Nghiên cứu các vấn đề bảo mật trên giao thức BGP
Bạn đang xem bản rút gọn của tài liệu. Xem và tải ngay bản đầy đủ của tài liệu tại đây (2.79 MB, 114 trang )
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
..
MỤC LỤC
LỜI CAM ĐOAN ............................................................................................ 1
LỜI NÓI ĐẦU ................................................................................................. 2
PHẦN MỞ ĐẦU .............................................................................................. 4
Chƣơng I: BẢO MẬT TRÊN GIAO THỨC ĐỊNH TUYẾN BGP ............ 6
1.1 Bảo mật của giao thức định tuyến .....................................................................6
1.2 Bảo mật giao thức BGP .....................................................................................6
1.2.1 Sự cố tắc nghẽn Internet từ AS7007...........................................................7
1.2.2 Sự cố YouTube bị tắc nghẽn bởi PTA .......................................................8
1.3 Tấn công vào TCP .............................................................................................8
1.3.1 SYN Flooding .............................................................................................9
1.3.2 TCP RST .................................................................................................10
1.4 Các tấn công nhằm vào giao thức BGP ...........................................................10
1.5 Vấn đề bảo mật trong BGP ..............................................................................11
1.5.1 Cập nhật định tuyến khơng chính xác ......................................................11
1.5.2 Khử tập kết ...............................................................................................12
1.5.3 Thao tác các thuộc tính đƣờng dẫn ...........................................................13
1.5.4 Hố đen.......................................................................................................13
1.5.5 Nghe trộm .................................................................................................14
1.5.6 Tắc nghẽn, chậm trễ và vòng lặp ..............................................................14
Chƣơng II: PHƢƠNG PHÁP BẢO MẬT TRÊN BGP ............................. 15
2.1 Xác minh của thiết bị đồng cấp .......................................................................15
2.2 Bảo mật BGP (S-BGP) ....................................................................................15
2.3 Bảo mật BGP gốc (SoBGP) .............................................................................18
2.4 Các giải pháp thực tế khả thi............................................................................19
2.4.1 Gia cố bộ định tuyến.................................................................................19
2.4.2 Cơ chế bảo mật TTL tổng quát.................................................................20
2.4.3 Chống chập bất ổn cho định tuyến ...........................................................22
2.4.4 Hạn chế tối đa địa chỉ mạng .....................................................................23
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
2.4.5 Hạn chế chiều dài AS_Path ......................................................................25
2.4.6 Lọc địa chỉ mạng ......................................................................................26
2.4.7 Lọc Bogons ...............................................................................................27
2.4.8 Tái đảm bảo lọc các thiết bị cùng cấp ......................................................29
Chƣơng III: DEMO BÀI TOÁN BẢO MẬT TRÊN BGP ........................ 30
Bài toán 1 ...............................................................................................................30
3.1 Các thuộc tính đƣờng dẫn BGP và Chính sách định tuyến .............................30
3.2 Chính sách định tuyến sử dụng các thuộc tính BGP .......................................31
3.2.1 Chính sách định tuyến cho lƣu lƣợng đi...................................................31
3.2.2 Chính sách định tuyến cho lƣu lƣợng đến ................................................33
3.2.3 Kết luận và kết quả ...................................................................................33
Bài toán 2 ...............................................................................................................34
3.3 iBGP - Định tuyến lỗ đen Black Hole và quy tắc đồng bộ hóa .......................34
3.3.1 Phân chia ngang iBGP .............................................................................37
3.3.2 Bộ phản xạ tuyến ......................................................................................42
Bài tốn 3 ...............................................................................................................43
3.4 Tấn cơng BGP và cấu hình sai trên một mạng mẫu ........................................43
3.6 Các vấn đề có thể xảy ra ..................................................................................49
3.6.1 Khởi phát thơng tin sai lệch ......................................................................50
3.6.2 Khử tập kết ...............................................................................................53
Bài toán 4 ...............................................................................................................56
3.7 Thực hiện các giải pháp bảo mật thiết thực cho mạng BGP ...........................56
KẾT LUẬN..................................................................................................... 66
TÀI LIỆU THAM KHẢO ............................................................................ 70
PHỤ LỤC ....................................................................................................... 71
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
DANH MỤC CÁC HÌNH VẼ
Hình 1. Bắt tay TCP .......................................................................................... 9
Hình 2. Ví dụ khử tập kết ................................................................................ 12
Hình 3. Độ lớn của bảng định tuyến trong các bộ định tuyến lõi ................... 17
Hình 4. BGP TTL hack ................................................................................... 21
Hình 5. Định tuyến khơng ổn định .................................................................. 22
Hình 6. Độ dài AS_Path .................................................................................. 25
Hình 7. Danh sách Bogon của các địa chỉ IP .................................................. 28
Hình 8. Tái đảm bảo quá trình lọc .................................................................. 29
Hình 9. Sơ đồ cấu trúc liên kết của bài tốn 1 ................................................ 30
Hình 10. ISP chuyển tiếp yêu cầu iBGP ......................................................... 34
Hình 11. Sơ đồ cấu trúc liên kết bài tốn 2 ..................................................... 35
Hình 12. Bảng định tuyến của bộ định tuyến A .............................................. 36
Hình 13. Bảng định tuyến của bộ định tuyến A .............................................. 37
Hình 14. Bảng định tuyến của bộ định tuyến B (có tất cả các tuyến)............. 38
Hình 15. Bảng định tuyến của C (có các tuyến đã đƣợc hiểu) ....................... 39
Hình 16. Bảng định tuyến của A (khơng có iBGP) ........................................ 40
Hình 17. Thử nghiệm kết nối (ping và trace route) từ bộ định tuyến C ......... 41
Hình 18. BGP đƣợc cấu hình mắt lƣới ............................................................ 42
Hình 19. Bộ phản xạ tuyến BGP ..................................................................... 43
Hình 20. Sơ đồ cấu trúc liên kết bài tốn 3 ...........................................................44
Hình 21. Tên bộ định tuyến và bảng số AS tƣơng ứng................................... 45
Hình 22. Bảng định tuyến hoàn thiện ban đầu của bộ định tuyến A (ASN số 1)
......................................................................................................................... 46
Hình 23. Kiểm tra ping thành cơng từ A......................................................... 47
Hình 24. Bảng định tuyến hồn thiện ban đầu của B...................................... 48
Hình 25. Kiểm tra kết nối thành cơng từ B ..................................................... 49
Hình 26. Bộ định tuyến F khởi phát thơng tin sai lệch ................................... 50
Hình 27. Thơng tin sai lệch từ F đƣợc nhận tại C ........................................... 51
Hình 28. Kiểm tra ping bị lỗi từ bộ định tuyến C ........................................... 52
Hình 29. Kiểm tra kết nối thành cơng từ bộ định tuyến B .............................. 53
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
Hình 30. Bộ định tuyến với thơng tin sai lệch đƣợc khử tập kết .................... 54
Hình 31. Bảng định tuyến và kết quả ping từ bộ định tuyến C ...................... 55
Hình 32. Sơ đồ cấu trúc liên kết bài tốn 4 ..................................................... 56
Hình 33. Bộ định tuyến F tạo ra thơng tin sai lệch ........................................ 58
Hình 34. Bộ định tuyến G quảng cáo tuyến không thể tiếp cận đƣợc ............ 59
Hình 35. Bộ định tuyến H quảng cáo tuyến khơng thể tiếp cận đƣợc ............ 60
Hình 36. Bộ định tuyến I tránh các tuyến bị sai.............................................. 61
Hình 37. Bảng đinh tuyến của bộ định tuyến C và kiểm tra kết nối thành cơng 62
Hình 38. Bộ định tuyến E vẫn có kết nối ........................................................ 63
Hình 39. Bảng định tuyến của bộ định tuyến A hợp lệ .................................. 64
Hình 40. Kết quả ping thành công bảng định tuyến của B ............................. 65
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
DANH MỤC CÁC KÝ HIỆU, CÁC CHỮ VIẾT TẮT
Từ viết tắt
Viết đầy đủ
Ý nghĩa
BGP
Border Gateway Protocol
Giao thức (định tuyến) cổng biên
ISP
Internet Service Provider
Nhà cung cấp dịch vụ mạng
Đề nghị duyệt thảo và bình luận
RFC
Request for Comments
(tập hợp những nghiên cứu mới)
Hệ thống tự trị (tập hợp các thiết
AS
Autonomous System
bị chung chính sách quản lý)
TCP
Transmission Control Protocol
Giao thức điều khiển truyền vận
TTL
Time to live
Thời gian sống
Internal Border Gateway
Giao thức (định tuyến) cổng biên
Protocol
nội vùng
External Border Gateway
Giao thức (định tuyến) cổng biên
Protocol
ngoại vùng
iBGP
eBGP
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập-Tự do-Hạnh phúc
LỜI CAM ĐOAN
Họ và tên học viên: Dƣơng Ngọc Sơn.
SHHV: CB130046.
Lớp: 13BMTTT.
Khóa : 2013B.
Cơ quan cơng tác: Cục Kỹ thuật nghiệp vụ I – Tổng cục An ninh I – Bộ Công an.
Hệ thạc sĩ: Kỹ thuật.
Chuyên ngành: Công nghệ thông tin.
Đề tài: Nghiên cứu các vấn đề bảo mật trên giao thức BGP.
Ngƣời hƣớng dẫn: TS. Trần Hoàng Hải.
Theo Quyết định giao đề tài số 2212 /QĐ-ĐHBK-SĐH do Hiệu trƣởng trƣờng
Đại học Bách khoa Hà Nội ngày 29 tháng 4 năm 2014.
Tôi xin cam đoan mọi nội dung trong Luận văn đều do tôi viết, những tài liệu
tham khảo đều đƣợc ghi rõ trong mục Tài liệu tham khảo. Ngồi ra, tơi khơng th
ngƣời viết cũng nhƣ khơng sao chép từ bất kỳ nguồn nào. Nếu sai, tôi xin chịu trách
nhiệm trƣớc hội đồng và nhà trƣờng.
Trân trọng cảm ơn!
Học viên
Dƣơng Ngọc Sơn
Học viên: DƢƠNG NGỌC SƠN
1
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
LỜI NĨI ĐẦU
Trong thời đại cơng nghệ thơng tin đang phát triển bùng nổ hiện nay, Internet
đã là một phần quan trọng không thể thiếu của không chỉ những ngƣời làm kỹ thuật
mà của cả tất cả mọi ngƣời. Từ những những cơng việc hàng ngày nhƣ việc tìm tài
liệu, giải trí, nghe nhạc xem phim hay text chat trƣớc đây, giờ đã đƣợc nâng lên
thành những kho lƣu trữ, giải trí khơng giới hạn, đàm thoại hoặc hội nghị truyền
hình, và cịn hơn thế nữa, Internet có thế đáp ứng hầu hết nhu cầu của ngƣời sử
dụng. Mọi ngƣời giờ đây có thể giải trí hoặc làm việc cùng nhau ở bất kỳ nơi đâu.
Đó là về phía ngƣời sử dụng, cịn về phía nhà cung cấp dịch vụ (ISP), khi mà
cơng nghệ ngày càng phát triển thì dịch vụ cũng phải phát triển không ngừng. Từ
trƣớc đây là dial-up, rồi ADSL, VDSL, tới nay là công nghệ FTTH, thì theo đó các
nhà cung cấp dịch vụ cũng phải tự phát triển mình để đáp ứng, khơng chỉ là về
đƣờng truyền, tốc độ, mà về cả công nghệ, giao thức, cũng nhƣ cách thức quản lý,
bảo mật 1 cách tối ƣu nhất, hạn chế các tình huống sai sót hoặc bị tấn công dẫn đến
hậu quả gián đoạn đƣờng truyền, ảnh hƣởng đến ngƣời sử dụng.
BGP (Border Gateway Protocol) là giao thức định tuyến nòng cốt trên
Internet, ra đời từ năm 1994, nó đƣợc sử dụng trong hầu hết các hệ thống mạng của
ISP. Từ năm 2006, BGP phiên bản 4 mới đƣợc hệ thống hóa (RFC4271), cho đến
nay đã có nhiều đề tài nghiên cứu về BGP tuy nhiên bảo mật trên giao thức BGP lại
là vấn đề khá mới mẻ. Nhiều trƣờng hợp do bảo mật không tốt trên BGP đã dẫn đến
tắc nghẽn mạng của một lƣợng lớn ngƣời sử dụng, việc khắc phục là không khó
nhƣng mất nhiều thời gian, chƣa tính đến trƣờng hợp bị tấn công, khai thác vào lỗ
hổng bảo mật trên BGP. Vậy nên, nếu không đƣợc nghiên cứu, đƣa ra các biện pháp
ngăn ngừa thì những tình huống đó hồn tồn có thể lặp lại.
Nhận thấy yếu tố quan trọng và mới mẻ của đề tài nên tôi quyết định nghiên
cứu và thực hiện trong luận văn này là: “Nghiên cứu các vấn đề bảo mật trên giao
thức BGP”. Trong luận văn này ngồi việc trình bày những tìm hiểu của mình về
các cách thức bảo mật trên BGP, tơi cũng xây dựng mơ phỏng 1 mơ hình hệ thống
mạng và thực hiện các bải toán bảo mật BGP trên mơ hình đó. Để thực hiện đƣợc
Học viên: DƢƠNG NGỌC SƠN
2
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
luận văn này, tôi xin gửi lời cảm ơn sâu sắc nhất đến thầy giáo hƣớng dẫn, Tiến sỹ
Trần Hoàng Hải, ngƣời đã trực tiếp hƣớng dẫn tôi, định hƣớng cho tơi để thực hiện
luận văn hồn thiện nhất.
Học viên
Dƣơng Ngọc Sơn
Học viên: DƢƠNG NGỌC SƠN
3
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
PHẦN MỞ ĐẦU
Lý do chọn đề tài
BGP là một giao thức đƣợc sử dụng rộng rãi và đã đƣợc nghiên cứu từ lâu,
tuy nhiên vấn đề bảo mật trên giao thức BGP lại là vấn đề khá mới mẻ mà qua thời
gian ngày càng xuất hiện những lỗ hổng dẫn đến việc bị tấn công hoặc đôi khi là
những cách cấu hình sai cũng dẫn đến sự cố. Hiện nay bảo mật trên BGP mới đƣợc
đề cập đến trên một số bài báo và đề tài nghiên cứu nƣớc ngoài, cịn ở Việt Nam
vấn đề này ít đƣợc quan tâm, kể cả trong khóa học về BGP, phần bảo mật về BGP
cũng chỉ là phần nhỏ, không đƣợc nhắc đến nhiều.
Với nội dung nghiên cứu, thử nghiệm các bài toán về bảo mật trên giao thức
BGP, trong luận văn này tơi sẽ trình bày những tìm hiểu của mình về các nguy cơ
mất an toàn, cũng nhƣ các phƣơng pháp, phân tích các phƣơng pháp bảo mật trên
giao thức BGP. Tiếp theo, tơi sẽ xây dựng mơ hình 1 hệ thống mạng bằng phần
mềm giả lập, sau đó đƣa ra các bài toán về bảo mật trên giao thức BGP và xử lý các
bài tốn đó. Mục đích của luận văn là trình bày đƣợc các khải niệm cũng nhƣ phân
tích đƣợc các cách thức bảo mật trên giao thức BGP ứng dụng cho các ISP hiện nay.
Tạo đƣợc một mơ hình hệ thống mạng mơ phỏng hệ thống mạng thực tế, xây dựng
và xử lý các bải toán trên mơ hình đó, đáp ứng đƣợc các u cầu đặt ra… Ngồi ra
cũng phải phân tích đƣợc các ƣu nhƣợc điểm của các phƣơng pháp để đƣa ra những
cách thức tối ƣu nhất.
Phạm vi nghiên cứu
Trong phạm vi luận văn này, tôi xin phép đƣợc nghiên cứu các vấn đề sau:
-
Vấn đề bảo mật trên giao thức BGP.
-
Các phƣơng pháp bảo mật trên giao thức BGP.
-
Xây dựng mô phỏng hệ thống mạng và thực hiện các bài toán bảo mật
BGP trên mơ hình.
-
Kết quả, đánh giá và hƣớng phát triển
Học viên: DƢƠNG NGỌC SƠN
4
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
Bố cục luận văn
Bố cục luận văn bao gồm các phần sau đây:
Chƣơng I: Bảo mật trên giao thức định tuyến BGP.
-
Vấn đề bảo mật trên giao thức BGP.
-
Các nguy cơ đe dọa đến bảo mật trên giao thức BGP.
-
Một số trƣờng hợp cụ thể.
Chƣơng II: Phƣơng pháp bảo mật trên BGP.
-
Các phƣơng pháp tăng tính bảo mật trên BGP.
-
Giải pháp bảo mật với tính khả thi cao.
Chƣơng III: Demo bài toán bảo mật trên BGP.
-
Thực hiện mơ phỏng bài tốn giả lập BGP trên phần mềm giả lập
GNS3.
-
Kiểm tra kết quả.
Sau đây, tơi xin trình bày luận văn của mình với nội dung: “Nghiên cứu các
vấn đề bảo mật trên giao thức BGP”.
Học viên: DƢƠNG NGỌC SƠN
5
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
Chƣơng I
BẢO MẬT TRÊN GIAO THỨC ĐỊNH TUYẾN BGP
1.1 Bảo mật của giao thức định tuyến
Giao thức định tuyến đƣợc dùng để truyền dẫn thông tin giữa các bộ định
tuyến tham gia, bất kỳ lỗi hay tấn công nào vào giao thức định tuyến sẽ dẫn đến
việc mất hoặc lỗi thông tin định tuyến, điều này sẽ gây ảnh hƣởng nghiêm trọng tới
truyền tải trong mạng. Việc nghiên cứu chính xác và kịp thời về vấn đề này là rất
cần thiết để mạng đƣợc vận hành trơi chảy.
Có rất nhiều điểm yếu và có thể bị đe dọa liên quan tới các giao thức định
tuyến. Các điểm yếu của giao thức định tuyến có thể đến từ 3 khía cạnh: thứ nhất,
điểm yếu nằm ở các giao thức nền tảng đang sử dụng, thứ hai từ việc sai cấu hình và
lỗi do con ngƣời, và cuối cùng là từ bộ định tuyến tin cậy. Ví dụ khi một kẻ tấn
cơng và kiểm sốt một số bộ định tuyến sau đó sử dụng mối quan hệ tin tƣởng lẫn
nhau giữa các bộ định tuyến đã thỏa thuận và các thiết bị cùng cấp để phát tán thơng
tin sai lệch. Vì vậy có thể nói giao thức định tuyến là thực thể có độ bảo mật yếu
nhất trong miền định tuyến.
1.2 Bảo mật giao thức BGP
BGP kế thừa những vấn đề chung về bảo mật của giao thức định tuyến
nhƣng những vấn đề nhƣ vậy trong BGP có ảnh hƣởng lớn do có cơ sở cài đặt và
miền sử dụng lớn. BGP là giao thức định tuyến ngoại biên trong Internet có liên
quan tới hàng nghìn định tuyến tham gia, với các dữ liệu của thiết bị cùng cấp luôn
luôn đến và đi, dẫn tới sự thay đổi thƣờng xuyên của mô hình BGP tin cậy. BGP V4
đã đƣợc thiết kế để cung cấp giao thức định tuyến có thể cân bằng và kiểm soát
đƣợc các vấn đề về bảo mật nhƣng bản thân BGP không cung cấp chức năng bảo
mật nào.
Tuy nhiên cũng có thể tìm ra bộ định tuyến yếu trong miền BGP và sử dụng
nó để tung ra cuộc tấn cơng vào định tuyến trong Internet. Thêm vào đó, BGP là
giao thức định tuyến phức tạp nhất, khó cấu hình và bảo trì và thậm chí lỗi nhỏ nhất
Học viên: DƢƠNG NGỌC SƠN
6
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
trong cấu hình của nó cũng có thể gây rắc rối. Đặc biệt là các vấn đề bảo mật của
BGP trở nên nghiêm trọng hơn do khả năng nhân rộng lỗi trên phạm vi rất lớn, do
đó có thể gây ra lỗi cực kỳ nghiêm trọng làm cho những dịch vụ bị gián đoạn.
Giao thức định tuyến BGP thiếu rất nhiều bƣớc kiểm tra an toàn để cung cấp
những cam kết bảo mật, một số bƣớc kiểm tra bị thiếu đƣợc liệt kê dƣới đây:
Theo mặc định của BGP, khơng có xác nhận của thiết bị cùng cấp.
BGP khơng có các cơng cụ để đảm bảo rằng các cập nhật định tuyến nhận
đƣợc trong bản tin cập nhật là khơng bị chỉnh sửa.
Khơng có cơ chế để kiểm tra xem các địa chỉ mạng đƣợc quảng cáo trong
bản tin cập nhật là thuộc sở hữu của ngƣời quảng cáo hay đƣợc chủ sở hữu cho
phép quảng cáo các địa chỉ mạng đó.
Khơng có cơ chế để kiểm tra tính chính xác của các thành phần đƣờng dẫn
liên kết với các cập nhật.
Trong trƣờng hợp các tuyến bị thu hồi, phải đảm bảo các thiết bị đồng cấp đã
quảng cáo những tuyến này từ trƣớc đó.
BGP không thực hiện các công việc kiểm tra này và do đó dễ bị tổn hại do
những quảng cáo sai cố tình và vơ tình. Có rất nhiều cuộc tấn cơng và cấu hình sai
trong BGP dẫn đến các vụ mất mạng Internet lớn trong lịch sử.
1.2.1 Sự cố tắc nghẽn Internet từ AS7007
Vào ngày 25 tháng 4 năm 1997, "Con-Ed Steals the Net" là một sự cố mà
thông tin sai lệch đã đƣợc các bộ định tuyến tin tƣởng và tiếp tục quảng cáo dẫn đến
làm sai các bảng định tuyến và sai quyết định định tuyến trong mạng Internet trên
toàn cầu.
AS7007 nhận đƣợc bản cập nhật định tuyến từ luồng dữ liệu xuống của nhà
cung cấp dịch vụ internet (ISP) và quảng cáo chúng tới các thiết bị cùng cấp bằng
luồng dữ liệu lên, các thiết bị cùng cấp tin những cập nhật này là chính xác. Nhƣng
luồng dữ liệu từ ISP xuống bắt đầu chuyển tiếp các địa chỉ mạng với chiều dài và
các thuộc tính áp dụng gần nhƣ tồn bộ cho mạng internet. AS7007 khơng thực thi
Học viên: DƢƠNG NGỌC SƠN
7
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
bất cứ cơ chế bảo mật nào nhƣ lọc tuyến để xác định và ngăn chặn các lỗi hoặc các
cuộc tấn công nhƣ trên, kết quả là chuyển tiếp thông tin độc hại vào luồng thông tin
lên của các ISP. Các bộ định tuyến nhận đƣợc thông tin độc hại này, bắt đầu chuyển
tiếp các gói dữ liệu tới AS7007, nơi trở thành một hố đen của các luồng thông tin.
1.2.2 Sự cố YouTube bị tắc nghẽn bởi PTA
Tƣơng tự nhƣ vậy, vào ngày 24 tháng 2 năm 2008, Pakistan Telecom
Authority (PTA) đã quảng cáo địa chỉ mạng cụ thể của YouTube. PTA định ngăn
việc truy cập vào YouTube ở Pakistan và quảng cáo địa chỉ cụ thể 208.65.153.0/24
đến giao diện Null0 (một loại bit bucket – dịch vụ quản lý phần mềm trực tuyến),
địa chỉ này là một phần của địa chỉ đƣợc YouTube sử dụng, tức là 208.65.153.0/22.
Ý định của PTA là luồng dữ liệu tới YouTube sẽ đƣợc chuyển tiếp tới giao diện
Null0 và do đó YouTube sẽ bị chặn ở Pakistan. Tuy nhiên, do một số sai lầm, PTA
đã quảng cáo tuyến giống hệt lên nguồn thông tin IPS (PCCW AS số 3491). PCCW
tin rằng thông tin này là chính xác và quảng cáo thơng tin này tới các thiết bị đồng
cấp khác, chỉ vì khơng có hệ thống xác thực trong BGP. Tất cả các bộ định tuyến
trên mạng Internet tiếp nhận thông tin này ƣu tiên tuyến cụ thể hơn cho lƣu lƣợng
truy cập YouTube và bắt đầu chuyển tiếp các gói tin có ý định tới YouTube làm cho
tuyến thông tin cụ thể hơn. Bằng cách này PTA vứt những gói tin này vào thùng rác
bằng cách chuyển tiếp các gói tin tới giao diện trống và do đó mạng Internet bị chặn
trong gần hai giờ.
1.3 Tấn công vào TCP
BGP dựa trên TCP, cũng kế thừa những điểm yếu về an ninh của TCP, các
vấn đề TCP có thể đƣợc khai thác làm gián đoạn giao thức định tuyến BGP. Có rất
nhiều vấn đề đƣợc biết đến trong TCP, chẳng hạn nhƣ:
-
SYN Flooding (tấn công từ chối dịch vụ)
-
RST TCP
Học viên: DƢƠNG NGỌC SƠN
8
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
1.3.1 SYN Flooding
SYN Flooding là một dạng tấn công từ chối dịch vụ nhằm vào giao thức
TCP. Trong TCP, 3 bƣớc bắt tay đƣợc thực hiện trƣớc khi thiết lập kết nối nhƣ
trong hình 1.
Hình 1. Bắt tay TCP
Thiết bị gửi tiến hành gửi gói tin SYN để thiết lập kết nối TCP, thiết bị nhận
sau khi nhận SYN, gửi SYN + ACK và phân bổ cấu trúc dữ liệu Transmission
Control Block (TCB) trong bộ nhớ hạt nhân để giữ thơng tin về kết nối chƣa hồn
thành này cho đến khi thiết bị nhận nhận đƣợc ACK tƣơng ứng. Kẻ tấn cơng gửi
nhiều gói SYN từ địa chỉ giả mạo của máy chủ đã chết, máy chủ này không thể gửi
ACK tƣơng ứng và hoàn thành hoặc phá hủy kết nối này. Cuối cùng bộ nhớ hạt
nhân đầy và thiết bị nhận không thể thiết lập kết nối TCP với các thiết bị cùng cấp
đƣợc cho phép điều này sẽ gây ra từ chối dịch vụ.
Nếu bộ định tuyến BGP đƣợc đặt dƣới sự tấn cơng của SYN Flooding, nó
khơng thể thiết lập kết nối TCP với các thiết bị cùng cấp hợp lệ và do đó sẽ khơng
thiết lập mối quan hệ cùng cấp dẫn đến thiếu thông tin hoặc từ chối dịch vụ.
Các giải pháp
Giao thức TCP đƣợc triển khai hiện nay cung cấp cho một số biện pháp bảo
vệ chống lại cuộc tấn công Syn flooding. Giao thức lớp vận chuyển mới hơn đƣợc
đề xuất đã giải quyết vấn đề này bằng cách thay thế bắt tay 3 bƣớc bằng bắt tay 4
Học viên: DƢƠNG NGỌC SƠN
9
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
bƣớc. Không phân bổ cấu trúc dữ liệu cho đến khi ngƣời khởi tạo chứng minh đƣợc
lợi ích của việc phân bổ đó trong việc thiết lập kết nối bằng cách trả lời thơng qua
ACK.
Ngồi ra để ngăn chặn cho tấn cơng TCP SYN khơng xảy ra, có một biện
pháp nữa đó là việc gia cố thiết bị bị tấn cơng. Trong đó lọc địa chỉ giả mạo bằng
các ISP có hiệu quả nhiều hơn cả. Nếu ISP lọc các gói tin đầu ra giả mạo, sẽ cản trở
kẻ tấn cơng gửi số lƣợng lớn các gói SYN đi.
1.3.2 TCP RST
Kết nối TCP đƣợc thiết lập và tất cả các cuộc đàm phán của các thiết bị cùng
cấp BGP cũng nhƣ cập nhật tuyến sẽ thông qua kết nối TCP này. Do đó, nếu thiết bị
cùng cấp hoặc một số kẻ tấn công âm mƣu phá vỡ điều này, kết nối TCP và phiên
BGP sẽ đƣợc dỡ bỏ. Khi bộ định tuyến nhận đƣợc gói tin TCP RST, kết nối TCP
tƣơng ứng đƣợc đóng lại. Điều này xảy ra do một số ngƣời dùng độc hại truy cập
vào thiết bị cùng cấp hoặc có thể đốn số thứ tự trong các gói tin nhận đƣợc để gửi
gói tin TCP với RST bit set và từ đó có thể làm mất kết nối TCP.
Khi kết nối TCP bị lỗi, bộ định tuyến BGP xóa các mối quan hệ của các thiết
bị cùng cấp tƣơng ứng và tất cả các định tuyến đi qua thiết bị ngang hàng này đều bị
loại bỏ ra khỏi cơ sở dữ liệu định tuyến.
Bộ định tuyến cũng rút các định tuyến liên quan mà nó đã quảng cáo với các
thiết bị cùng cấp khác và gây ra hiệu ứng lan truyền. Kết nối TCP có thể quay lại
một lần nữa và mối quan hệ thiết bị cùng cấp BGP đƣợc thiết lập, lúc này các định
tuyến đƣợc quảng cáo một lần nữa, điều này có thể dẫn đến định tuyến chập chờn;
các liên kết giao tiếp và bộ phận xử lý bộ định tuyến sẽ chịu nhiều tải hơn.
1.4 Các tấn công nhằm vào giao thức BGP
Có rất nhiều cuộc tấn cơng và các vấn đề có thể xảy ra do lỗ hổng và thiếu
kiểm tra an ninh trong chính giao thức BGP. Những vấn đề này chủ yếu là do thiếu
kiểm tra an ninh đƣợc đề cập trong phần 1.2. Các vấn đề khác là do sự yếu kém
Học viên: DƢƠNG NGỌC SƠN
10
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
trong cách thức hoạt động của các giao thức; ví dụ nhƣ việc bất kỳ thiết bị cùng cấp
BGP nào có thiết lập các kết nối BGP thì cũng có thể gửi bản tin thông báo đƣợc
nhận, điều này dẫn tới quá trình xử lý trên bộ định tuyến và hoạt động của tuyến bị
chập chờn.
Nguồn tấn công trong BGP
Trƣớc hết chúng ta cần phải xác định nguồn gốc của các cuộc tấn công và
các vấn đề an ninh BGP; chúng đƣợc phân loại trong danh sách sau đây:
Đƣa thông tin sai lệch từ kẻ tấn công.
Sai thông tin từ đối tác tin cậy
-
Đối tác là hi-jacked (kẻ tấn công)
-
Nguồn thông tin sai lệch do một số lỗi cấu hình.
-
Đƣa thơng tin có nguồn gốc sai lệch một cách cố ý để thực hiện một
số mục đích.
Lỗ hổng trong hệ điều hành của bộ định tuyến.
1.5 Vấn đề bảo mật trong BGP
Có rất nhiều nguyên nhân có thể ảnh hƣởng đến sự lựa chọn đƣờng dẫn
thông tin trong giao thức BGP và có nhiều lý do để làm nhƣ vậy. Lựa chọn đƣờng
dẫn phụ thuộc vào các tuyến đƣợc quảng cáo và thuộc tính đƣờng dẫn của các tuyến
đó, kẻ tấn cơng cũng có thể tận dụng các thuộc tính này để làm ảnh hƣởng đến việc
lựa chọn đƣờng dẫn.
1.5.1 Cập nhật định tuyến khơng chính xác
Một thiết bị cùng cấp BGP có thể là nơi xuất phát của các cập nhật định
tuyến sai lệch, tức là một quảng cáo của tuyến thông báo sẽ tiếp cận địa chỉ mạng
mà nó khơng sở hữu và khơng thể tiếp cận hoặc quảng cáo các địa chỉ mạng cụ thể
hơn; sự cố nhƣ vậy đã xảy ra trong lịch sử nhƣ vụ tắc nghẽn YouTube.
Học viên: DƢƠNG NGỌC SƠN
11
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
Bộ định tuyến nhận khơng có cơ chế để xác nhận và làm sạch các bản cập
nhật nhận đƣợc. Do đó thiết bị nào nhận tin vào thơng tin này và làm chúng lây lan
thêm, hậu quả là bảng định tuyến bị sai. Việc chấp nhận thông tin sai lệch này phụ
thuộc vào nguồn gốc của nó; sai thơng tin bắt nguồn từ ISP cấp 1 đƣợc chấp nhận
bởi nhiều bộ định tuyến và có ảnh hƣởng nghiêm trọng, trong khi thông tin sai lệch
đƣợc thu nhận tại bộ định tuyến cấp 3 có ảnh hƣởng hạn chế hơn.
1.5.2 Khử tập kết
Khử tập kết là quá trình quảng cáo địa chỉ mạng cụ thể hơn thay vì tóm tắt
các tuyến. Một bộ định tuyến nhận đƣợc địa chỉ mạng cụ thể hơn này sẽ ƣu tiên
quảng cáo định tuyến này trên bất kỳ cách lựa chọn đƣờng dẫn nào khác vì địa chỉ
mạng cụ thể hơn ln đƣợc ƣu tiên khi ra quyết định tuyến lựa chọn đƣờng dẫn.
Nhƣ đƣợc thể hiện trong hình 2, một bộ định tuyến C hợp lệ đang chuyển tiếp
thơng tin có thể tiếp cận đƣợc về địa chỉ mạng 192.168.0.0/16 và bộ định tuyến
tấn cơng attack router đang chuyển tiếp thơng tin có thể tiếp cận đƣợc của
192.168.1.0/24 tới bộ định tuyến A. Bộ định tuyến A sẽ cài đặt cả hai quảng cáo
này trong bảng định tuyến của nó và ln ln ƣu tiên đƣờng dẫn tới bộ định
tuyến tấn công attacking router để luồng thông tin tới 192.168.1.0 do là địa chỉ
mạng dài nhất thỏa mãn quy tắc.
Hình 2. Ví dụ khử tập kết
Đối với quảng cáo của các địa chỉ mạng cụ thể hơn, cấu hình là ngun nhân
chính của hầu hết các gián đoạn đã xảy ra trong lịch sử BGP.
Học viên: DƢƠNG NGỌC SƠN
12
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
1.5.3 Thao tác các thuộc tính đường dẫn
Giao thức định tuyến BGP đƣa ra quyết định định tuyến dựa trên cơ sở các
thuộc tính đƣờng dẫn liên quan với các định tuyến. Các thiết bị đồng cấp có thể tận
dụng các thuộc tính đƣờng dẫn để thu hút các thiết bị đồng cấp sử dụng đƣờng dẫn
hƣớng tới mình hoặc để tạo ra một số tác động đến các quyết định định tuyến.
Bộ định tuyến nhận có thể thiết lập lại hầu hết các thuộc tính đƣờng dẫn khi
nhận đƣợc cập nhật định tuyến. Tuy nhiên, một số thuộc tính nhƣ AS_Path không
thể thao tác đƣợc. Bộ định tuyến gửi có thể gắn số AS của riêng mình vào thuộc
tính AS_Path để gây ảnh hƣởng đến các quyết định định tuyến.
Một thuộc tính khác Multi_Exit_Disc (MED) cũng có thể đƣợc thao tác nhƣ
vậy để các giá trị đƣợc thay đổi, để tƣ vấn cho Ass khác về đƣờng dẫn đang đến để
đạt đƣợc tổ chức riêng. Định tuyến có giá trị MED thấp nhất đƣợc ƣu tiên.
Mỗi định tuyến có thuộc tính đƣờng dẫn NEXT_HOP, bao gồm các giá trị
địa chỉ IP next-hop. Một thiết bị cùng cấp quảng cáo có thể thay đổi thuộc tính
đƣờng dẫn next-hop điều hƣớng luồng dữ liệu tới các điểm mong muốn.
Ngƣời sử dụng độc hại hoặc kẻ tấn cơng có thể khai thác những phƣơng pháp
thao tác đƣờng dẫn để đạt đƣợc lợi ích cho tổ chức của mình. Điều này có thể tạo ra
các vấn đề cho các tổ chức cạnh tranh khác nhau.
1.5.4 Hố đen
Quảng cáo địa chỉ mạng có thể truy cập đƣợc tới các thiết bị đồng cấp thực
chất là một lời hứa để chuyển phát các gói dữ liệu tới địa chỉ mạng này. Vì vậy một
bộ định tuyến sẽ gửi lƣu lƣợng đã đƣợc xác định điểm đến là địa chỉ mạng này tới
thiết bị đồng cấp, thiết bị này sẽ quảng cáo thơng tin có thể truy cập đƣợc của địa
chỉ mạng trên. Nhƣng nếu các bộ định tuyến gốc khơng có thơng tin về địa chỉ
mạng này, nó sẽ khơng thể chuyển phát luồng thơng tin tới địa điểm đã định và có
thể làm rơi thông tin dẫn tới sự cố hố đen.
Học viên: DƢƠNG NGỌC SƠN
13
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
1.5.5 Nghe trộm
Một bộ định tuyến có thể nghe trộm luồng thông tin đƣợc bảo vệ bằng cách
truyền bá thông tin định tuyến giả và thu hút luông thông tin vào một số bộ định
tuyến chƣa đƣợc bảo vệ hoặc bị tổn hại. Trong Internet có rất nhiều con đƣờng có
thể dẫn tới khả năng này giữa các cặp định tuyến nhận và gửi. Một bộ định tuyến có
thể là nơi xuất phát hoặc chặn một số quảng cáo định tuyến để buộc các bộ định
tuyến khác sử dụng một số đƣờng dẫn khơng an tồn. Kẻ tấn cơng cũng có thể thu
hút luồng thơng tin vào hắn bằng cách khởi tạo thơng tin giả và sau đó chuyển tiếp
nó đến đích dự định tức là làm ngƣời trung gian nghe trộm.
1.5.6 Tắc nghẽn, chậm trễ và vòng lặp
Bộ định tuyến có thể quảng bá thơng tin định tuyến để cung cấp số lƣợng lớn
luông thông tin thông qua một đƣờng dẫn hoặc một số đƣờng dẫn ít tối ƣu hơn,
những đƣờng dẫn này có thể dẫn đến luồng thơng tin bị tắc nghẽn và chậm trễ. Thao
tác trên đƣờng dẫn này gây ra vấn đề từ chối dịch vụ.
Thông tin định tuyến khơng chính xác và khơng đầy đủ trong bảng định
tuyến của miền hồn tồn có thể dẫn đến những quyết định khơng chính xác, điều
này cũng có thể gây ra vòng lặp định tuyến.
Học viên: DƢƠNG NGỌC SƠN
14
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
Chƣơng II
PHƢƠNG PHÁP BẢO MẬT TRÊN BGP
2.1 Xác minh của thiết bị đồng cấp
Xác minh TCP MD5-based đƣợc hỗ trợ trong BGP, nơi mà việc chia sẻ giữa
các bộ định tuyến tham gia chính là chìa khóa. Bộ định tuyến gửi tất cả các bản tin
đƣợc mã hóa đầu vào cùng với khóa bí mật và gửi chúng ghép với các bản tin. Bộ
định tuyến nhận cũng tính tốn mã hóa trong tin nhắn cộng với khóa bí mật và ghép
chúng với giá trị mã hóa nhận đƣợc, nếu các giá trị phù hợp thì bản tin đƣợc chấp
nhận, nếu không bản tin bị loại bỏ.
Bằng cách này, xác minh TCP MD5 có thể đƣợc sử dụng để xác thực thiết bị
đồng cấp, tức là xác minh rằng thiết bị đồng cấp đang quảng cáo thông tin là thiết bị
hợp lệ. TCP MD5 vẫn còn một số điểm yếu, do đó giao thức mới TCP-AO đang
đƣợc đề xuất trong các tài liệu nhƣng vẫn chƣa đƣợc tích hợp trong tiêu chuẩn BGP.
Xác minh của thiết bị đồng cấp có thể bảo vệ chống lại các cuộc tấn cơng từ
bên ngồi, nhƣng các bộ định tuyến bị sai cấu hình và bị tổn hại vẫn có thể bị những
kẻ tấn cơng sử dụng để quảng bá thông tin sai lệch từ các thiết bị đồng cấp hợp pháp
mặc dù những thiết bị đồng cấp này đã qua kiểm tra xác thực MD5.
Thơng tin sai lệch do sai cấu hình hoặc bộ định tuyến bị nhiễm độc vẫn có
thể xảy ra và khơng có kiểm tra trong BGP, do đó nhiều cải tiến bảo mật cho BGP
đã đƣợc đề xuất. Có hai đề xuất cải tiến hồn tồn BGP có thể tạo ra trao đổi thơng
tin định tuyến an tồn.
2.2 Bảo mật BGP (S-BGP)
S-BGP là hình thức an tồn mới của BGP, trong đó xác nhận rằng:
- Bản tin cập nhật nhận đƣợc từ thiết bị cùng cấp hợp lệ và chƣa bị chỉnh sửa.
- Ngƣời quảng cáo sở hữu hoặc đƣợc ủy quyền để quảng cáo các địa chỉ mạng
có thơng tin đƣợc chứa trong bản cập nhật.
Học viên: DƢƠNG NGỌC SƠN
15
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
- Nếu việc loại bỏ tuyến đƣợc yêu cầu trong bản tin cập nhật, thì bộ định tuyến
phải gửi quảng cáo tuyến này trƣớc đó.
Cấu trúc S-BGP có bốn yếu tố chính đƣợc sử dụng để cung cấp độ tin cậy
nhƣ sau:
- Một cấu trúc khóa cơng khai (PKI) để đại diện cho địa chỉ mạng và số sở
hữu AS.
- Xác nhận địa chỉ đƣợc cấp cho AS của chủ sở hữu địa chỉ mạng; cho phép
AS cụ thể.
- Mỗi bộ định tuyến theo AS_Path xác nhận định tuyến để ghép cặp với các
zđƣờng dẫn trƣớc đó.
- IPSec đƣợc sử dụng trong S-BGP để tăng cƣờng an ninh của phiên kết nối.
Hạ tầng khóa cơng khai S-BGP
S-BGP u cầu PKI trong việc cho phép các địa chỉ mạng và phân bổ số
lƣợng AS cho các tổ chức khác nhau. Chứng nhận kỹ thuật số X.509(V3) song song
với việc phân bổ IP và AS hiện có là cần thiết. Trong cấu trúc này, mỗi AS đƣợc
gán một địa chỉ mạng công cộng và số AS cũng sẽ đƣợc gán một chứng nhận cơng
khai để liên kết số AS và khóa cơng khai của tổ chức.
Có hai chứng thực, chứng thực tuyến và chứng thực địa chỉ gắn với tất cả
các bản cập nhật quảng cáo. Chứng thực địa chỉ là do chủ sở hữu địa chỉ mạng IP
cấp cho AS, AS sẽ đƣợc cho phép quảng cáo địa chỉ mạng này. Về chứng thực
tuyến, tất cả các bộ định tuyến trƣớc khi quảng cáo các cập nhật tới các thiết bị
đồng cấp của mình đều phải thơng qua chứng thực tuyến. Chứng thực này xác
nhận rằng AS cuối cùng trong AS_Path (AS gửi ) đƣợc ủy quyền của AS trƣớc
để quảng cáo những địa chỉ mạng này. Thuộc tính đƣờng dẫn mới có thể lựa
chọn đƣợc quy định trong S-BGP để truyền đạt thông tin chứng thực này giữa
các thiết bị đồng cấp BGP.
Các bộ định tuyến nhận sử dụng các chứng thực và chứng nhận kỹ thuật số
để đảm bảo độ tin cậy của các bản cập nhật nhận đƣợc. S-BGP đảm bảo rằng chủ sở
hữu các địa chỉ mạng (có trong bản cập nhật) đã cho phép các nhà quảng cáo quảng
Học viên: DƢƠNG NGỌC SƠN
16
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
cáo các địa chỉ mạng sử dụng chứng thực địa chỉ kèm theo cập nhật và khóa cơng
khai của chủ sở hữu. Tƣơng tự nhƣ vậy, nó cũng đƣợc xác minh rằng tất cả các ASs
trên đƣờng dẫn cũng đƣợc phép quảng cáo các địa chỉ mạng này tới các thiết bị
đồng cấp của mình bằng cách sử dụng chứng thực tuyến.
Tuy nhiên, kiểm tra tất cả các chứng thực đòi hỏi khả năng xử lý cao và yêu
cầu lƣu trữ các chứng chỉ cần thiết tốn nhiều tài nguyên bộ nhớ.
Trong khi kích thƣớc của bảng định tuyến tại bộ định tuyến lõi trên mạng
Internet đang tăng lên nhƣ trong Hình 3 dƣới đây; bộ định tuyến lõi khó có thể quản
lý các chức năng hiện tại của nó với số lƣợng các định tuyến nhiều nhƣ vậy đang
truy nhập vào bảng định tuyến của nó và nó khơng thể chịu đựng thêm tải của
chứng thực tuyến và chứng thực địa chỉ do S-BGP áp đặt.
Hình 3. Độ lớn của bảng định tuyến trong các bộ định tuyến lõi
S-BGP có thể giải quyết nhiều vấn đề an ninh BGP nhƣng nó khơng đƣợc
triển khai do ba ngun nhân chính:
- Cần cấu hình cao trong bộ xử lý của bộ định tuyến.
- Thiết lập cơ sở hạ tầng PKI là điều kiện tiên quyết cho S-BGP.
Học viên: DƢƠNG NGỌC SƠN
17
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
- Không đƣợc thực hiện bởi các nhà cung cấp chính và các ISP. Mọi ngƣời
đều chờ đợi ngƣời khác đi bƣớc đầu tiên.
2.3 Bảo mật BGP gốc (SoBGP)
Bảo mật BGP gốc (SoBGP) là một hình thức sửa đổi của BGP để đạt đƣợc mục
tiêu an ninh trong định tuyến BGP. SoBGP cung cấp những cam kết bảo vệ sau đây:
- Xác minh rằng AS đƣa ra quảng cáo cho địa chỉ mạng 'A' đƣợc phép quảng
cáo địa chỉ mạng này.
- Xác minh rằng AS đƣa ra quảng cáo cho địa chỉ mạng 'A' có thể thực sự truy
cập tới địa chỉ mạng này.
- Xác minh rằng thuộc tính AS_Path là hợp lệ và đƣợc chấp nhận.
SoBGP xác định và sử dụng ba chứng nhận để đạt đƣợc cam kết bảo mật nhƣ
đã đề cập ở trên:
- EntityCert (Chứng nhận thực thể)
- AuthCert (Chứng nhận ủy quyền)
- PolicyCert (Chứng nhận chính sách)
AS sẽ tạo ra các chứng chỉ và các AS nhận đƣợc các chứng chỉ này sẽ sử dụng
chứng để xác minh tính xác thực của các bản tin cập nhật. Các chứng chỉ này đƣợc
ký sử dụng khóa AS bảo mật và EntityCert (chứng nhận thực thể) đƣợc sử dụng để
phân phối khóa cơng khai tƣơng ứng với khóa bảo mật này. EntityCert đƣợc ký bởi
một số nhà xác minh nổi tiếng nhƣ Verisign và khóa của chúng có thể đƣợc sử dụng
để xác thực EntityCert.
AuthCert (chứng nhận ủy quyền) đƣợc sử dụng để chứng minh quyền sở hữu
và quyền sử dụng các địa chỉ mạng nhất định. AS sẽ tạo ra AuthCert và ký bằng
cách sử dụng khóa bảo mật (tƣơng ứng với khóa cơng khai trong EntityCert). AS
nhận sẽ xác minh rằng quảng cáo các địa chỉ mạng đƣợc ủy quyền bằng cách sử
dụng AuthCert này.
PolicyCert (chứng nhận chính sách) đƣợc sử dụng để phân phối thông tin cấu
trúc liên kết tới các AS khác. Tất cả AS sẽ xây dựng bản đồ cấu trúc liên kết của
Học viên: DƢƠNG NGỌC SƠN
18
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
mình bằng cách sử dụng PolicyCert nhận đƣợc và kiểm tra các bản cập nhật theo
cấu trúc liên kết này.
Bản tin BGP mới với 'bản tin bảo mật’ đƣợc xác định là để thực hiện các
chứng chỉ trên giữa các hệ thống tự trị. Khi SoBGP đƣợc triển khai, nó sẽ có thể
giải quyết nhiều vấn đề bảo mật, nhƣng trong thực tế nó khơng đáp ứng đƣợc
những cam kết bảo mật và cũng giống nhƣ S-BGP cũng rất nặng đối với bộ định
tuyến lõi Internet vốn đã chịu nhiều gánh nặng.
2.4 Các giải pháp thực tế khả thi
Có rất nhiều giải pháp đƣợc đề xuất để bảo đảm BGP nhƣ S-BGP, SoBGP,
pretty secure BGP (psBGP), nhƣng chúng không giải quyết đƣợc tất cả các vấn đề
tồn tại liên quan tới BGP hoặc chúng không đƣợc thực hiện do vấn đề chi phí. Tuy
nhiên, các nhà cung cấp bộ định tuyến và các ISP lớn đã phát triển một số phƣơng
pháp thực tiễn để cung cấp bảo mật trong BGP. Những phƣơng pháp thực tế tốt rất
có thể tăng tính bảo mật của BGP và tránh đƣợc nhiều vấn đề liên quan đến BGP
mà không khiến các bộ định tuyến BGP phải chịu tải quá lớn. Những biện pháp này
bao gồm:
-
Gia cố bộ định tuyến.
-
Cơ chế bảo mật TTL tổng quát.
-
Chống bất ổn cho định tuyến.
-
Hạn chế tối đa địa chỉ mạng.
-
Hạn chế chiều dài AS_Path.
-
Lọc địa chỉ mạng.
2.4.1 Gia cố bộ định tuyến
Router là thiết bị chính tạo ra và quảng cáo các bản tin quảng cáo BGP với các
thiết bị cùng cấp. Nếu kẻ tấn cơng có thể bằng cách nào đó có đƣợc quyền truy cập
tới bộ định tuyến BGP tin cậy, bộ định tuyến bị tổn thƣơng này có thể đƣợc sử dụng
để phân phối thơng tin độc hại đến các thiết bị cùng cấp. Vì vậy để đạt đƣợc bảo
Học viên: DƢƠNG NGỌC SƠN
19
Lớp: 13BMTTT
Nghiên cứu các vấn đề bảo mật trên giao thức BGP
mật BGP bƣớc đầu tiên là nên gia cố bộ định tuyến tham gia, do đó, khơng có ngƣời
sử dụng độc hại nào có thể đƣợc tiếp cận với chúng. Cách gia cố bao gồm:
-
Bảo mật vật lý
-
Hạn chế truy cập đến bộ định tuyến
-
Từ chối các gói tin giả mạo
-
Sử dụng mật khẩu an tồn và mã hóa để bảo vệ truy cập
-
Vơ hiệu hóa tất cả các dịch vụ khơng sử dụng
Kiểm sốt truy cập vật lý tới bộ định tuyến bằng cách chỉ cho những ngƣời có
thẩm quyền mới đƣợc truy cập và hạn chế truy cập từ xa có thể đạt đƣợc bằng cách
cấu hình danh sách truy cập để cho phép một số địa chỉ IP truy cập và ngăn chặn (từ
chối) tất cả các địa chỉ khơng rõ ràng.
Cisco đã giới thiệu tính năng mới "Tự động bảo mật" có thể đƣợc sử dụng để
cải thiện bảo mật bộ định tuyến của Cisco. Công cụ này có thể đƣợc sử dụng để tạo
ra các kịch bản cấu hình nhằm vơ hiệu hóa các dịch vụ không sử dụng và tạo ra, áp
dụng các mật khẩu mạnh trong kết nối tới bộ định tuyến.
2.4.2 Cơ chế bảo mật TTL tổng quát
Xác thực của các thiết bị cùng cấp có thể bảo vệ một bộ định tuyến khỏi ghép
cặp với bộ định tuyến BGP không đƣợc cho phép. Nhƣng nếu nhiều bộ định tuyến
đang gửi yêu cầu đến cổng TCP 179 để trở thành thiết bị cùng cấp BGP mặc dù
chúng không biết mật khẩu, điều này có thể gây ra từ chối dịch vụ. Chúng gửi quá
nhiều yêu cầu giả mạo làm cho bộ định tuyến bận đánh giá những yêu cầu và nói
xin lỗi với chúng.
BGP TTL hack protection (BGP TTL chống hack) sử dụng cơ chế bảo mật
TTL tổng quát để ngăn chặn âm mƣu hoặc các cuộc tấn công. Theo mặc định các
thiết bị cùng cấp eBGP chủ yếu kết nối trực tiếp với nhau và BGP TTL hack
protection khai thác thực tế này để ngăn chặn tấn công từ chối dịch vụ từ các bộ
Học viên: DƢƠNG NGỌC SƠN
20
Lớp: 13BMTTT
