Seminar Security & Resilienz in Erik/RPKI: Bedrohungsmodell, Replay-Schutz, Trust-Modell

Inhaltsverzeichnis

• Abstract
• Zielgruppe
• Voraussetzungen
• Lernziele
• Inhalte (detailliert)
• Praxisübungen Schritt für Schritt
• Ergebnisprofil

Abstract

Dieses Seminar behandelt Sicherheits- und Resilienzthemen rund um Erik und RPKI-Distribution. Im Mittelpunkt steht das objektbasierte Trust-Modell der RPKI: Sicherheit liegt primär in signierten Objekten, nicht in Transport oder Servern. Daraus werden konkrete Anforderungen an Clients und Relays abgeleitet, insbesondere Scope-Prüfungen, Hash-Verifikation, Replay- und Downgrade-Risiken sowie der Umgang mit fehlerhaften oder bösartigen Zwischenknoten. Ergänzt wird das Seminar durch Hardening-Maßnahmen für Relay-Betrieb, Schutz vor Missbrauch und ein praxisorientiertes Threat-Modeling, das in Architektur- und Change-Prozesse integriert werden kann.

Zielgruppe

• Security Engineering, Architektur, Plattform-SRE
• RPKI-Validator- und Relay-Operatoren
• Incident Response mit Routing-/PKI-Bezug

Voraussetzungen

• Seminar RPKI- und Synchronisationsgrundlagen für Erik.
• Seminar Erik Synchronization Protocol: Architektur, Datenstrukturen, Ablauf empfohlen (für präzise Scope- und Objektflussdiskussionen).

Lernziele

• Threat Model für Erik-gestützte Distribution erstellen.
• Replay-/Downgrade-Risiken erkennen und in Kontrollen übersetzen.
• Notwendige Prüfungen (Scope/Locations/Hash) als Security-Gates definieren.
• Resilienzmechanismen durch Multi-Relay-Strategien operationalisieren.

Inhalte (detailliert)

• Trust-Modell: Signierte Objekte als Kernvertrauensanker, Transport als potenziell unzuverlässig.
• Angriffsflächen:
  • Replay (alte, aber gültige Zustände) und Downgrade über Relay/Transport.
  • Scope-Spoofing: falsche Zuordnung von Index/Locations zu einem Scope.
  • Content-Tampering: Hash-Mismatch, manipulierte Inhalte, Cache-Poisoning-Versuche.
  • Availability-Angriffe: Request-Flooding, gezielte Hotspots, Upstream-Ausfallketten.
• Kontrollen:
  • Scope-Validierung für Index und für alle referenzierten Locations.
  • Hash-Verifikation als Pflicht für jedes Objekt.
  • Rotation und Diversität von Relays als Resilienzmaßnahme.
  • Logging- und Alarmierungsanforderungen für Security-Signale.
• Hardening für Relays:
  • Minimaler Angriffsvektor (nur notwendige Endpunkte).
  • Rate Limiting und Abuse-Schutz.
  • Separation von Serving, Content Store, Upstream Fetch.
• Secure Operations:
  • Security SLOs, Security Regression Tests, Change Gates.
  • Incident Playbooks: Hash-Mismatch-Welle, Scope-Verletzungen, plötzliche Freshness-Abfälle.

Praxisübungen Schritt für Schritt

• Threat Model Workshop: Assets, Trust Boundaries, Angriffe, Kontrollen, Residual Risk.
• Scope/Replay Checkliste: Prüfregeln als „Gate“-Liste definieren (Client und Relay).
• Incident-Simulation: Indikatoren, Triage, Eindämmung, Recovery-Schritte.

Ergebnisprofil

• Threat-Model-Dokument und Sicherheitskontrollkatalog für Einführung und Betrieb.