Securing BGP - A Literature SurveyG

Securing BGP - A Literature Survey
Geoff Huston, Mattia Rossi, Grenville Armitage
Swinburne University of Technology
Melbourne, Australia
[e-mail], {mrossi,garmitage}@swin.edu.au
Abstract—The Border Gateway Protocol (BGP) is the Internet’s inter-domain routing protocol. One of the major concerns
related to BGP is its lack of effective security measures, and as
a result the routing infrastructure of the Internet is vulnerable
to various forms of attack. This paper examines the Internet’s
routing architecture and the design of BGP in particular, and
surveys the work to date on securing BGP. To date no proposal
has been seen as offering a combination of adequate security
functions, suitable performance overheads and deployable support infrastructure. Some open questions on the next steps in the
study of BGP security are posed.
Index Terms—BGP security, Inter-domain routing security,
routing, BGP, Computer Network Protocols.
I. INTRODUCTION
The Internet is a decentralised collection of interconnected
component networks. These networks are composed of end
hosts (who originate and/or receive IP packets, and are identified by IP addresses) and active forwarding elements (routers)
whose role is to pass IP packets through the network. The
routing system is responsible for propagating the relative
location of addresses to each routing element, so that routers
can make consistent and optimal routing decisions in order
to pass a packet from its source to its destination. Routing
protocols are used to perform this information propagation.
The Internet’s current routing system is divided into a twolevel hierarchy. At one level is intra-domain routing, used
by the set of autonomous routing systems operating within
each component network. At the other level is a single interdomain routing system that maintains the inter-autonomous
system connectivity information that straddles these component networks. A single inter-domain routing protocol, the
Border Gateway Protocol (BGP) [1], has provided interdomain routing services for the Internet’s disparate component
networks since the late 1980’s [2]. Given the central role of
routing in the operation of the Internet, BGP is one of the
critical protocols that provide security and stability to the
Internet [3].
BGP’s underlying distributed distance vector computations
rely heavily on informal trust models associated with information propagation to produce reliable and correct results. It
can be likened to a hearsay network — information is flooded
across a network as a series of point-to-point exchanges, with
the information being incrementally modified each time it

c 2010 IEEE. Personal use of this material is permitted. However, permission to reprint/republish this material for advertising or promotional purposes
or for creating new collective works for resale or redistribution to servers or
lists, or to reuse any copyrighted component of this work in other works must
be obtained from the IEEE.
is exchanged between BGP speakers. The design of BGP
was undertaken in the relatively homogeneous and mutually
trusting environment of the early Internet. Consequently, its
approach to information exchange was not primarily designed
for robustness in the face of various forms of negotiated trust
or overt hostility on the part of some routing actors.
Hostile actors are a fact of life in today’s Internet. The
Internet is a significant public communications utility operated
by a disparate collection of service providers, together with
a relatively unclear distinction between the roles of service
providers and customers. It is quite reasonable to characterise
today’s Internet environment as one where both customers and
service providers1 are potentially hostile actors, and where
trust must be explicitly negotiated rather than assumed by
default. This environment is no longer consistent with the
inter-domain trust framework assumed by BGP, and BGP’s
operational assumptions relating to trust are entirely inappropriate today.
Today’s inter-domain routing environment remains a major
area of vulnerability [3]. BGP’s mutual trust model involves
no explicit presentation of credentials, no propagation of
instruments of authority, nor any reliable means of verifying
the authenticity of the information being propagated through
the routing system. Hostile actors can attack the network by
exploiting this trust model in inter-domain routing to their own
ends. An attacker can easily transform routing information
in ways that are extremely difficult for any third party to
detect. For example, false routing information may be injected,
valid routing information removed or information altered to
cause traffic redirection [6], [7], [8], [9]. This approach can
be used to prevent the correct operation of applications, to
conduct fraudulent activities, to disrupt the operation of part
(or even all) of the network in various ways. The consequences
range from relatively inconsequential (minor degradation of
application performance due to sub-optimal forwarding paths)
through to catastrophic (major disruption to connectivity and
comprehensive loss of any form of cohesive Internet) [10],
[11], [4].
Current research on BGP is predominately focused on two
major themes — scaling, and resistance to subversion of
integrity [12].
1There are instances of cyber attacks where the suspected attacker is a
state or nation rather than an individual. e.g. the YouTube ”incident” [4]
was an example of a service provider’s actions resulting in the corruption
of the global routing system. It has also been determined, that providers can
be hostile towards other providers, by attempting carriage theft as described
in [5]
Accepted 25 Jan 2010 for 2nd issue, 2011, of IEEE Communications Surveys and Tutorials (final version copyright IEEE)
2
Scaling the routing system is an operational concern regarding the ability of the inter-domain routing system to cope with
a larger domain of discourse. This encompasses increasing
numbers of objects to be managed, using an increasingly expressive language to represent route objects and path attributes,
increased frequency with which objects advertise changes in
their state, more paths across the inter-domain environment,
and more frequent dynamic changes to the attributes of interdomain paths [13], [14].
Resisting subversion of integrity requires that a BGP
speaker (an entity participating in the exchange of interdomain routing information) has:
• Sufficient information at hand to verify the authenticity
and completeness of the information being provided via
the inter-domain routing system, and
• The ability to generate authoritative information such that
others may verify the authenticity of information that this
speaker is passing into the inter-domain routing system.
A key question is whether further information can be added
into the inter-domain routing environment such that attempts
to pervert, remove or withhold routing information may be
readily and reliably detected. Any proposed scheme(s) must
also be evaluated for their impact on the scaling properties of
BGP [15].
It is assumed in this paper that the reader is familiar with
routing concepts and basic security concepts including hash
algorithms, public key cryptography, and public key infrastructure. An introduction to routing concepts and extended
explanations of various routing protocols can be found in [16].
An introduction to security concepts can be found in [17].
This paper surveys the current research in BGP routing
security. In section II we begin by examining the architecture
of the Internet’s routing system. Section III provides a detailed
summary of BGP itself, and section IV discussing the primary
threats against BGP. Section V provides a wide-ranging review
of the major approaches to providing security in inter-domain
routing and the various refinements to these approaches.
Section VI reflects on some open questions in BGP security
and the paper concludes in section VII.
II. THE ARCHITECTURE OF IP ROUTING
The Internet has been designed using a modular or decoupled framework, where inter-dependencies between distinct
functional components are minimised and inter-module interfaces are clearly defined. The concepts of Internet Protocol
(IP) [18] addresses, packet forwarding, routing and routing
protocols are treated as being mutually distinct and having
well-defined modes of interaction and dependencies. Mutually
consistent and coherent interaction between these components
results in the Internet’s service of end-to-end packet delivery.
An IP address indicates identity, rather than location, of an
addressed host. The address provides no indication of how
to direct a packet through the network in order to reach the
addressed host. An address distribution system may impose
some locational structure on addresses (which may further
result in some numerically adjacent address values being
topologically adjacent) but such a property is not statically
encoded into the address itself. It is the role of the routing
system (or control plane) to propagate the dynamic binding of
addresses to locations, and the role of the forwarding system
(or data plane) to use these bindings in order to deliver
addressed packets to the correct locations [16], [19].
IP forwarding is a local autonomous action within each
IP routing element. Packets passing between interfaces of a
routing element are forwarded, with the choice of outgoing
interface guided by local information contained in a forwarding table. Forwarding tables encode rules indicating the next
routing element (the next hop) to which a packet should be sent
based on the address to which the packet is ultimately destined.
End-to-end packet forwarding across the Internet relies on
mutually consistent population of forwarding tables that are
maintained in every routing element.
The IP routing system’s primary role is to propagate address
location information so that route

Kết quả (Việt) 1:

Bảo vệ BGP - một cuộc khảo sát văn họcGeoff Huston, Mattia Rossi, Grenville ArmitageĐại học công nghệ SwinburneMelbourne, Ú[e-mail], {mrossi,garmitage}@swin.edu.auTrừu tượng-The biên giới cổng giao thức (BGP) là giao thức định tuyến giữa tên miền của Internet. Một trong những mối quan tâm lớnliên quan đến BGP là thiếu các biện pháp hiệu quả bảo mật, và nhưmột kết quả định tuyến cơ sở hạ tầng của Internet là dễ bị tổn thươngđể các hình thức khác nhau của cuộc tấn công. Bài báo này xem xét của Internetđịnh tuyến kiến trúc và thiết kế của BGP đặc biệt, vàcuộc điều tra việc đến nay trên bảo vệ BGP. Cho đến nay không có đề nghịđã được xem như là cung cấp một sự kết hợp của an ninh đầy đủchức năng, hiệu suất phù hợp overheads và hỗ trợ triển khai cơ sở hạ tầng. Một số câu hỏi mở về kế tiếp bước nhữngnghiên cứu về an ninh BGP được đặt ra.Chỉ số điều khoản-bảo mật BGP, giữa hai miền định tuyến bảo mật,định tuyến, BGP, giao thức mạng máy tính.I. GIỚI THIỆUInternet là một tập hợp phân của kết nốithành phần mạng. Các mạng được tạo thành từ kết thúcmáy chủ (những người có nguồn gốc và/hoặc nhận được gói tin IP, và được xác định bằng địa chỉ IP) và các yếu tố hoạt động chuyển tiếp (router)có vai trò là phải vượt qua IP gói thông qua mạng. CácHệ thống định tuyến là chịu trách nhiệm về tuyên truyền các thân nhânvị trí địa chỉ cho mỗi phần tử định tuyến, vì vậy đó bộ định tuyếncó thể làm cho phù hợp và tối ưu các quyết định định tuyến theo thứ tựđể vượt qua một gói từ nguồn đến đích của nó. Định tuyếngiao thức được sử dụng để thực hiện tuyên truyền thông tin này.Hệ thống định tuyến hiện tại của Internet được chia thành một hệ thống phân cấp twolevel. Ở một mức là nội-tên miền định tuyến, sử dụngbởi các thiết lập của hệ thống định tuyến tự trị hoạt độngmỗi thành phần mạng. Ở cấp độ khác là một hệ thống định tuyến interdomain duy nhất duy trì liên tự trịHệ thống thông tin kết nối nằm giữa các thành phần mạng. Một giao thức định tuyến duy nhất giữa hai tên miền, cácBiên giới cổng giao thức (BGP) [1], đã cung cấp interdomain định tuyến dịch vụ cho các thành phần khác nhau của Internetmạng từ các vào cuối năm 1980 của [2]. Cho vai trò trung tâm củađịnh tuyến trong hoạt động của Internet, BGP là một trong cácgiao thức quan trọng cung cấp an ninh và ổn định cho cácInternet [3].Tính toán tiềm ẩn của BGP vector khoảng cách phân phốiphụ thuộc rất nhiều vào sự tin tưởng không chính thức mô hình liên kết với thông tin tuyên truyền để tạo ra kết quả đáng tin cậy và chính xác. Nócó thể được so sánh với một mạng lưới tin giả — thông tin là bị ngập nướcqua mạng như một loạt các điểm trao đổi, vớithông tin đang từng bước lần mỗi lần nó c 2010 IEEE. Cá nhân sử dụng vật liệu này được phép. Tuy nhiên, sự cho phép để tái bản/trích tài liệu này cho các mục đích quảng cáo hay khuyến mạihoặc để tạo mới tập thể tác phẩm để bán lại hoặc tái phân phối đến các máy chủ hoặcdanh sách, hoặc để tái sử dụng bất cứ thành phần có bản quyền của tác phẩm này trong các tác phẩm khác phảiđược lấy từ của IEEE.được trao đổi giữa loa BGP. Thiết kế của BGPđược thực hiện trong tương đối đồng nhất và loại trừ lẫn nhautin tưởng môi trường của Internet sớm. Do đó, của nócách tiếp cận để trao đổi thông tin không được thiết kế chủ yếucho các mạnh mẽ khi đối mặt với các hình thức khác nhau của sự tin tưởng thương lượnghoặc sự thù địch công khai trên một phần của một số diễn viên định tuyến.Thù địch diễn viên là một thực tế của cuộc sống trong ngày hôm nay của Internet. CácInternet là một tiện ích đáng kể thông tin liên lạc khu vực hoạt độngbởi một bộ sưu tập khác nhau của nhà cung cấp dịch vụ, cùng vớimột sự phân biệt tương đối không rõ ràng giữa các vai trò của dịch vụnhà cung cấp và khách hàng. Nó là khá hợp lý để nêumôi trường Internet hiện nay là một trong những nơi cả hai khách vàDịch vụ providers1 là diễn viên có khả năng thù địch, và ở đâutin tưởng phải được rõ ràng đã đàm phán thay vì giả định bởimặc định. Môi trường này là không còn phù hợp với cácsự tin tưởng giữa miền khuôn khổ đảm nhận bởi BGP, và của BGPgiả định hoạt động liên quan đến tin tưởng không phù hợp hoàn toàn vào ngày hôm nay.Môi trường định tuyến giữa các tên miền hiện nay vẫn còn thiếu mộtkhu vực dễ bị tổn thương [3]. BGP của sự tin tưởng lẫn nhau mô hình liên quan đếnkhông có trình bày rõ ràng thông tin đăng nhập, không có tuyên truyền củadụng cụ tạo các cơ quan, cũng không phải bất cứ phương tiện đáng tin cậy để xác minhtính xác thực của thông tin được lan truyền quaHệ thống định tuyến. Thù địch diễn viên có thể tấn công mạng bởikhai thác mô hình này tin tưởng ở giữa hai miền định tuyến để riêng của họkết thúc. Một kẻ tấn công có thể dễ dàng biến đổi thông tin định tuyếntheo những cách mà rất khó khăn cho bất kỳ bên thứ ba đểphát hiện. Ví dụ, định tuyến thông tin sai lệch có thể được tiêm,thông tin định tuyến hợp lệ gỡ bỏ hoặc thay đổi thông tin đểgây ra lưu lượng truy cập chuyển hướng [6], [7], [8], [9]. Cách tiếp cận này có thểđược sử dụng để ngăn chặn hoạt động chính xác của các ứng dụng, đểtiến hành các hoạt động gian lận, để phá vỡ sự vận hành của phần(hoặc thậm chí tất cả) của mạng trong nhiều cách khác nhau. Những hậu quảphạm vi từ tương đối không quan trọng (các tiểu sự xuống cấp củahiệu suất ứng dụng do đường dẫn chuyển tiếp cận tối ưu)thông qua đến thảm họa (lớn các gián đoạn để kết nối vàtổn thất toàn diện của bất kỳ hình thức Internet cố kết) [10],[11], [4].Soùng BGP là chủ yếu tập trung vào haichính chủ đề — mở rộng quy mô, và sức đề kháng để lật đổtính toàn vẹn [12].1There những trường hợp của tấn công mà kẻ tấn công bị nghi ngờ là mộtbang hoặc quốc gia hơn một cá nhân. Ví dụ như YouTube "sự kiện" [4]một ví dụ về một nhà cung cấp dịch vụ của hành động dẫn đến tham nhũngHệ thống định tuyến toàn cầu. Nó đã cũng được xác định, nhà cung cấp có thểđược thù địch đối với nhà cung cấp khác, bằng cách cố trộm cắp vận chuyển như được mô tả[5]Được chấp nhận 25 tháng 1 2010 cho vấn đề 2, 2011, IEEE thông tin khảo sát và hướng dẫn (Phiên bản cuối cùng bản quyền IEEE)2Mở rộng quy mô Hệ thống định tuyến là một mối quan tâm hoạt động liên quan đến khả năng của hệ thống định tuyến liên miền để đối phó vớimột tên miền lớn hơn của discourse. Điều này bao gồm tăngsố lượng các đối tượng phải được quản lý, sử dụng một ngôn ngữ diễn cảm ngày càng để đại diện cho các đối tượng tuyến đường và các thuộc tính đường dẫn,tần số tăng mà đối tượng quảng cáo những thay đổi trongnhà nước của họ, thêm đường dẫn trên môi trường liên miền,và nhiều hơn nữa thường xuyên thay đổi năng động đến các thuộc tính của đường dẫn interdomain [13], [14].Chống subversion của toàn vẹn yêu cầu mà một BGPloa (một thực thể tham gia vào việc trao đổi thông tin định tuyến interdomain) có:• Các thông tin đầy đủ ở bàn tay để xác minh tính xác thựcvà đầy đủ của thông tin được cung cấp quaHệ thống định tuyến giữa hai tên miền, và• Khả năng tạo ra uỷ quyền thông tin như vậy mànhững người khác có thể xác minh tính xác thực của thông tin rằng điều nàyloa đi vào hệ thống định tuyến giữa các tên miền.Một câu hỏi quan trọng là cho dù thông tin thêm có thể được thêm vàovào giữa tên miền định tuyến môi trường như vậy cố gắngđể pervert, loại bỏ hoặc giữ lại thông tin định tuyến có thểdễ dàng và đáng tin cậy phát hiện. Bất kỳ đề xuất scheme(s) phảicũng được đánh giá tác động của họ trên các tính chất rộng củaBGP [15].Nó giả định trong bài báo này mà các độc giả là quen thuộc vớiđịnh tuyến khái niệm và khái niệm bảo mật cơ bản bao gồm các bămthuật toán, mật mã học chính khu vực và cơ sở hạ tầng công cộng quan trọng. Giới thiệu về khái niệm định tuyến và mở rộnglời giải thích của giao thức định tuyến khác nhau có thể được tìm thấy trong [16].Giới thiệu về khái niệm an ninh có thể được tìm thấy trong [17].Bài báo này điều tra nghiên cứu hiện tại trong định tuyến BGPan ninh. Trong phần II chúng tôi bắt đầu bằng cách kiểm tra kiến trúcHệ thống định tuyến của Internet. Phần III cung cấp một chi tiếtbản tóm tắt của BGP chính nó, và thảo luận về chính phần IVđe doạ BGP. Phần V cung cấp một bài đánh giá trên phạm vi rộngCác phương pháp tiếp cận chính để cung cấp an ninh trong miền liênđịnh tuyến và các cải tiến khác nhau để các phương pháp tiếp cận.Phần VI phản ánh về một số câu hỏi mở trong BGP an ninhvà giấy kết luận trong phần VII.II. CÁC KIẾN TRÚC CỦA IP ĐỊNH TUYẾNInternet đã được thiết kế bằng cách sử dụng một khuôn khổ mô-đun hoặc tách, nơi liên quan hệ phụ thuộc giữa các khác biệtthành phần chức năng được giảm thiểu và mô-đun liên giao diện được xác định rõ ràng. Các khái niệm của giao thức Internet(IP) [18] địa chỉ, gói chuyển tiếp, định tuyến và định tuyếngiao thức được coi là đang loại trừ lẫn nhau riêng biệt và cócũng xác định chế độ tương tác và phụ thuộc. Loại trừ lẫn nhauphù hợp và mạch lạc tương tác giữa các thành phầnkết quả trong dịch vụ của Internet kết thúc để kết thúc gói giao hàng.Địa chỉ IP cho thấy danh tính, chứ không phải là vị trí, của mộtđịa chỉ máy chủ lưu trữ. Địa chỉ cung cấp không có dấu hiệu như thế nàotrực tiếp một gói thông qua mạng để đạt được cácđịa chỉ máy chủ lưu trữ. Một hệ thống phân phối địa chỉ có thể áp đặtmột số cấu trúc locational về các địa chỉ (mà có thể tiếp tụcCác kết quả trong một số địa chỉ đạo liền kề các giá trị đượcrời liền kề) nhưng một tài sản không phải là tĩnhmã hóa thành địa chỉ chính nó. Đó là vai trò của các định tuyếnHệ thống (hoặc kiểm soát máy bay) để tuyên truyền các ràng buộc năng động củađịa chỉ đến địa điểm, và vai trò của hệ thống chuyển tiếp(hoặc dữ liệu máy bay) để sử dụng các bindings để phân phốigiải quyết các gói tin đến các địa điểm chính xác [16], [19].Chuyển tiếp IP là một hành động tự trị địa phương trong mỗiYếu tố định tuyến IP. Gói tin đi qua giữa các giao diện của mộtđịnh tuyến nguyên tố được chuyển tiếp, với lựa chọn đigiao diện điều khiển bởi địa phương thông tin chứa trong một bảng chuyển tiếp. Chuyển tiếp bảng mã hóa quy tắc chỉ ra tiếp theoyếu tố định tuyến (hop tiếp theo) mà một gói nên được gửiDựa trên địa chỉ mà gói cuối cùng mệnh.End-to-end gói chuyển tiếp trên Internet dựa trênloại trừ lẫn nhau phù hợp dân số chuyển tiếp bàn đượcduy trì trong mỗi nguyên tố định tuyến.Vai trò chính của hệ thống định tuyến IP là để tuyên truyền địa chỉthông tin vị trí vì vậy mà tuyến đường

Kết quả (Việt) 2:

Bảo vệ BGP - Một khảo sát văn học
Geoff Huston, Mattia Rossi, Grenville Armitage
Swinburne University of Technology
Melbourne, Australia
[e-mail], {mrossi, garmitage} @ swin.edu.au
Abstract-The Border Gateway Protocol (BGP) là Internet của liên miền giao thức định tuyến. Một trong những mối quan tâm chính
liên quan đến BGP là thiếu các biện pháp bảo mật hiệu quả, và như
một kết quả cơ sở hạ tầng định tuyến của Internet là dễ bị tổn thương
với các hình thức khác nhau của cuộc tấn công. Bài báo này khảo sát của Internet
kiến trúc định tuyến và thiết kế của BGP nói riêng, và
các cuộc điều tra các công việc để đảm bảo ngày BGP. Cho đến nay không có đề nghị
đã được xem như là cung cấp một sự kết hợp của bảo mật đầy đủ
chức năng, chi phí thực hiện phù hợp và cơ sở hạ tầng hỗ trợ triển khai. Một số câu hỏi mở về các bước tiếp theo trong
nghiên cứu của BGP an ninh được đặt ra.
Index Điều khoản BGP-an ninh, Inter-miền bảo mật định tuyến,
định tuyến, BGP, Mạng máy tính Protocols.
I. GIỚI THIỆU
Internet là một bộ sưu tập phân cấp kết nối
mạng thành phần. Các mạng này được tạo thành từ cuối
host (người có nguồn gốc và / hoặc nhận các gói tin IP, và được xác định bởi địa chỉ IP) và các yếu tố chuyển tiếp hoạt động (router)
có vai trò là để vượt qua các gói tin IP thông qua mạng. Các
hệ thống định tuyến có trách nhiệm tuyên truyền tương đối
vị trí của các địa chỉ cho mỗi yếu tố định tuyến, do đó router
có thể đưa ra quyết định định tuyến phù hợp và tối ưu để
vượt qua một gói tin từ nguồn tới đích của nó. Định tuyến
giao thức được sử dụng để thực hiện công tác tuyên truyền thông tin này.
Hệ thống định tuyến hiện tại của Internet được chia thành một hệ thống phân cấp twolevel. Ở một mức độ là định tuyến nội miền, được sử dụng
bởi các thiết lập của hệ thống định tuyến độc lập hoạt động trong
mỗi mạng thành phần. Ở cấp độ khác là một hệ thống định tuyến interdomain duy nhất duy trì sự liên tự trị
thông tin kết nối hệ thống vượt lên các mạng thành phần. Một liên miền giao thức định tuyến duy nhất,
Border Gateway Protocol (BGP) [1], đã cung cấp dịch vụ interdomain định tuyến cho các thành phần khác nhau của Internet
mạng kể từ những năm 1980 cuối năm [2]. Với vai trò trung tâm của
định tuyến trong các hoạt động của Internet, BGP là một trong những
giao thức quan trọng để cung cấp an ninh và ổn định cho
Internet [3].
Cơ bản tính toán vector khoảng cách phân phối BGP của
yếu dựa trên mô hình tin cậy không chính thức liên quan đến thông tin tuyên truyền để sản xuất đáng tin cậy và chính xác kết quả. Nó
có thể được so sánh với một mạng lưới tin đồn - thông tin tràn ngập
trên mạng như là một loạt giao lưu point-to-point, với
những thông tin đang được từng bước sửa đổi mỗi lần nó c 2010 IEEE. Cá nhân sử dụng của vật liệu này được cho phép. Tuy nhiên, cho phép in lại / tái xuất nguyên liệu này để quảng cáo hoặc các mục đích quảng cáo hoặc cho việc tạo công trình tập thể mới để bán lại hoặc phân phối lại cho các máy chủ hoặc danh sách, hoặc sử dụng lại bất kỳ thành phần có bản quyền của tác phẩm này trong các công trình khác phải được lấy từ IEEE. Được trao đổi giữa các loa BGP. Các thiết kế của BGP được thực hiện trong tương đối đồng nhất và cùng môi trường tin cậy của Internet sớm. Do đó, nó tiếp cận để trao đổi thông tin không được thiết kế chủ yếu cho mạnh mẽ khi đối mặt với các hình thức khác nhau của sự tin tưởng thương lượng hoặc thù địch công khai trên các phần của một số diễn viên định tuyến. Diễn viên Hostile là một thực tế của cuộc sống trong Internet ngày nay. The Internet là một tiện ích truyền thông công cộng đáng kể hoạt động của một bộ sưu tập khác nhau của các nhà cung cấp dịch vụ, cùng với một sự phân biệt rõ ràng tương đối giữa vai trò của dịch vụ cung cấp và khách hàng. Nó là khá hợp lý để đặc trưng cho môi trường Internet hiện nay là một trong những nơi mà cả khách hàng và dịch vụ có tiềm năng providers1 diễn viên thù địch, và nơi mà niềm tin phải được đàm phán một cách rõ ràng hơn là giả định bởi mặc định. Môi trường này không còn phù hợp với khuôn khổ niềm tin liên miền giả bởi BGP, và BGP của giả định hoạt động liên quan đến sự tin tưởng hoàn toàn không phù hợp ngày hôm nay. Môi trường định tuyến liên miền ngày nay vẫn còn là một chính khu vực dễ bị tổn thương [3]. Mô hình tin cậy lẫn nhau của BGP liên quan đến không trình bày rõ ràng các thông tin, không có tuyên truyền các công cụ của chính quyền, cũng không phải bất kỳ phương tiện đáng tin cậy để xác minh tính xác thực của thông tin được truyền đi qua hệ thống định tuyến. Diễn viên thù địch có thể tấn công mạng bằng cách khai thác mô hình tin cậy này trong liên miền định tuyến để riêng của họ kết thúc. Một kẻ tấn công có thể dễ dàng chuyển đổi thông tin định tuyến theo những cách vô cùng khó khăn cho bất kỳ bên thứ ba để phát hiện. Ví dụ, thông tin định tuyến sai có thể được tiêm, thông tin định tuyến hợp lệ gỡ bỏ hoặc thay đổi thông tin để gây chuyển hướng giao thông [6], [7], [8], [9]. Cách tiếp cận này có thể được sử dụng để ngăn chặn các hoạt động chính xác của các ứng dụng, để tiến hành các hoạt động lừa đảo, làm gián đoạn hoạt động của một phần (hoặc tất cả) của mạng theo những cách khác nhau. Hậu quả từ tương đối nhỏ nhặt (suy thoái nhỏ của hiệu suất ứng dụng do đường dẫn chuyển tiếp tối ưu phụ) thông qua thê thảm (gián đoạn lớn để kết nối và mất toàn diện của bất kỳ hình thức Internet cố kết) [10], [11], [4]. Nghiên cứu hiện nay trên BGP được chủ yếu tập trung vào hai chủ đề chính - nhân rộng, và khả năng chống lật đổ. vẹn [12] 1There là trường hợp của các cuộc tấn công không gian mạng mà kẻ tấn công bị nghi ngờ là một tiểu bang hay quốc chứ không phải là một cá nhân. ví dụ như "sự cố" YouTube [4] là một ví dụ về hành động của một nhà cung cấp dịch vụ dẫn đến tham nhũng của hệ thống định tuyến toàn cầu. Nó cũng đã được xác định, các nhà cung cấp có thể là thù địch đối với các nhà cung cấp khác, bằng cách cố trộm xe ngựa như được mô tả trong [5] Được chấp nhận ngày 25 Tháng 1 năm 2010 cho vấn đề thứ 2, năm 2011, trong IEEE Communications Khảo sát và Hướng dẫn (phiên bản cuối cùng bản quyền IEEE) 2 Scaling sự hệ thống định tuyến là một mối quan tâm hoạt động liên quan đến khả năng của các hệ thống định tuyến liên miền để đối phó với một miền lớn ngôn. Điều này bao gồm tăng số lượng các đối tượng được quản lý, sử dụng một ngôn ngữ ngày càng diễn cảm để đại diện cho các đối tượng đường và đường dẫn thuộc tính, tăng tần suất các đối tượng quảng cáo thay đổi trong trạng thái của họ, nhiều đường dẫn có trong môi trường liên miền, và thay đổi năng động thường xuyên hơn để các . thuộc tính của đường dẫn interdomain [13], [14] Chống lật đổ của toàn vẹn, đòi hỏi một BGP speaker (một thực thể tham gia trao đổi của interdomain thông tin định tuyến) có: • Thông tin đầy đủ trong tay để xác minh tính xác thực và đầy đủ của các thông tin được cung cấp thông qua hệ thống định tuyến liên miền, và • Khả năng để tạo ra thông tin chính thức như vậy mà những người khác có thể xác minh tính xác thực của thông tin này nói đang đi vào hệ thống định tuyến liên miền. Một câu hỏi quan trọng là liệu có thêm thông tin có thể được thêm vào môi trường định tuyến liên miền như vậy mà cố gắng để biến thái, loại bỏ hoặc giữ lại thông tin định tuyến có thể được dễ dàng và đáng tin cậy phát hiện. Bất kỳ đề án đề xuất (s) phải cũng được đánh giá về tác động của chúng trên các thuộc tính mở rộng quy mô của BGP [15]. Nó được giả định trong giấy này mà người đọc là quen thuộc với khái niệm định tuyến và các khái niệm bảo mật cơ bản bao gồm băm thuật toán, mật mã khóa công khai, và cơ sở hạ tầng khóa công khai. Một giới thiệu về khái niệm định tuyến và mở rộng giải thích của các giao thức định tuyến khác nhau có thể được tìm thấy trong [16]. Một giới thiệu về khái niệm bảo mật có thể được tìm thấy trong [17]. Bài báo này khảo sát các nghiên cứu hiện tại trong BGP định tuyến bảo mật. Trong phần II chúng ta bắt đầu bằng cách kiểm tra các kiến trúc của hệ thống định tuyến của Internet. Phần III cung cấp một chi tiết tóm tắt của BGP chính nó, và phần IV thảo luận về các chính đe dọa đối với BGP. Phần V cung cấp một đánh giá trên phạm vi rộng của các cách tiếp cận chính để cung cấp bảo mật trong liên miền định tuyến và các sàng lọc khác nhau để các phương pháp tiếp cận. Mục VI phản ánh về một số câu hỏi mở trong BGP an ninh và giấy các kết luận trong phần VII. II. CÁC KIẾN TRÚC CỦA IP ROUTING Internet đã được thiết kế sử dụng một khung mô-đun hoặc tách riêng, nơi liên hệ phụ thuộc giữa các biệt thành phần chức năng được giảm thiểu và giao diện liên module được định nghĩa rõ ràng. Các khái niệm về Internet Protocol (IP) [18] địa chỉ, chuyển tiếp gói tin, định tuyến và định tuyến giao thức đang được coi là đôi bên cùng có khác biệt và có chế độ rõ ràng của sự tương tác và phụ thuộc. Cùng có phù hợp và tương tác chặt chẽ giữa các thành phần này kết quả trong dịch vụ của Internet đưa gói end-to-end. Một địa chỉ IP cho biết danh tính, chứ không phải là vị trí, của một chủ đề. Địa chỉ cung cấp không có dấu hiệu cho thấy làm thế nào để chỉ đạo một gói đi qua mạng để đạt được chủ đề. Một hệ thống phân phối địa chỉ có thể áp dụng một số cấu trúc về địa điểm trên địa chỉ (mà hơn nữa có kết quả trong một số giá trị địa chỉ bằng số liền kề là topology với liền kề) nhưng một tài sản đó không được tĩnh mã hóa thành các địa chỉ của chính nó. Đó là vai trò của các định tuyến hệ thống (hoặc máy bay điều khiển) để truyền bá các ràng buộc năng động của các địa chỉ cho các vị trí và vai trò của hệ thống chuyển tiếp (hoặc mặt phẳng dữ liệu) để sử dụng các ràng buộc để cung cấp địa chỉ các gói tin đến các địa điểm chính xác [ 16], [19]. chuyển tiếp IP là một hành động tự trị địa phương trong mỗi yếu tố định tuyến IP. Các gói tin đi qua giữa các giao diện của một yếu tố định tuyến được chuyển tiếp, với sự lựa chọn của outgoing giao diện hướng dẫn bởi các thông tin địa phương chứa trong một bảng chuyển tiếp. Bảng chuyển tiếp mã hóa các quy tắc cho thấy sự cạnh yếu tố định tuyến (next hop) mà một gói tin phải được gửi dựa trên địa chỉ mà gói tin được cuối cùng là định mệnh. Chuyển tiếp gói End-to-end trên Internet dựa trên dân số lẫn nhau phù hợp các chuyển tiếp bảng được duy trì trong mọi phần tử định tuyến. Vai trò chính của định tuyến IP của hệ thống là để truyền bá địa chỉ thông tin vị trí như vậy mà tuyến đường