IETF (Internet Engineering Task Force)
propone implementar la Prueba de tránsito (PoT), un "registro de viaje" para los paquetes de red. Lea más sobre la iniciativa y los principios de PoT - debajo del corte.
/ Flickr / JonoTakesPhotos / CC¿Por qué necesitabas un comprobante de tránsito?
Según los expertos de Cisco, la virtualización de Comcast y JP Morgan Chase no garantiza completamente que los paquetes de red no hayan sido reemplazados o modificados. Tal necesidad puede justificarse, por ejemplo, por las políticas internas de la organización o por los requisitos del regulador.
Ahora este problema puede resolverse indirectamente, pero según
los autores de la iniciativa, la evolución de las redes y la aparición de tecnologías como
NFV ,
LISP y
NSH complican significativamente este proceso. Por lo tanto, se propuso un nuevo enfoque llamado Prueba de tránsito. Se supone que le permitirá realizar algo como una historia o un diario del paso de un paquete a lo largo de una ruta determinada.
¿Cómo funciona el enfoque propuesto?
La solución
presentada en el documento se basa en agregar una pequeña cantidad de datos a cada paquete. Estos datos se utilizan para compilar el historial y verificar la corrección de la ruta. Los parámetros de los nodos obligatorios se describen utilizando claves secretas o
un esquema de intercambio secreto .
Cada nodo utiliza su propia clave o parte del secreto para actualizar los datos del paquete PoT. Cuando el verificador recibe el paquete, verifica la autenticidad de la ruta.
/ Flickr / Ryan H. / CCPara garantizar la seguridad de este enfoque, los expertos proponen el uso de
un esquema de intercambio secreto de Shamir en la etapa de generación de datos PoT. En palabras simples, el principio de funcionamiento de este método de protección es la separación paso a paso del secreto en "coordenadas" condicionales de puntos (nodos), a lo largo de las cuales hay una interpolación posterior de una curva dada (ruta de paquete) - cálculo del polinomio de interpolación de Lagrange.
Los nodos usan su parte de secreto para actualizar los datos POT de cada paquete, y la verificación de la exactitud de los datos POT se realiza mediante la construcción de una curva. Si falta alguno de los puntos o está sustituido, será imposible construir un polinomio. Esto significará que el paquete no pasó la ruta especificada.
Para mejorar la seguridad, los autores proponen el uso de 2 polinomios: POLY-1 (secreto y permanente) y POLY-2 (público, arbitrario e individual para cada paquete). El algoritmo aquí es el siguiente: cada nodo recibe el valor secreto de un punto en la curva POLY-1. Después de eso, el nodo genera un punto en la curva POLY-2, cada vez que un paquete lo atraviesa. Luego, cada uno de los nodos agrega el valor de un punto en la curva POLY-1 a un punto en POLY-2 para obtener un punto en POLY-3 y transferirlo al nodo de verificación junto con el paquete. Al final de la ruta, el verificador construye la curva POLY-3 sobre la base de los datos recibidos y verifica el cumplimiento de POLY-3 = POLY-1 + POLY-2 (en este caso solo el verificador conoce los parámetros del polinomio POLY-1).
/ Flickr / cultura vannin / ccCrítica de PoT
En los comentarios en The Register, la audiencia del sitio
observa una serie de imperfecciones del enfoque propuesto. Alguien, por ejemplo, teme que la implementación de la idea conduzca al hecho de que el "peso" del paquete UDP aumentará significativamente y que PoT no podrá llevarse bien con IPSec. Además, no está claro cómo funcionará PoT en caso de falla en uno de los nodos dados. Resulta que los datos de PoT necesitarán establecer rutas alternativas. Qué hacer en tales casos, el IETF aún no se ha explicado.
Documento futuro
Tenga en cuenta que la versión borrador de la iniciativa se encuentra en la etapa de discusión y refinamiento y hasta ahora no está reclamando nada. Dentro de los seis meses (hasta el 2 de diciembre de 2018), el IETF puede cambiarlo, reemplazarlo o reconocerlo como obsoleto.
Lo que puede leer en el blog corporativo en el sitio web de VAS Experts: