ASPA : Autonomous System Provider Authorization
Réseau
ASPA : Autonomous System Provider Authorization. « Autorisation des fournisseurs d'un système autonome », par analogie avec la liste des transporteurs agréés qu'un expéditeur déposerait en mairie pour qu'on reconnaisse les camions suspects.
Principe : Chaque AS (Autonomous System, système autonome) publie dans RPKI un objet signé qui liste ses fournisseurs de transit. Ce n'est pas une signature de chaque saut, seulement une déclaration de ses relations en amont.
Vérification du chemin : Un routeur confronte la suite d'AS d'une annonce BGP à ces déclarations et vérifie qu'elle a une forme plausible : une montée de client en fournisseur, puis une descente. Les fuites de routes et certains chemins fabriqués deviennent détectables.
Modestie calculée : ASPA ne prétend pas savoir par où le trafic doit passer, seulement par où il ne peut raisonnablement pas passer ; modestie rare chez un protocole, et d'autant plus suspecte qu'elle fonctionne même quand tout le monde ne l'a pas encore adoptée.
Complément de la ROV : La ROV vérifie l'origine d'une annonce, ASPA en vérifie le trajet. Le mécanisme est récent et son déploiement reste partiel.
Ce qui arrive si on s'en passe
Sans ASPA, la validation d'origine seule laisse passer une annonce dont l'origine est correcte mais dont le chemin est faux. Un attaquant peut placer l'AS légitime au bout de son annonce et passer le contrôle d'origine ; un client relié à deux fournisseurs peut réannoncer par erreur les routes de l'un vers l'autre et attirer un trafic qui n'a rien à faire chez lui. Ces fuites provoquent congestion, détours et interception possible, et restent invisibles pour les filtres fondés sur l'origine. ASPA ne protège que les réseaux dont les fournisseurs sont déclarés : ne pas publier son objet réduit la protection offerte aux autres.
Explication de la marmotte
Internet est fait de milliers de grands réseaux qui se passent le trafic de main en main. Chaque réseau peut désormais publier une liste signée de ses fournisseurs, c'est-à-dire des réseaux plus gros qui le relient au reste du monde. Quand une route arrive, un routeur peut vérifier que l'itinéraire annoncé est logique au vu de ces listes. Si un petit réseau prétend soudain servir de passage entre deux géants, ce qui n'a pas de sens, l'annonce est repérée et écartée.
Où ce terme est utilisé
- BGP, la confiance par défaut (5 occurrences)
- BGP, Internet, anycast et sécurité des annonces (2 occurrences)