ইন্টারনেটের মূল রাউটিং প্রোটোকল BGP (Border Gateway Protocol) মূলত সম্পূর্ণ বিশ্বাসের ওপর ভিত্তি করে তৈরি হয়েছিল। এতে কোনো অন্তর্নিহিত নিরাপত্তা ব্যবস্থা না থাকায় হ্যাকাররা সহজেই BGP Hijacking বা ভুল রাউটিং তথ্য ছড়িয়ে পুরো ইন্টারনেটের ট্রাফিক অন্যদিকে ঘুরিয়ে দিতে পারে। এই দুর্বলতা দূর করে ইন্টারনেট রাউটিংকে নিরাপদ করতেই RPKI এবং BGPsec প্রযুক্তি দুটি একসাথে কাজ করে।
কাজের মূল ধারণা (Core Concept)
সহজ কথায়, RPKI নিশ্চিত করে রাস্তার "শুরুটা" আসল কি না, আর BGPsec নিশ্চিত করে পুরো "রাস্তাটা" নিরাপদ কি না।
১. RPKI (Resource Public Key Infrastructure) — উৎস যাচাইকরণ (Origin Validation)
• মূল ধারণা: এটি ডিজিটাল সার্টিফিকেটের (X.509) মাধ্যমে নিশ্চিত করে যে, একটি নির্দিষ্ট IP অ্যাড্রেস ব্লক (Prefix) কোন নেটওয়ার্ক বা Autonomous System (AS)-এর ঘোষণা করার অধিকার আছে।
• কাজের ধরন: আইপি ব্লকের মালিকরা তাদের আঞ্চলিক ইন্টারনেট রেজিস্ট্রি (যেমন APNIC) থেকে একটি ডিজিটাল সার্টিফিকেট পান। এর মাধ্যমে তারা একটি ROA (Route Origin Authorization) তৈরি এবং সাইন করেন। এই ROA-তে লেখা থাকে: "এই আইপি ব্লকটি শুধুমাত্র এই নির্দিষ্ট ASN নম্বরটি প্রচার করতে পারবে"। বিশ্বের অন্যান্য রাউটারগুলো এই ডিজিটাল স্বাক্ষর যাচাই করে ভুল বা অননুমোদিত উৎস থেকে আসা আইপি ব্লকগুলোকে সরাসরি রিজেক্ট বা বাতিল করে দেয়।
২. BGPsec (BGP Security) — পথ যাচাইকরণ (Path Validation)
• মূল ধারণা: RPKI শুধুমাত্র উৎসের বৈধতা যাচাই করতে পারে। কিন্তু কোনো হ্যাকার যদি ভুয়া পথে অনুমোদিত ASN নম্বরটি যোগ করে দেয়, তবে RPKI তা ধরতে পারে না। এখানেই কাজ করে BGPsec, যা পুরো রাউটিং পথকে (AS_PATH) সুরক্ষিত করে।
• কাজের ধরন: ডেটা প্যাকেটটি যখন ইন্টারনেটের এক নেটওয়ার্ক থেকে অন্য নেটওয়ার্কে (Hop) যায়, তখন প্রতিটি রাউটার তার নিজস্ব প্রাইভেট কি (Private Key) দিয়ে রাউটিং পাথে একটি করে ডিজিটাল স্বাক্ষর (Cryptographic Signature) যোগ করে দেয়। ফলে মাঝপথে কেউ রাউটিং পাথ পরিবর্তন বা জালিয়াতি করতে পারে না।
প্রধান সীমাবদ্ধতা (Limitations)
• RPKI-এর সীমাবদ্ধতা: এটি খুবই হালকা এবং কার্যকর হলেও এর বড় সীমাবদ্ধতা হলো এটি AS_PATH জালিয়াতি বা Route Leaks আটকাতে পারে না। কোনো হ্যাকার যদি রাউটিং পাথের শেষে বৈধ ASN-টি বসিয়ে দেয়, তবে RPKI সেটিকে বৈধ বা 'Valid' বলেই ধরে নেয়。
• BGPsec-এর সীমাবদ্ধতা: BGPsec কোনো Wormhole Attack (যেখানে হ্যাকাররা ব্যাকচ্যানেল দিয়ে ডেটা টানেল করে) প্রতিরোধ করতে পারে না। তাছাড়া, এটি প্রথাগত BGP-এর মতো একাধিক প্রিফিক্স একসাথে পাঠাতে পারে না, প্রতিটির জন্য আলাদা মেসেজ পাঠাতে হয়।
বাস্তবে ডিপ্লয়মেন্ট চ্যালেঞ্জসমূহ (Deployment Challenges)
বিশ্বজুড়ে RPKI-এর ব্যবহার বেশ দ্রুত বাড়লেও, BGPsec-এর বাস্তব প্রয়োগ বা ডিপ্লয়মেন্ট এখনও প্রায় শূন্যের কোঠায়। এর পেছনে মূল চ্যালেঞ্জগুলো হলো:
১. উচ্চ কম্পিউটেশনাল ওভারহেড (CPU & Memory): BGPsec-এ প্রতি হোপে রাউটারকে ক্রিপ্টোগ্রাফিক সিগনেচার তৈরি এবং যাচাই করতে হয়। সাধারণ BGP-এর তুলনায় এটি প্রায় ৭০ গুণ ধীরগতির হতে পারে, যা ইন্টারনেটের কোর রাউটারগুলোর ওপর প্রচণ্ড চাপ সৃষ্টি করে এবং নেটওয়ার্ক কনভারজেন্সের সময় বাড়িয়ে দেয়।
২. হার্ডওয়্যার আপগ্রেডের বিশাল খরচ: বর্তমান প্রজন্মের বেশিরভাগ রাউটারে BGPsec-এর এই ভারী ক্রিপ্টোগ্রাফিক কাজ করার মতো প্রসেসিং পাওয়ার নেই। ফলে বিশ্বজুড়ে ইন্টারনেট প্রোভাইডারদের (ISP) কোটি কোটি ডলার খরচ করে হার্ডওয়্যার পরিবর্তন করতে হবে।
৩. আংশিক ডিপ্লয়মেন্টে সুফল না থাকা (Partial Deployment Problem): BGPsec তখনই কাজ করবে যখন পথের প্রতিটি রাউটার এটি সমর্থন করবে। মাঝখানে কোনো একটি রাউটারও যদি BGPsec সমর্থন না করে, তবে পুরো পথের নিরাপত্তা ভেঙে পড়ে এবং তা সাধারণ BGP-তে রূপান্তর করতে হয়। তাই শুরুর দিকে একা কোনো ISP এটি চালু করলে কোনো বাড়তি সুবিধা পায় না (Lack of early incentives)।
৪. কী-ম্যানেজমেন্ট ও সেন্ট্রাল অথরিটি: বিশ্বজুড়ে লাখ লাখ রাউটারের ডিজিটাল কি (Key) এবং সার্টিফিকেট তৈরি, বিতরণ ও প্রতিনিয়ত আপডেট রাখা অত্যন্ত জটিল একটি কাজ, যার জন্য কোনো একক কেন্দ্রীয় কর্তৃপক্ষ নেই।