一种防范BGP 地址前缀劫持的源认证方案

提出了一种基于线索平衡二叉排序哈希树认证委分字典的安全高效的源认证(origin authentication,简称OA)方案,用于防范BGP地址前缀劫持攻击.基于Aiello和McDaniel等人提出的OA服务,通过数值区间对AS号和IP地址前缀这两种BGP前缀宣告资源进行了统一的形式化定义,采用一种方案同时解决了两种前缀宣告资源的源可信问题.该方案不仅解决了原OA服务中存在的"无效分配关系的证据量是有效分配关系证据量的两倍"的问题,而且与原OA服务相比,该方案建树所需要的总节点数降低约一半.同时,委分证据集合的平均长度更小.因此,该源认证方案效率更高.     

互联网大规模前缀劫持事件检测与分析的案例研究

由于BGP协议的脆弱性,BGP前缀劫持长期以来一直对互联网产生着严重的安全威胁。检测和分析大规模的前缀劫持事件是一件十分必要但又充满挑战的工作。以2019年发生的大规模的欧洲路由泄露导致路由劫持事件为案例,提出了一种基于公共BGP数据的有效的检测和分析方法。分析结果包括如下几条：（1）这次劫持的“攻击者”为AS21217,AS4134是劫持路由传播过程中的关键点; （2）此次劫持事件导致了严重的多源AS冲突和AS-PATH路径膨胀问题;（3）此次事件的劫持类型包括劫持前缀并篡改AS路径,以及劫持子前缀并篡改AS路径2种类型;（4）检测到311个AS被感染,长度为4的感染链数量最多,且分属于3 895个AS的28 118个前缀IP段成为受害者,同时实现了一个可视化系统来展示劫持发生时的全球网络态势。这些研究结果一方面与Oracle等公司公布的结果相互印证,另一方面又对此次网络事件进行了更加详尽的补充和深入挖掘。     

BGP安全研究

BGP是互联网的核心路由协议,互联网的域间选路通过BGP路由信息交换来完成.BGP协议设计存在重大的安全漏洞,容易导致前缀劫持、路由泄漏以及针对互联网的拒绝服务攻击.分析BGP路由传播及路由策略等主要特性,揭示BGP协议的设计缺陷;探讨BGP面临的主要安全威胁,并对路由泄漏进行建模分析和界定特征;概括现有的BGP安全防御机制并指出其不足,进而对各种增强BGP安全的技术和方案进行合理分类和详尽研究,比较其利弊、剖析其优劣;最后,对BGP安全的未来研究趋势进行展望.     

基于前缀劫持及路由更改对BGP产生的影响

在网络中,由于配置错误或恶意路由宣告而导致的BGP前缀劫持事件,给当今的互联网带来了极大的麻烦。外包缓解措施是最近提出的一种前缀劫持缓解修复的方法。它通过将把数据同步出来传送给路由器,再提取ROA当中的信息,更新证书后,替换Update报文中的内容再进行传递的机制方法,来缓解源AS号劫持事件,使机制重定向位置以此吸引大量网络流量。吸引和重定向行为的AS号对于提高修复能力非常有效。因此,如何衡量不同AS号的缓解效果并有效选择缓解因子是外包缓解措施的关键问题。为了从网络整体来均衡能耗,延长网络生存时间,采取了Cluster路由算法改进的方法,对不同的簇树中节点关系的选择,由不同节点的能量来避免路由发生回路和绕路等现象,从而更改Cluster-list id进行严格的路由选择,实现最优路由产生。     

互联网自治系统的前缀信誉模型

BGP面临的前缀劫持攻击会严重破坏互联网网络的可靠性。引入信任技术,构建自治系统的前缀信誉模型(Autonomous System Prefix Reputation Model,简写为"AS-PRM")来评估自治系统发起真实前缀可达路由通告行为的信任度。从而,自治系统可选择相对前缀信誉好的自治系统发起的前缀可达路由通告,来抑制前缀劫持攻击的发生。AS-PRM模型根据多个前缀劫持攻击检测系统的检测结果(考虑了误报、漏报率),基于beta信誉系统,计算自治系统的前缀信誉,并遵循"慢升快降"原则,更新前缀信誉。最后,仿真实验验证了模型的有效性。     

互联网前缀劫持攻击研究

前缀劫持攻击是互联网BGP域间路由系统中的首要安全威胁,至今还无有效解决该问题的方案。以前缀劫持攻击为研究对象,分析了前缀劫持攻击产生的具体原因,展现了该攻击在自治系统内部以及在自治系统之间的表现形式与影响;从前缀劫持攻击的危害程度,分析并划分了前缀劫持攻击的基本形态,讨论了各种前缀劫持攻击的基本特性。分析结果表明,子前缀劫持的危害最严重,确切前缀劫持的影响最复杂,而父前缀劫持最易被发现且危害相对较小。     

互联网前缀劫持攻击研究

前缀劫持攻击是互联网BGP域间路由系统中的首要安全威胁,至今还无有效解决该问题的方案。以前缀劫持攻击为研究对象,分析了前缀劫持攻击产生的具体原因,展现了该攻击在自治系统内部以及在自治系统之间的表现形式与影响;从前缀劫持攻击的危害程度,分析并划分了前缀劫持攻击的基本形态,讨论了各种前缀劫持攻击的基本特性。分析结果表明,子前缀劫持的危害最严重,确切前缀劫持的影响最复杂,而父前缀劫持最易被发现且危害相对较小。     

防范前缀劫持的互联网注册机制

借鉴IRR(Internet routing registry)机制中注册路由策略的思想,提出了前缀策略(prefix policy)的概念,并由此设计了一种防范前缀劫持的方法—— E-IRR 机制.在E-IRR 中,参与者发布自己的前缀策略,同时利用其他自治系统已注册的前缀策略验证BGP路由,从而防范前缀劫持.提出了维护前缀策略有效性措施,评估了E-IRR机制的安全能力与性能.方法的主要优势是,其在前缀劫持的防范能力与安全机制的实际部署需求之间达到了一个较好平衡,可增量式地部署,并不需要对BGP协议进行任何安全扩展.现有方案都不同时具备这些特性,它们使得E-IRR有望实际可行地解决前缀劫持问题.     

基于协作的互联网前缀劫持检测方案研究

自治系统的网络管理员要想及时地发现前缀劫持非常困难。本文分析了现有方案的不足,讨论了前缀劫持问题困难的根源。考虑到互联网的自治特性,本文提出了一个基于协作的前缀劫持检测方案。该方案支持多个自治系统协作地监测BGP路由,这不仅可分摊系统的监测开销、防止泄露私有的BGP路由信息,而且还可极大地扩展单个自治系统的可监测范围,能有效地帮助网络管理员检测关于自身前缀的劫持事件。     

域间路由协议前缀劫持行为模拟与分析

基于BGP的域间路由系统是Internet的核心设施,是保证整个网络互联及正常运行的关键。然而,由于BGP协议本身缺乏必要的安全机制而极易受到攻击。例如,前缀劫持就是针对BGP缺陷而实施的一种较难防范的攻击。近年来,已发生多起BGP前缀劫持事件,造成了严重危害。本文基于GT-NetS软件构建了一个大规模域间路由系统模拟环境,并在该模拟环境中进行了多次BGP前缀劫持测试,结合测试结果分析对影响BGP前缀劫持攻击范围的有关因素进行了研究。测试表明,BGP前缀劫持造成的受害范围与攻击发起路由器所属AS的层次和度数有着直接的关系。     

BGP的研究与设计

通过对EGP与BGP的比较,分析了EGP支持树状网络结构,但不支持更复杂的网络结构之不足,描述了BGP的设计原理,阐明了BGP的运行机制,详述了BGP的总体设计。     

基于树结构的分布式BGP路由计算迭代算法

随着互联网规模的迅速增长,下一代核心路由器的研究重点正在向可扩展体系结构的方向发展.分布式路由协议计算是可扩展路由器需要解决的关键问题之一.作为已经在骨干网上广泛部署的重要路由协议,BGP协议的分布式模型及其相关算法的研究是可扩展路由器体系结构中的重要研究课题.本文基于BGP路由计算模型,对“路径选优”这一BGP基本操作的特性进行了深入分析,提出了一种按照树状结构来组织路由计算过程的模型,基于此模型可以分布式计算BGP路由.针对两类典型的可扩展路由器体系结构,本文分别提出了相应的迭代树算法,对算法给出了性能改进的理论分析.通过模拟实验,验证了本文所述模型的实际性能.     

BGP路由监测与分析研究

针对IP网络普遍运行主要路由协议BGP,从管理平面和控制平面探讨了监测方法,对各种网络路由提出了深入的分析思路.通过对现有网络路由行为的监测与分析,达到详细观测路由的动态特性、分析网络拓扑改变对互连网性能的影响,从而提高网络响应拥塞和拓扑改变的能力.     

BGP4＋互操作性测试研究

BGP4是最主要的域间路由协议,BGP4 是对BGP4进行扩展之后支持IPv6的,对于它的互操作性测试很重要.本文首先介绍了互操作性测试的目的,分析了BGP4以及BGP4 的功能、路由类型以及数据包种类.根据BGP4的说明生成了协议的输入输出有限状态机,基于该模型生成了部分BGP4 的互操作性测试套.然后对于协议的不同实现进行了互操作性测试设计与实践,最后给出了结论以及下一步的研究工作.     

BGP4+协议一致性测试系统设计与实现

在介绍BGP4＋协议的基础上,设计并实现了该协议的一致性测试系统;提出了用于中继系统一致性测试的虚拟多端口的测试方法,解决了测试系统物理端口不够的问题;还介绍了一个新的测试例描述语言。     

一种面向集群路由器环境的分布式BGP协议研究

针对目前互联网核心路由器所遇到的计算能力和存储压力过大等问题,本文设计了一种分布式BGP协议的实现框架。通过使用该技术,符合C-BGP内部通信规范的多个BGP实体将构成一个集合。该集合对外表现成一台单独的完整的BGP路由器,在内部则把邻居会话分别分配到不同的BGP实体上,从而充分利用集群的分布式计算资源和存储资源,以提高协议的性能。     

BGP安全机制的研究

边界网关协议(BGP)是目前域间路由事实上的标准,但是该协议缺少必要的安全机制,存在很多漏洞,面临许多安全威胁,如某个被误配置或控制的BGP路由器可能会导致大规模网络中断。BBN公司提出的S-BGP协议在原有BGP的基础上扩展了一套安全机制,能有效地防范绝大部分安全威胁。论文详细分析了S-BGP协议的安全机制及其实现,对S-BGP的性能开销进行了分析,并通过路由实验进一步验证了S-BGP的安全能力;分析了S-BGP在实际应用中实现集中式证书认证PKI的复杂性,并提出了一种分布式前缀起源认证模型,最后对这两种PKI认证模型进行了比较。     

BGP/MPLS VPN实现原理

VPN技术致力于为地理上分布于各地的分支机构提供安全、可靠、易于管理的互联服务。该文描述了基于BGP/ MPLS 技术的VPN的应用领域和网络拓扑结构，论述了BGP/ MPLS VPN网络路由信息是如何产生的以及数据信息的传输过程。     

基于集群路由器体系结构的BGP分布并行实现技术研究

本文分析了BGP协议在因特网环境中面临的巨大路由表容量、消耗大量控制平面计算资源、支持邻居会话数量有限等难以解决的问题;基于集群路由器体系结构的特点,提出并讨论了BGP协议的四种分布式实现技术;最后对这几种实现技术进行了比较,指出了分布式实现技术相对于传统集中控制方式的优势及特点。     

BGP4+协议一致性测试系统设计与实现*

BGP4+是一种在自治系统间运行的动态路由协议,其功能是在自治系统间交换网络层可达信息。IPv6协议作为下一代互联网最有竞争力的核心协议成为研究热点。BGP4+是IPv6最重要的路由协议,已经在路由器等网络设备中得到广泛实现。如何保证各网络设备协议实现的一致性,是保证各设备可以互连、互操作的关键。在介绍BGP4+的基础上,设计并实现了BGP4+的协议一致性测试系统,并对一基于FreeBSD平台的BGP4+一致性测试实现的结果进行了分析。