| 您當(dāng)前位置：保定理工學(xué)院 >> 信息技術(shù)中心 >> 網(wǎng)絡(luò)安全 >> 瀏覽文章 |
|
路由安防實(shí)踐為何推廣如此緩慢？ 【網(wǎng)絡(luò)安全】 加入時(shí)間：2024年10月15日 信息來(lái)源：本站原創(chuàng) 作者：xjzx 訪問(wèn)量： |
路由安全并不是一個(gè)新問(wèn)題。幾十年來(lái)人們都知道，為實(shí)現(xiàn)域間路由而設(shè)計(jì)的廣泛使用的協(xié)議，即邊界網(wǎng)關(guān)協(xié)議（BGP），存在關(guān)鍵性的漏洞：它缺乏一種內(nèi)置機(jī)制來(lái)驗(yàn)證路由信息，這些信息在網(wǎng)絡(luò)間共享，用來(lái)為數(shù)據(jù)流量選擇全球范圍的路徑。
這意味著當(dāng)網(wǎng)絡(luò)在決定流量轉(zhuǎn)發(fā)目的地時(shí)，往往無(wú)法驗(yàn)證目的地網(wǎng)絡(luò)是否真正能夠?qū)⑵鋫魉偷筋A(yù)定地址。因此，無(wú)論是出于意外還是惡意，流量經(jīng)常會(huì)被路由到錯(cuò)誤的網(wǎng)絡(luò)。人們常把這種問(wèn)題稱(chēng)為BGP劫持。 使用RPKI加強(qiáng)互聯(lián)網(wǎng)路由安全有兩個(gè)要素。第一個(gè)要素是網(wǎng)絡(luò)運(yùn)營(yíng)商要發(fā)布路由起源認(rèn)證（ROA）。ROA是一種經(jīng)過(guò)加密簽名的對(duì)象，說(shuō)明了對(duì)于一段或者一組IP地址前綴，哪個(gè)自治系統(tǒng)（AS/網(wǎng)絡(luò)）擁有使用它們作為源地址的授權(quán)。
由于BGP劫持由來(lái)已久，研究人員和技術(shù)專(zhuān)家設(shè)計(jì)了各種方法阻止它的發(fā)生。最常用的解決方案之一，是一個(gè)名為“資源公鑰基礎(chǔ)設(shè)施（RPKI）”的框架，于2012年由互聯(lián)網(wǎng)工程任務(wù)組標(biāo)準(zhǔn)化。
在RPKI框架下，網(wǎng)絡(luò)能夠發(fā)布加密記錄，其他網(wǎng)絡(luò)可以用它們來(lái)驗(yàn)證通過(guò)BGP傳播的信息，有效確保網(wǎng)絡(luò)流量不被劫持。不過(guò)，要充分受益于RPKI的保護(hù)，網(wǎng)絡(luò)需要為它們使用的整個(gè)IP地址空間發(fā)布RPKI記錄。
令人沮喪的是，盡管RPKI已經(jīng)存在了十多年，但推廣一直很慢。在2024年的今天，全球通過(guò)BGP發(fā)布的IP地址中，只有大約一半有RPKI記錄。 我們希望通過(guò)研究了解為何RPKI的部署如此緩慢，哪怕它能解決的安全風(fēng)險(xiǎn)已經(jīng)眾所周知，以及哪些組織在RPKI的部署方面處于滯后狀態(tài)。我們希望這些發(fā)現(xiàn)能為政策制定者提供參考，以推進(jìn)RPKI的部署，從而增強(qiáng)BGP的安全保障。在近期美國(guó)政府再次發(fā)力推動(dòng)解決路由安全問(wèn)題的背景下，這項(xiàng)工作的意義就更為突出了。
影響RPKI部署的關(guān)鍵因素
在分析中，我們發(fā)現(xiàn)了影響各個(gè)組織部署RPKI的四個(gè)關(guān)鍵特征：地理位置、網(wǎng)絡(luò)規(guī)模、業(yè)務(wù)類(lèi)型和地址空間的復(fù)雜度。
我們認(rèn)為，RPKI部署率的地域差異源于各個(gè)地區(qū)互聯(lián)網(wǎng)注冊(cè)管理機(jī)構(gòu) (RIR) 各自獨(dú)立的RPKI記錄發(fā)布流程和要求。最終它們導(dǎo)致每個(gè)RIR管理的地理區(qū)域的RPKI部署情況各不相同。
而且，網(wǎng)絡(luò)規(guī)模也是一個(gè)重要因素，因?yàn)镽PKI要求額外的管理和操作，而在日常運(yùn)維中增加這些工作對(duì)規(guī)模較小的網(wǎng)絡(luò)更具挑戰(zhàn)性。 此外， 相比那些與在線服務(wù)關(guān)系密切的組織，與互聯(lián)網(wǎng)服務(wù)無(wú)關(guān)的組織（如教育和政府網(wǎng)絡(luò)），對(duì)RPKI的認(rèn)知和部署動(dòng)力要更少。
最后，即使是在大型網(wǎng)絡(luò)內(nèi)，針對(duì)不同IP地址發(fā)布RPKI記錄所需的工作量也不盡相同。地址空間的授權(quán)和再分配所涉及的法務(wù)和運(yùn)維挑戰(zhàn)，可能會(huì)使一部分地址空間更難部署RPKI。
我們計(jì)劃以這些結(jié)果作為更廣泛研究的起點(diǎn)，探尋那些RPKI部署較為落后的組織所面臨的障礙，并提出可能的解決方案，幫助人們?cè)谖磥?lái)應(yīng)對(duì)這些挑戰(zhàn)。
本文刊登于《中國(guó)教育網(wǎng)絡(luò)》10月刊 來(lái)源：INTERNET SOCIETY 翻譯：王文鑫 責(zé)編：陳茜 |