| 您當(dāng)前位置：保定理工學(xué)院 >> 信息技術(shù)中心 >> 網(wǎng)絡(luò)安全 >> 瀏覽文章 |
|
路由安防實踐為何推廣如此緩慢？ 【網(wǎng)絡(luò)安全】 加入時間：2024年10月15日 信息來源：本站原創(chuàng) 作者：xjzx 訪問量： |
路由安全并不是一個新問題。幾十年來人們都知道，為實現(xiàn)域間路由而設(shè)計的廣泛使用的協(xié)議，即邊界網(wǎng)關(guān)協(xié)議（BGP），存在關(guān)鍵性的漏洞：它缺乏一種內(nèi)置機(jī)制來驗證路由信息，這些信息在網(wǎng)絡(luò)間共享，用來為數(shù)據(jù)流量選擇全球范圍的路徑。
這意味著當(dāng)網(wǎng)絡(luò)在決定流量轉(zhuǎn)發(fā)目的地時，往往無法驗證目的地網(wǎng)絡(luò)是否真正能夠?qū)⑵鋫魉偷筋A(yù)定地址。因此，無論是出于意外還是惡意，流量經(jīng)常會被路由到錯誤的網(wǎng)絡(luò)。人們常把這種問題稱為BGP劫持。 使用RPKI加強(qiáng)互聯(lián)網(wǎng)路由安全有兩個要素。第一個要素是網(wǎng)絡(luò)運(yùn)營商要發(fā)布路由起源認(rèn)證（ROA）。ROA是一種經(jīng)過加密簽名的對象，說明了對于一段或者一組IP地址前綴，哪個自治系統(tǒng)（AS/網(wǎng)絡(luò)）擁有使用它們作為源地址的授權(quán)。
由于BGP劫持由來已久，研究人員和技術(shù)專家設(shè)計了各種方法阻止它的發(fā)生。最常用的解決方案之一，是一個名為“資源公鑰基礎(chǔ)設(shè)施（RPKI）”的框架，于2012年由互聯(lián)網(wǎng)工程任務(wù)組標(biāo)準(zhǔn)化。
在RPKI框架下，網(wǎng)絡(luò)能夠發(fā)布加密記錄，其他網(wǎng)絡(luò)可以用它們來驗證通過BGP傳播的信息，有效確保網(wǎng)絡(luò)流量不被劫持。不過，要充分受益于RPKI的保護(hù)，網(wǎng)絡(luò)需要為它們使用的整個IP地址空間發(fā)布RPKI記錄。
令人沮喪的是，盡管RPKI已經(jīng)存在了十多年，但推廣一直很慢。在2024年的今天，全球通過BGP發(fā)布的IP地址中，只有大約一半有RPKI記錄。 我們希望通過研究了解為何RPKI的部署如此緩慢，哪怕它能解決的安全風(fēng)險已經(jīng)眾所周知，以及哪些組織在RPKI的部署方面處于滯后狀態(tài)。我們希望這些發(fā)現(xiàn)能為政策制定者提供參考，以推進(jìn)RPKI的部署，從而增強(qiáng)BGP的安全保障。在近期美國政府再次發(fā)力推動解決路由安全問題的背景下，這項工作的意義就更為突出了。
影響RPKI部署的關(guān)鍵因素
在分析中，我們發(fā)現(xiàn)了影響各個組織部署RPKI的四個關(guān)鍵特征：地理位置、網(wǎng)絡(luò)規(guī)模、業(yè)務(wù)類型和地址空間的復(fù)雜度。
我們認(rèn)為，RPKI部署率的地域差異源于各個地區(qū)互聯(lián)網(wǎng)注冊管理機(jī)構(gòu) (RIR) 各自獨(dú)立的RPKI記錄發(fā)布流程和要求。最終它們導(dǎo)致每個RIR管理的地理區(qū)域的RPKI部署情況各不相同。
而且，網(wǎng)絡(luò)規(guī)模也是一個重要因素，因為RPKI要求額外的管理和操作，而在日常運(yùn)維中增加這些工作對規(guī)模較小的網(wǎng)絡(luò)更具挑戰(zhàn)性。 此外， 相比那些與在線服務(wù)關(guān)系密切的組織，與互聯(lián)網(wǎng)服務(wù)無關(guān)的組織（如教育和政府網(wǎng)絡(luò)），對RPKI的認(rèn)知和部署動力要更少。
最后，即使是在大型網(wǎng)絡(luò)內(nèi)，針對不同IP地址發(fā)布RPKI記錄所需的工作量也不盡相同。地址空間的授權(quán)和再分配所涉及的法務(wù)和運(yùn)維挑戰(zhàn)，可能會使一部分地址空間更難部署RPKI。
我們計劃以這些結(jié)果作為更廣泛研究的起點(diǎn)，探尋那些RPKI部署較為落后的組織所面臨的障礙，并提出可能的解決方案，幫助人們在未來應(yīng)對這些挑戰(zhàn)。
本文刊登于《中國教育網(wǎng)絡(luò)》10月刊 來源：INTERNET SOCIETY 翻譯：王文鑫 責(zé)編：陳茜 |