Infrastruktur jaringan internet global yang kita gunakan setiap hari merupakan kumpulan dari puluhan ribu jaringan otonom kecil yang saling terhubung, yang dikenal dalam dunia telekomunikasi dengan istilah Autonomous Systems (AS). Agar paket data dari perangkat Anda (misalnya saat mengakses perbankan online) dapat menemukan jalur perjalanan terbaik melintasi berbagai AS menuju ke server tujuan di seluruh dunia, router-router raksasa di internet mengandalkan sebuah protokol perutean global utama yang disebut BGP (Border Gateway Protocol).
Sayangnya, BGP dirancang pada tahun 1989 di era awal internet dengan asumsi bahwa seluruh pengelola jaringan saling mempercayai satu sama lain secara default. Protokol BGP bawaan tidak memiliki sistem verifikasi bawaan untuk memastikan bahwa informasi rute perjalanan jaringan yang dipromosikan oleh sebuah server router adalah informasi yang benar dan sah.
Celah kepercayaan bawaan ini melahirkan salah satu ancaman keamanan siber tingkat infrastruktur yang paling berbahaya di dunia: BGP Hijacking (Pembajakan Rute BGP).
Bagaimana BGP Hijacking Terjadi di Lapangan?
BGP Hijacking terjadi ketika sebuah jaringan Autonomous System (AS) sengaja atau tidak sengaja mempromosikan klaim kepemilikan atas sebuah rentang alamat IP (IP Prefix) yang sebenarnya bukan milik mereka secara sah.
Karena router BGP di seluruh dunia selalu mengutamakan pemilihan rute perjalanan terpendek dan paling spesifik, router-router di internet akan tertipu dan mulai mengarahkan trafik data pengguna menuju ke jaringan pembajak tersebut.
[ Pengguna ] ───────► ( Rute BGP Asli: AS 100 ) ───────► [ Server Bank Asli ]
│
▼ (Terjadi BGP Hijacking oleh AS 666 palsu)
[ Pengguna ] ───────► ( Rute BGP Palsu: AS 666 ) ──────► [ Server Peretas / Phishing ]
Dampak dari BGP Hijacking bisa sangat merusak:
- Pencurian Data (Man-in-the-Middle): Peretas mengalihkan seluruh trafik transaksi perbankan atau data rahasia perusahaan melewati server pengintai mereka untuk disadap sebelum diteruskan ke server asli.
- Kelumpuhan Layanan (Blackholing): Peretas mengalihkan seluruh trafik internet perusahaan Anda menuju ke “lubang hitam” (blackhole) jaringan yang tidak membalas paket data, memicu kelumpuhan layanan web Anda secara total di seluruh dunia.
Solusi Pertahanan Aktif: Apa itu RPKI?
Untuk melenyapkan celah kepercayaan kaku pada protokol BGP, komunitas internet global meluncurkan teknologi pertahanan terenkripsi yang disebut RPKI (Resource Public Key Infrastructure).
RPKI menerapkan teknologi kriptografi kunci publik (asymmetric cryptography) untuk mengamankan data perutean BGP. RPKI memungkinkan pemilik sah dari sebuah rentang alamat IP untuk membuat sertifikat digital terenkripsi yang disebut ROA (Route Origin Authorization).
Dokumen ROA ini mendefinisikan secara tegas:
- Alamat rentang IP (IP Prefix) yang sah milik perusahaan Anda (misalnya:
192.0.2.0/24). - Nomor identitas Autonomous System yang sah dan diizinkan untuk mempromosikan rute IP tersebut (misalnya:
AS 15301). - Panjang maksimal prefiks IP (Maximum Length) yang diizinkan untuk dipromosikan.
Dokumen ROA ini ditandatangani secara kriptografis oleh pemilik IP dan disimpan pada repositori server publik milik otoritas internet regional (seperti APNIC untuk wilayah Asia Pasifik). Router-router BGP di seluruh dunia kemudian mengunduh data ROA ini secara berkala untuk melakukan proses Route Origin Validation (ROV).
Jika ada router peretas (misalnya AS 666) mencoba membajak dan mempromosikan rute ke IP 192.0.2.0/24, router BGP lainnya akan mendeteksi status rute tersebut sebagai Invalid (Tidak Valid) dan secara otomatis membuang paket rute tersebut, melenyapkan upaya pembajakan secara mutlak di tingkat infrastruktur.
Formula Pemilihan Rute Terbaik BGP berdasarkan Panjang Prefiks
BGP memprioritaskan rute berdasarkan aturan pencocokan prefiks terpanjang (Longest Prefix Match Rule). Jika sebuah alamat IP tujuan cocok dengan beberapa rute yang dipromosikan di tabel routing, router akan memilih rute dengan subnet mask paling spesifik (angka mask tertinggi).
Misalkan router menerima dua rute berikut untuk menuju ke alamat IP target $192.0.2.55$:
- Rute A (Umum):
192.0.2.0/24(memiliki panjang kecocokan $24\text{ bit}$ biner). - Rute B (Spesifik/Pembajakan):
192.0.2.0/25(memiliki panjang kecocokan $25\text{ bit}$ biner).
Secara matematis, karena nilai panjang bit biner Rute B lebih besar dibanding Rute A:
$$25 > 24$$
Maka router secara kaku akan selalu memilih Rute B sebagai jalur pengiriman paket data utama. Peretas mengeksploitasi aturan matematis logika router ini saat melancarkan BGP hijacking dengan cara mempromosikan subnet yang sangat spesifik (seperti /24 dibajak menjadi beberapa rute /25).
Dampak RPKI: Dengan menetapkan parameter Maximum Length pada dokumen ROA Anda (misalnya membatasi panjang maksimal hanya boleh /24), jika peretas mempromosikan rute /25, status validasi RPKI akan langsung berubah menjadi Invalid dan ditolak oleh router global, mengamankan aset IP Anda dari serangan eksploitasi terpanjang ini.
Panduan Taktis: Mengonfigurasi Validasi RPKI pada Cisco IOS-XR Router
Bagi administrator jaringan enterprise yang mengelola router tulang punggung (backbone) berbasis Cisco, berikut adalah langkah praktis untuk mengonfigurasi fitur validasi RPKI ROV secara lokal:
Langkah 1: Hubungkan Router ke Server Validator RPKI lokal
Pertama, Anda harus menginstal perangkat lunak validator RPKI (seperti Routinator atau OctoRPKI) pada server lokal kantor Anda untuk mengunduh dan menyinkronkan data ROA dari APNIC. Hubungkan router Anda ke server validator tersebut menggunakan protokol aman RTR (RPKI-to-Router):
! Masuk ke mode konfigurasi terminal router Cisco
configure terminal
! Konfigurasikan koneksi ke server validator RPKI lokal Anda
router bgp 15301
rpki server 192.168.10.25
port 323
refresh 3600
! Atur waktu tunggu sinkronisasi data
purge-time 600
!
!
Langkah 2: Buat Kebijakan Penyaringan Rute (Route Policy)
Definisikan aturan tindakan router berdasarkan status hasil validasi RPKI yang diterima dari server validator:
! Buat kebijakan penyaringan rute BGP
route-policy ATURAN_RPKI
! Izinkan rute yang berstatus Valid (Sah)
if rpki validation state is valid then
set local-preference 200
pass
! Izinkan rute yang belum mendaftarkan RPKI (NotFound) dengan prioritas normal
elseif rpki validation state is not-found then
set local-preference 100
pass
! BLOKIR & BUANG rute yang berstatus Invalid (Indikasi kuat pembajakan BGP)
elseif rpki validation state is invalid then
drop
endif
end-policy
Langkah 3: Terapkan Kebijakan pada Sesi BGP Peer
Terapkan kebijakan penyaringan rute di atas pada konfigurasi jalur pertukaran data (BGP Neighbors) luar Anda:
router bgp 15301
neighbor 203.0.113.1
remote-as 2906
address-family ipv4 unicast
route-policy ATURAN_RPKI in
!
!
!
commit
FAQ: Tanya Jawab Seputar Keamanan BGP & RPKI
Apa perbedaan utama antara status ‘NotFound’ dengan ‘Invalid’ pada validasi RPKI? Status NotFound terjadi ketika pemilik alamat IP tersebut belum membuat sertifikat digital ROA di server repositori regional, sehingga router tidak memiliki data untuk memeriksa keasliannya dan mengizinkan rute tersebut lewat dengan normal. Status Invalid terjadi ketika dokumen ROA sudah terdaftar resmi di repositori, namun ada router dengan nomor AS yang tidak cocok atau panjang prefiks melebihi batas maksimal yang mencoba mempromosikan rute tersebut, yang menandakan terjadinya serangan BGP Hijacking aktif yang wajib diblokir.
Apakah UKM kecil yang tidak memiliki nomor Autonomous System (ASN) sendiri perlu memikirkan RPKI? Jika UKM Anda menggunakan layanan internet standar dari ISP lokal tanpa mengelola nomor ASN dan IP publik mandiri, Anda tidak perlu mengonfigurasi router secara langsung. Namun, Anda harus memastikan dan menanyakan kepada ISP mitra Anda apakah mereka telah mengaktifkan fitur filtrasi RPKI Route Origin Validation di sisi jaringan hulu mereka, guna menjamin seluruh aktivitas akses web internal kantor Anda aman dari pembajakan rute global.
Dapatkah RPKI mencegah seluruh jenis serangan siber pada jaringan internet? Tidak. RPKI dirancang khusus hanya untuk mengamankan lapisan otentikasi asal perutean jaringan (Route Origin Verification). RPKI tidak dapat mencegah jenis serangan siber lainnya yang berjalan di lapisan aplikasi, seperti serangan phishing, malware, atau kebocoran database SQL. RPKI harus dipadukan dengan sistem keamanan berlapis lainnya seperti DNSSEC, SSL/TLS, dan Firewall.
Tinggalkan Balasan