互联网前缀劫持攻击研究

前缀劫持攻击是互联网BGP域间路由系统中的首要安全威胁,至今还无有效解决该问题的方案。以前缀劫持攻击为研究对象,分析了前缀劫持攻击产生的具体原因,展现了该攻击在自治系统内部以及在自治系统之间的表现形式与影响;从前缀劫持攻击的危害程度,分析并划分了前缀劫持攻击的基本形态,讨论了各种前缀劫持攻击的基本特性。分析结果表明,子前缀劫持的危害最严重,确切前缀劫持的影响最复杂,而父前缀劫持最易被发现且危害相对较小。     

防范前缀劫持的互联网注册机制

借鉴IRR(Internet routing registry)机制中注册路由策略的思想,提出了前缀策略(prefix policy)的概念,并由此设计了一种防范前缀劫持的方法—— E-IRR 机制.在E-IRR 中,参与者发布自己的前缀策略,同时利用其他自治系统已注册的前缀策略验证BGP路由,从而防范前缀劫持.提出了维护前缀策略有效性措施,评估了E-IRR机制的安全能力与性能.方法的主要优势是,其在前缀劫持的防范能力与安全机制的实际部署需求之间达到了一个较好平衡,可增量式地部署,并不需要对BGP协议进行任何安全扩展.现有方案都不同时具备这些特性,它们使得E-IRR有望实际可行地解决前缀劫持问题.     

基于协作的互联网前缀劫持检测方案研究

自治系统的网络管理员要想及时地发现前缀劫持非常困难。本文分析了现有方案的不足,讨论了前缀劫持问题困难的根源。考虑到互联网的自治特性,本文提出了一个基于协作的前缀劫持检测方案。该方案支持多个自治系统协作地监测BGP路由,这不仅可分摊系统的监测开销、防止泄露私有的BGP路由信息,而且还可极大地扩展单个自治系统的可监测范围,能有效地帮助网络管理员检测关于自身前缀的劫持事件。     

域间路由协议前缀劫持行为模拟与分析

基于BGP的域间路由系统是Internet的核心设施,是保证整个网络互联及正常运行的关键。然而,由于BGP协议本身缺乏必要的安全机制而极易受到攻击。例如,前缀劫持就是针对BGP缺陷而实施的一种较难防范的攻击。近年来,已发生多起BGP前缀劫持事件,造成了严重危害。本文基于GT-NetS软件构建了一个大规模域间路由系统模拟环境,并在该模拟环境中进行了多次BGP前缀劫持测试,结合测试结果分析对影响BGP前缀劫持攻击范围的有关因素进行了研究。测试表明,BGP前缀劫持造成的受害范围与攻击发起路由器所属AS的层次和度数有着直接的关系。     

基于前缀劫持及路由更改对BGP产生的影响

在网络中,由于配置错误或恶意路由宣告而导致的BGP前缀劫持事件,给当今的互联网带来了极大的麻烦。外包缓解措施是最近提出的一种前缀劫持缓解修复的方法。它通过将把数据同步出来传送给路由器,再提取ROA当中的信息,更新证书后,替换Update报文中的内容再进行传递的机制方法,来缓解源AS号劫持事件,使机制重定向位置以此吸引大量网络流量。吸引和重定向行为的AS号对于提高修复能力非常有效。因此,如何衡量不同AS号的缓解效果并有效选择缓解因子是外包缓解措施的关键问题。为了从网络整体来均衡能耗,延长网络生存时间,采取了Cluster路由算法改进的方法,对不同的簇树中节点关系的选择,由不同节点的能量来避免路由发生回路和绕路等现象,从而更改Cluster-list id进行严格的路由选择,实现最优路由产生。     

Co-Monitor:检测前缀劫持的协作监测机制

在如今的互联网中,网络管理员要想及时地发现前缀劫持事件非常困难.考虑到互联网域间路由系统中存在的自治特性,提出了在多个自治系统之间协作监测前缀的思想,并由此设计了一个实时检测前缀劫持的新方法——Co-Monitor机制.在Co-Monitor中,每个参与者与其他参与者交换自定义的前缀-源自治系统映射信息,同时,利用所学到的前缀-源自治系统映射信息实时地监测本地BGP(border gateway protocol)路由更新.一旦某个参与者发现了不一致就立刻通知相关的参与者,从而可帮助参与者及时、有效地发现前缀劫持.给出了Co-Monitor机制的详细设计,评估了该机制的检测能力,并讨论了几个相关的问题.实验结果表明,只需精心选择60个参与者,就可确保Co-Monitor系统检测前缀劫持的漏检率和误检率都为0%.     

互联网大规模前缀劫持事件检测与分析的案例研究

由于BGP协议的脆弱性,BGP前缀劫持长期以来一直对互联网产生着严重的安全威胁。检测和分析大规模的前缀劫持事件是一件十分必要但又充满挑战的工作。以2019年发生的大规模的欧洲路由泄露导致路由劫持事件为案例,提出了一种基于公共BGP数据的有效的检测和分析方法。分析结果包括如下几条：（1）这次劫持的“攻击者”为AS21217,AS4134是劫持路由传播过程中的关键点; （2）此次劫持事件导致了严重的多源AS冲突和AS-PATH路径膨胀问题;（3）此次事件的劫持类型包括劫持前缀并篡改AS路径,以及劫持子前缀并篡改AS路径2种类型;（4）检测到311个AS被感染,长度为4的感染链数量最多,且分属于3 895个AS的28 118个前缀IP段成为受害者,同时实现了一个可视化系统来展示劫持发生时的全球网络态势。这些研究结果一方面与Oracle等公司公布的结果相互印证,另一方面又对此次网络事件进行了更加详尽的补充和深入挖掘。     

BGP前缀劫持下的通信研究与实现

针对当前互联网上发生的BGP前缀劫持事件,分析BGP前缀劫持检测系统的通信方式,为解决BGP前缀劫持发生后产生的通信困局提供方法支撑,从而为分布式的BGP前缀劫持检测系统消息通告设计与实现提供参考.文章以当前BGP前缀劫持检测系统为背景,基于前缀劫持中受害者AS、感染者AS和未受感染者AS的通信关系,提出几种旨在打破通信困局的启发式消息宣告机制并对其各种机制的特点进行了分析.     

Internet域间路由振荡问题分析与研究

边界网关协议(BGP)是Internet域间路由的事实标准,它允许各自治系统独立配置路由选择和播发策略,但这种局部配置可能导致全局策略配置冲突和低效,从而引起路由振荡的问题。文章分析了域间路由振荡问题,并综述了其相应的各种解决方案。     

互联网自治系统的前缀信誉模型

BGP面临的前缀劫持攻击会严重破坏互联网网络的可靠性。引入信任技术,构建自治系统的前缀信誉模型(Autonomous System Prefix Reputation Model,简写为"AS-PRM")来评估自治系统发起真实前缀可达路由通告行为的信任度。从而,自治系统可选择相对前缀信誉好的自治系统发起的前缀可达路由通告,来抑制前缀劫持攻击的发生。AS-PRM模型根据多个前缀劫持攻击检测系统的检测结果(考虑了误报、漏报率),基于beta信誉系统,计算自治系统的前缀信誉,并遵循"慢升快降"原则,更新前缀信誉。最后,仿真实验验证了模型的有效性。     

面向自治系统间IP前缀劫持的一种无证书安全防范机制

自治系统间的IP前缀劫持是互联网安全的重大威胁.目前基于非对称密码学的前缀劫持防范机制都无可避免地面临复杂的公钥证书存储管理问题或者密钥托管问题,并且在前缀源自治系统在线验证时计算量太大,难以在实际中布署实施.本文提出的这种防范机制,采用公钥自证明签名方案进行前缀源自治系统的验证,无需公钥证书和密钥托管,可从多方面提高防范机制的性能,有望促进IP前缀劫持防范机制的实际布署实施.     

未来骨干网路由协议－－BGP

边界网关协议在自治系统之间提供无路径的路由。通常ＢＧＰ在许多ＩＳＰ之间运行。详细介绍ＢＧＰ协议基本框架及如何工作的。     

基于稳定度的可信AS-IP宣告关系构建方法

互联网自治系统(AS)以在路由系统中宣告网络前缀的方式宣告IP地址块的所有权。当一个自治系统宣告了不属于它的网络前缀时,就会导致前缀劫持的发生。由于边界网关协议(BGP)本身无法验证AS和IP前缀之间的宣告关系是否真实,导致对前缀劫持的检测和判定异常困难。本文提出并实现一种基于稳定度的,构建可信AS-IP宣告关系的方法,并用于检测和判定前缀劫持。通过构建AS和IP前缀宣告关系的时间序列,计算该宣告关系在时间序列上的稳定度数值,并用于评估AS和IP前缀宣告关系的可信度。本文运用该方法对历史上发生过的大规模异常事件进行检测,实验表明,该方法能构造准确的AS和IP前缀宣告关系,并可有效地检测和判定前缀劫持事件。     

区分自治系统关系的域间路由体系研究

BGP-4是Internet采用的惟一域间路由协议,但它并不能确保路由收敛,复杂的网络结构加剧了路由潜在振荡的危险性．为此,提出了一种自约束的域间选路机制,在不违反传统流量工程原则和自治系统间结算原则的前提下,通过抑制违背自治系统间关系的路由通告和路由选择,达到维护全系统路由稳定的目的;对昕提方案的技术可行性进行论证,给出了新的选路机制原型系统的定义和关键算法的实现．区分自治系统关系的域间路由体系有效回避了路由策略一致性全局检测这一NP-complete问题．     

边界网关协BGP-4路由稳定性研究

边界网关协议（BGP)是自治域间的路由协议，用于在全球因特网AS之间交换网络可达性信息。BGP是路径向量协议，在选择一个最佳路由时允许每一个自治系统用基于策略的度量值来重载基于距离的度量值。将一组独立地定义BGP策略的自治系统组织在一起时，很可能就导致BGP协议的摆动，即不能聚集在一个稳定的路由中，该文着重分析了边界网关协议BGP－4路由稳定性问题和相应的解决技术。     

边界网关协议收敛问题研究综述

边界网关协议(BGP)是Internet目前实际使用的主要域间路由协议,但其存在收敛慢等问题,各方面性能无法满足客观需求。详细剖析了BGP收敛问题的产生原因,并对已有的研究工作进行了综述和分析,将目前的BGP收敛问题的解决方案分成调整协议参数、增加新机制和设计新协议三大类。最后,在进一步分析比较的基础上,总结了BGP收敛问题研究的几大趋势。     

BGP关键特征及设计可扩展的IBGP网络

BGP是一种在自治系统之间动态交换路由信息的路由协议,在广域网中普遍应用。本文阐述了BGP的邻居、下一跳、同步、全互联等关键特征,结合具体实例给出了相关配置,指出了在实际应用中应重点注意的问题,并由此引出如何设计可扩展的IBGP网络,文中采用路由反射器的方法,将集群内的路由器分为客户和路由反射器,客户将更新转发给路由反射器,后者将其转发给其他客户,路有反射器之间全互联,而客户之间不需要全互联,因此大大提高网络的可扩展性,结合CISCO设备给出了具体解决方案。     

一种改进的BGP路由源认证机制

资源公钥基础设施(Resource Public Key Infrastructure,RPKI)是当前用于保护互联网码号资源分配真实性的技术.作为一种支撑域间路由安全的体系,它解决了边界网关协议(Border Gateway Protocol,BGP)缺乏路由源认证的问题.然而当前RPKI体系中的依赖方(Relying Party,RP)与路由器数据同步机制可能会导致路由源授权(Route Originate Authorization,ROA)信息缺乏真实性和有效性,并且不断查询缓存列表会带给路由器很大的性能负载.据此,本文提出一种改进的BGP路由源认证方案,发送端路由器实时申请存储在RP中的ROA证书,将其附加到BGP update报文中进行传输,以待对等端路由器申请证书公钥对证书进行验证并完成路由源认证功能.该方案将原来周期性更新路由器缓存列表机制改为路由器实时申请认证机制,有效解决了RP与路由器数据同步可能导致的ROA存在错误的问题,降低路由器查询缓存列表造成的路由器运行负载.此外,本文通过Quagga仿真实验表明该方案具有可行性,并对该方案的适用情形进行了具体分析.     

一种防范BGP 地址前缀劫持的源认证方案

提出了一种基于线索平衡二叉排序哈希树认证委分字典的安全高效的源认证(origin authentication,简称OA)方案,用于防范BGP地址前缀劫持攻击.基于Aiello和McDaniel等人提出的OA服务,通过数值区间对AS号和IP地址前缀这两种BGP前缀宣告资源进行了统一的形式化定义,采用一种方案同时解决了两种前缀宣告资源的源可信问题.该方案不仅解决了原OA服务中存在的"无效分配关系的证据量是有效分配关系证据量的两倍"的问题,而且与原OA服务相比,该方案建树所需要的总节点数降低约一半.同时,委分证据集合的平均长度更小.因此,该源认证方案效率更高.     

抗BGP中间人攻击的无证书签名方法

边界网关协议用于自治域之间交换网络可达信息,但面临中间人攻击威胁,因此提出一种改进的无证书多重签名方案并将其应用于边界网关协议.在该方案中域间路由须按照路由传递顺序对其进行签名,自治系统对多重签名验证成功才可接收路由,且自治系统的公私钥与可信中心交互生成,签名消息的长度固定,计算高效.通过安全性分析,证明基于无证书的有...