذیلی نیٹ کا اعلان کرنے کی اجازت دیتا ہے، بشمول /32 میزبان راستے جو ہائی جیک میں استعمال کیے جا سکتے ہیں۔ بہترین عمل: maxLength کو اس طویل ترین سابقہ ​​پر سیٹ کریں جس کا آپ اصل میں اعلان کرتے ہیں (اکثر سابقہ ​​کی لمبائی کے برابر)۔

ایک ہی ROA ایک ہی ASN کے لیے متعدد سابقوں کی اجازت دے سکتا ہے، لیکن ایک ROA ایک ہی سابقے کے لیے متعدد ASNs کی اجازت نہیں دے سکتا۔ ثانوی ASN (مثال کے طور پر، ٹرانزٹ فراہم کنندہ یا CDN) کو اپنا سابقہ ​​شروع کرنے کی اجازت دینے کے لیے، اس ASN کے لیے علیحدہ ROA بنائیں۔

4. توثیق ریاستیں۔

جب ایک راؤٹر BGP اپ ڈیٹ حاصل کرتا ہے، تو یہ اصل کی توثیق کرتا ہے (آر ایف سی 6811) اس کے مقامی VRP ٹیبل کے خلاف:

ریاستحالتعام مقامی ترجیحی علاج
درستکم از کم ایک ROA سابقہ ​​کا احاطہ کرتا ہے (سابقہ ​​⊆ ROA سابقہ ​​اور سابقہ ​​لمبائی ≤ maxLength) اور ROA کا ASN BGP اپ ڈیٹ کی اصل ASN سے میل کھاتا ہے۔+20 یا ترجیحی (عام)
غلطکم از کم ایک ROA سابقہ ​​کا احاطہ کرتا ہے، لیکن کسی کورنگ ROA میں مماثل ASN اور ایک maxLength ≥ اعلان کردہ سابقہ ​​کی لمبائی نہیں ہےلوکل-پریف 0 یا ڈراپ سیٹ کریں (آپریٹر کا انتخاب؛ RFC 6811 اجازت دینے لیکن نشان لگانے کی تجویز کرتا ہے)
نہیں ملاکوئی ROA موجود نہیں ہے جو اعلان کردہ سابقہ ​​کا احاطہ کرتا ہو۔غیر تبدیل شدہ (RPKI کے موجود ہونے سے پہلے جیسا سلوک کیا جاتا ہے)

کلیدی بصیرت:غلطکے مقابلے میں ایک مسئلہ کا مضبوط ثبوت ہےنہیں ملا. NotFound کا سیدھا مطلب ہے کہ سابقہ ​​کے مالک نے ابھی تک ROA نہیں بنایا ہے۔ غلط کا مطلب ہے کہ ایک ROA موجود ہے کہ یہ ASN ہے۔نہیںمجاز - یا تو غلط کنفیگریشن یا ہائی جیک کا ایک مضبوط اشارہ۔

5. RTR پروٹوکول

راؤٹرز خود X.509 سرٹیفکیٹ چینز کی توثیق نہیں کرتے ہیں - جو کہ کمپیوٹیشنل طور پر مہنگا ہوگا اور مکمل RPKI کیش رکھنے کی ضرورت ہوگی۔ اس کے بجائے، ایک سرشارRPKI تصدیق کنندہ(Rutinator, OctoRPKI, Fort, rpki-client) مکمل RPKI ریپوزٹری کو ڈاؤن لوڈ اور توثیق کرتا ہے اور RTR پروٹوکول کے ذریعے راؤٹرز کو صرف نتیجے میں تصدیق شدہ ROA پے لوڈز (VRPs) برآمد کرتا ہے۔آر ایف سی 8210)۔

RTR TCP استعمال کرتا ہے (IANA- تفویض کردہ پورٹ 323؛ توثیق کار جیسے کہ روٹینیٹر ڈیفالٹ پورٹ 3323 پر روٹ مراعات کی ضرورت سے بچنے کے لیے) ایک اضافی مطابقت پذیری کے طریقہ کار کے ساتھ: تصدیق کنندہ سیریل نمبر بھیجتا ہے، اور روٹرز اپنی آخری مطابقت پذیری کے بعد سے صرف ڈیلٹا کی درخواست کرتے ہیں۔ یہ بڑی VRP ٹیبلز کے لیے بھی بینڈوڈتھ کو کم رکھتا ہے (فی الحال عالمی سطح پر ~400,000+ IPv4 اندراجات)۔

6. تعیناتی اور شماریات

2026 کے اوائل تک، RPKI کی تعیناتی نمایاں پیمانے پر پہنچ چکی ہے:

  • عالمی سطح پر روٹ کیے گئے IPv4 کے 50% سے زیادہ سابقوں میں کم از کم ایک کورنگ ROA ہے (2019 میں ~10% سے زیادہ)۔
  • Tier-1 اور Tier-2 ISPs کی اکثریت اب روٹ اوریجن کی توثیق کرتی ہے اور غلط راستوں کو چھوڑ دیتی ہے یا محروم کرتی ہے۔
  • MANRS (Mutually Agreed Norms for Routing Security) RPKI ROA کی تشکیل کو رکنیت کے لیے ایک شرط کے طور پر درکار ہے اور فی AS موافق ڈیش بورڈ شائع کرتا ہے۔

لائیو اعداد و شمار:NIST RPKI مانیٹر, ROV++, APNIC RPKI کے اعدادوشمار.

7. ROV سے آگے: ASPA اور BGPsec

RPKI روٹ اوریجن کی توثیق صرف اس بات کی تصدیق کرتی ہے۔اصل ASNسابقہ ​​کا اعلان کرنے کا مجاز ہے۔ یہ AS_PATH کی توثیق نہیں کرتا ہے - ایک حملہ آور اب بھی آخر میں ایک جائز اصل AS کے ساتھ غلط AS_PATH بنا سکتا ہے۔ دو IETF معیارات اس پر توجہ دیتے ہیں:

  • BGPsec (آر ایف سی 8205): راستے میں موجود ہر AS خفیہ طور پر اپ ڈیٹ پر دستخط کرتا ہے، جس سے حراست کا ایک اٹوٹ سلسلہ پیدا ہوتا ہے۔ BGPsec کو سپورٹ کرنے کے لیے تمام ٹرانزٹ AS کی ضرورت ہوتی ہے - ایک اہم تعیناتی رکاوٹ۔ 2026 تک شاذ و نادر ہی تعینات۔
  • اے ایس پی اے(خود مختار نظام فراہم کنندہ کی اجازت،ڈرافٹ-ietf-sidrops-aspa-profile): ایک AS کسی چیز پر دستخط کرتا ہے جس میں اس کے مجاز اپ اسٹریم فراہم کنندگان کی فہرست ہوتی ہے۔ توثیق کرنے والے غلط وادی سے پاک راستوں کا پتہ لگا سکتے ہیں (مثال کے طور پر، ایک گاہک راستوں کا اعلان کرتا ہے گویا وہ فراہم کنندہ ہے)۔ BGPsec کے مقابلے میں تعینات کرنا آسان ہے اور 2025–2026 تک کرشن حاصل کرنا۔

حوالہ جات