Securing BGP - A Literature Survey

Bảo vệ BGP - một cuộc khảo sát văn học Geoff Huston, Mattia Rossi, Grenville Armitage Đại học công nghệ Swinburne Melbourne, Úc gih@APNIC.net, {mrossi,garmitage}@swin.edu.au Trừu tượng-The biên giới cổng giao thức (BGP) là Inter - được trao đổi giữa loa BGP. Thiết kế của BGP của mạng lưới liên miền định tuyến giao thức. Một trong những mối quan tâm lớn được thực hiện trong tương đối đồng nhất và loại trừ lẫn nhau liên quan đến BGP là thiếu các biện pháp hiệu quả bảo mật, và như là tin tưởng môi trường của Internet đầu. Do đó, của nó một kết quả định tuyến cơ sở hạ tầng của Internet là dễ bị tổn thương để các hình thức khác nhau của cuộc tấn công. Bài báo này kiểm tra Internet của cách tiếp cận để trao đổi thông tin không được thiết kế chủ yếu định tuyến kiến trúc và thiết kế của BGP đặc biệt, và cho mạnh mẽ khi đối mặt với các hình thức khác nhau của sự tin tưởng thương lượng cuộc điều tra việc đến nay trên bảo vệ BGP. Cho đến nay không có đề nghị hay sự thù địch công khai trên một phần của một số diễn viên định tuyến. đã được xem như là cung cấp một sự kết hợp của an ninh đầy đủ thù địch diễn viên là một thực tế của cuộc sống trong ngày hôm nay của Internet. Các chức năng, hiệu suất phù hợp overheads và triển khai sup- Internet là một tiện ích truyền thông công cộng significant hoạt động cổng cơ sở hạ tầng. Một số câu hỏi mở về kế tiếp bước những nghiên cứu về an ninh BGP được đặt ra. bởi một bộ sưu tập khác nhau của nhà cung cấp dịch vụ, cùng với một sự phân biệt tương đối không rõ ràng giữa các vai trò của dịch vụ Index Terms—BGP security, Inter-domain routing security, routing, BGP, Computer Network Protocols. providers and customers. It is quite reasonable to characterise today’s Internet environment as one where both customers and I. INTRODUCTION service providers1 are potentially hostile actors, and where The Internet is a decentralised collection of interconnected trust must be explicitly negotiated rather than assumed by component networks. These networks are composed of end default. This environment is no longer consistent with the hosts (who originate and/or receive IP packets, and are identi- inter-domain trust framework assumed by BGP, and BGP’s fied by IP addresses) and active forwarding elements (routers) operational assumptions relating to trust are entirely inappro- whose role is to pass IP packets through the network. The priate today. routing system is responsible for propagating the relative Today’s inter-domain routing environment remains a major location of addresses to each routing element, so that routers area of vulnerability [3]. BGP’s mutual trust model involves can make consistent and optimal routing decisions in order no explicit presentation of credentials, no propagation of to pass a packet from its source to its destination. Routing instruments of authority, nor any reliable means of verifying protocols are used to perform this information propagation. the authenticity of the information being propagated through The Internet’s current routing system is divided into a two- the routing system. Hostile actors can attack the network by level hierarchy. At one level is intra-domain routing, used exploiting this trust model in inter-domain routing to their own by the set of autonomous routing systems operating within ends. An attacker can easily transform routing information each component network. At the other level is a single inter- in ways that are extremely difficult for any third party to domain routing system that maintains the inter-autonomous detect. For example, false routing information may be injected, system connectivity information that straddles these compo- valid routing information removed or information altered to nent networks. A single inter-domain routing protocol, the cause traffic redirection [6], [7], [8], [9]. This approach can Border Gateway Protocol (BGP) [1], has provided inter- be used to prevent the correct operation of applications, to domain routing services for the Internet’s disparate component conduct fraudulent activities, to disrupt the operation of part networks since the late 1980’s [2]. Given the central role of (or even all) of the network in various ways. The consequences routing in the operation of the Internet, BGP is one of the range from relatively inconsequential (minor degradation of critical protocols that provide security and stability to the application performance due to sub-optimal forwarding paths) Internet [3]. through to catastrophic (major disruption to connectivity and BGP’s underlying distributed distance vector computations comprehensive loss of any form of cohesive Internet) [10], rely heavily on informal trust models associated with infor- [11], [4]. mation propagation to produce reliable and correct results. It Current research on BGP is predominately focused on two can be likened to a hearsay network — information is flooded major themes — scaling, and resistance to subversion of across a network as a series of point-to-point exchanges, with integrity [12]. the information being incrementally modified each time it 1There are instances of cyber attacks where the suspected attacker is a c 2010 IEEE. Personal use of this material is permitted. However, permis- state or nation rather than an individual. e.g. the YouTube ”incident” [4] sion to reprint/republish this material for advertising or promotional purposes was an example of a service provider’s actions resulting in the corruption or for creating new collective works for resale or redistribution to servers or of the global routing system. It has also been determined, that providers can lists, or to reuse any copyrighted component of this work in other works must be hostile towards other providers, by attempting carriage theft as described be obtained from the IEEE.

Bảo vệ BGP - Một khảo sát văn học Geoff Huston, Mattia Rossi, Grenville Armitage Swinburne University of Technology Melbourne, Australia gih@apnic.net, {mrossi, garmitage} @ swin.edu.au Abstract-The Border Gateway Protocol (BGP) là Inter - được trao đổi giữa các loa BGP. Các thiết kế của BGP liên miền giao thức định tuyến ròng của. Một trong những mối quan tâm lớn đã được thực hiện trong tương đối đồng nhất và cùng môi trường liên quan đến BGP là thiếu các biện pháp bảo mật hiệu quả, và như tin tưởng của Internet sớm. Do đó, nó là một kết quả cơ sở hạ tầng định tuyến của Internet là dễ bị tổn thương với các hình thức khác nhau của cuộc tấn công. Bài viết này xem xét cách tiếp cận của Internet để trao đổi thông tin đã không được thiết kế chủ yếu kiến trúc định tuyến và thiết kế của BGP nói riêng, và cho mạnh mẽ khi đối mặt với các hình thức khác nhau của sự tin tưởng thương lượng khảo sát các công việc để đảm bảo ngày BGP. Cho đến nay, không có đề nghị hoặc sự thù địch công khai trên các phần của một số diễn viên định tuyến. Đã được xem như là cung cấp một sự kết hợp của bảo mật đầy đủ các diễn viên Hostile được một thực tế của cuộc sống trong Internet ngày nay. Các chức năng, chi phí hiệu quả và phù hợp sup- triển khai Internet là một trong yếu fi cant tiện ích truyền thông công cộng hoạt động cơ sở hạ tầng cảng. Một số câu hỏi mở về các bước tiếp theo trong nghiên cứu của BGP an ninh được đặt ra. bởi một bộ sưu tập khác nhau của các nhà cung cấp dịch vụ, cùng với một sự phân biệt rõ ràng tương đối giữa vai trò của dịch vụ Index Điều khoản BGP-an ninh, Inter-miền bảo mật định tuyến, định tuyến, BGP, Computer Network Protocols. các nhà cung cấp và khách hàng. Nó là khá hợp lý để đặc trưng cho môi trường Internet hiện nay là một trong những nơi mà cả khách hàng và I. GIỚI THIỆU dịch vụ providers1 là khả năng diễn viên thù địch, và nơi mà Internet là một bộ sưu tập được phân cấp trên tin tưởng kết nối với nhau cần phải đàm phán một cách rõ ràng hơn là giả định của các linh kiện. Các mạng này được tạo thành từ kết thúc mặc định. Môi trường này không còn phù hợp với các host (người có nguồn gốc và / hoặc nhận các gói tin IP, và nhận diện khung tin tưởng liên miền giả bởi BGP, và BGP của fi ed bởi địa chỉ IP) và các yếu tố chuyển tiếp hoạt động (bộ định tuyến) giả định hoạt động liên quan đến tin tưởng hoàn toàn inappro- có vai trò là để vượt qua các gói tin IP thông qua mạng. Các priate ngày hôm nay. Hệ thống định tuyến có trách nhiệm tuyên truyền liên miền tương đối của môi trường định tuyến Hôm nay vẫn còn là một chính vị trí của các địa chỉ cho mỗi yếu tố định tuyến, vì vậy mà các router khu vực dễ bị tổn thương [3]. Mô hình tin cậy lẫn nhau của BGP liên quan có thể đưa ra quyết định định tuyến phù hợp, tốt nhất nhằm không trình bày rõ ràng các thông tin, không có tuyên truyền của truyền một gói tin từ nguồn tới đích của nó. Cụ định tuyến của chính quyền, cũng không phải bất kỳ phương tiện đáng tin cậy để xác minh các giao thức được sử dụng để thực hiện công tác tuyên truyền thông tin này. tính xác thực của thông tin được truyền đi qua hệ thống định tuyến hiện tại của Internet được chia thành hai hệ thống định tuyến. Diễn viên thù địch có thể tấn công các mạng lưới của hệ thống phân cấp cấp độ. Ở một mức độ là định tuyến nội miền, sử dụng khai thác mô hình tin cậy này trong liên miền định tuyến cho riêng mình bằng cách tập hợp các hệ thống định tuyến độc lập hoạt động trong đầu. Một kẻ tấn công có thể dễ dàng chuyển đổi thông tin định tuyến mỗi mạng thành phần. Ở cấp độ khác là một tế duy nhất trong những cách đó là vô cùng sùng bái fi khăn cho bất kỳ bên thứ ba để hệ thống định tuyến miền duy trì liên tự trị phát hiện. Ví dụ, thông tin định tuyến sai có thể được tiêm, thông tin kết nối hệ thống vượt lên khỏi những compo- thông tin định tuyến hợp lệ gỡ bỏ hoặc thay đổi thông tin để nent mạng. Một liên miền giao thức định tuyến duy nhất, nguyên nhân traf fi c chuyển hướng [6], [7], [8], [9]. Cách tiếp cận này có thể Border Gateway Protocol (BGP) [1], đã cung cấp liên được sử dụng để ngăn chặn các hoạt động chính xác của các ứng dụng, để định tuyến dịch vụ miền với thành phần khác nhau tiến hành các hoạt động lừa đảo của Internet, làm gián đoạn hoạt động của phần mạng kể từ cuối năm 1980 [2]. Với vai trò trung tâm của (hoặc thậm chí tất cả) của mạng theo những cách khác nhau. Hậu quả định tuyến trong các hoạt động của Internet, BGP là một trong những phạm vi từ tương đối nhỏ nhặt (suy thoái nhỏ của giao thức quan trọng để cung cấp an ninh và ổn định cho hiệu suất ứng dụng do đường dẫn chuyển tiếp tối ưu phụ) Internet [3]. qua thê thảm (gián đoạn lớn để kết nối và cơ bản phân phối tính toán vector khoảng cách mất toàn diện BGP của bất kỳ hình thức Internet cố kết) [10], chủ yếu dựa trên mô hình tin cậy không chính thức liên quan đến tin [11], [4]. thông tuyên truyền để sản xuất đáng tin cậy và chính xác kết quả. Nó nghiên cứu hiện nay về BGP được chủ yếu tập trung vào hai thể được ví như một mạng lưới tin đồn - thông tin là fl ooded chủ đề chính - nhân rộng, và khả năng chống lật đổ trong một mạng như là một loạt giao lưu point-to-point, liêm [12] . các thông tin đang được từng bước Modi fi ed mỗi lần nó 1There là trường hợp của các cuộc tấn công không gian mạng mà kẻ tấn công bị nghi ngờ là một c 2010 IEEE. Cá nhân sử dụng của vật liệu này được cho phép. Tuy nhiên, cho phép của nhà nước hoặc quốc gia chứ không phải là một cá nhân. ví dụ như YouTube "sự cố" [4] sion để in lại / tái xuất nguyên liệu này cho mục đích quảng cáo hoặc khuyến mại là một ví dụ về hành động của một nhà cung cấp dịch vụ dẫn đến tham nhũng hoặc cho việc tạo công trình tập thể mới để bán lại hoặc phân phối lại cho các máy chủ hoặc các định tuyến toàn cầu hệ thống. Nó cũng đã được xác định, các nhà cung cấp có thể danh sách, hoặc sử dụng lại bất kỳ thành phần có bản quyền của tác phẩm này trong các công trình khác phải có độ thù địch với các nhà cung cấp khác, bằng cách cố trộm xe ngựa như mô tả được lấy từ IEEE.