边界网关协议在安全方面存在严重的缺陷,容易导致路由劫持这一互联网安全威胁.为此,国际互联网工程任务组提出了资源公钥基础设施(Resource Public Key Infrastructure,RPKI)以防止路由劫持的发生.然而随着RPKI技术的发展及其在全球范...边界网关协议在安全方面存在严重的缺陷,容易导致路由劫持这一互联网安全威胁.为此,国际互联网工程任务组提出了资源公钥基础设施(Resource Public Key Infrastructure,RPKI)以防止路由劫持的发生.然而随着RPKI技术的发展及其在全球范围内的部署,与RPKI中认证权威相关的安全问题逐渐突显,并受到广泛关注.对RPKI中认证权威的资源分配过程进行研究分析,通过实验测试,验证了认证权威在资源分配的过程中资源重复分配和未获授权资源分配两种潜在的安全风险,并分析了两种风险对资源持有者可能造成的不良影响.此外,针对这两种安全风险,提出并实现了一种用于保证RPKI中认证权威资源分配安全性和准确性的"事前控制"机制,该机制可以有效地防止资源重复分配和未获授权资源分配两种操作风险的发生,减少了由于认证权威的错误操作所导致的故障恢复等待时间.最后,通过进一步的实验测试,验证、分析了这种"事前控制"机制的有效性和可行性.展开更多
IP source address spoofing is regarded as one of the most prevalent components when launching an anonymous invasion, especially a Distributed Denial-of-Service （DDoS） attack. Although Source Address Validations （S...IP source address spoofing is regarded as one of the most prevalent components when launching an anonymous invasion, especially a Distributed Denial-of-Service （DDoS） attack. Although Source Address Validations （SAVs） at the access network level are standardized by the Internet Engineering Task Force （iETF）, SAV at the inter-Autonomous System （AS） level still remains an important issue. To prevent routing hijacking, the IETF is constructing a Resource Public Key Infrastructure （RPKI） as a united trust anchor to secure interdomain routing, in this study, we creatively use the RPKI to support inter-AS SAV and propose an RPKI-based Inter-AS Source Protection （RISP） mechanism. According to the trust basis provided by the RPKI, RISP offers ASes a more credible source-oriented protection for the IP addresses they own and remains independent of the RPKI. Based on the experiments with real Internet topology, RISP not only provides better incentives, but also improves efficacy and economizes bandwidth with a modest resource consumption.展开更多
在互联网码号资源公钥证书体系(Resource Public Key Infrastructure,RPKI)中,依赖方(Relying Party,RP)负责从资料库同步并验证资源证书和签名对象(ROAs,Manifests,Ghostbusters),而后将有效的ROA处理成用于指导BGP路由的IP地址块和AS...在互联网码号资源公钥证书体系(Resource Public Key Infrastructure,RPKI)中,依赖方(Relying Party,RP)负责从资料库同步并验证资源证书和签名对象(ROAs,Manifests,Ghostbusters),而后将有效的ROA处理成用于指导BGP路由的IP地址块和AS号的真实授权关系.在当前的实现方式中,验证证书模块主要通过数据库查询递归查找待验证证书的父证书从而构建完整的证书链并由OpenSSL完成最终验证.由于RPKI体系中证书量较大,导致基于数据库查询的方法效率不足.结合RPKI运行机制中将计算代价由BGP路由器(用户)迁移到RP服务器(服务器)的特点和"空间换时间"的思想,可以将证书信息读取到内存中从而减少I/O的时间消耗.本文基于上述思想基础,结合哈希表中条目查询的时间复杂度最优为O(1)的特点,设计并实现了基于哈希表的RPKI证书验证优化方法.实验结果表明,在设计的3种实验场景中,平均时间加速比分别为99.03%、98.45%和97.48%,有效的减少了时间的消耗.展开更多
文摘BGP(border gateway protocol,边界网关协议)在设计之初并没有充分考虑安全问题,随着互联网规模的日益壮大,其安全风险也暴露得愈加明显。学术界和工业界提出了诸多方案解决域间路由面临的安全问题,目前真正得以部署的是IETF(the Internet Engineering Task Force,互联网工程任务组)推动的资源公钥基础设施(resource public key infrastructure,RPKI)。综述了RPKI的技术现状和研究进展,重点分析了RPKI存在的问题、现有的解决方案以及不足之处,介绍了RPKI功能扩展的相关研究,最后指出了未来有潜力的研究方向。
文摘边界网关协议在安全方面存在严重的缺陷,容易导致路由劫持这一互联网安全威胁.为此,国际互联网工程任务组提出了资源公钥基础设施(Resource Public Key Infrastructure,RPKI)以防止路由劫持的发生.然而随着RPKI技术的发展及其在全球范围内的部署,与RPKI中认证权威相关的安全问题逐渐突显,并受到广泛关注.对RPKI中认证权威的资源分配过程进行研究分析,通过实验测试,验证了认证权威在资源分配的过程中资源重复分配和未获授权资源分配两种潜在的安全风险,并分析了两种风险对资源持有者可能造成的不良影响.此外,针对这两种安全风险,提出并实现了一种用于保证RPKI中认证权威资源分配安全性和准确性的"事前控制"机制,该机制可以有效地防止资源重复分配和未获授权资源分配两种操作风险的发生,减少了由于认证权威的错误操作所导致的故障恢复等待时间.最后,通过进一步的实验测试,验证、分析了这种"事前控制"机制的有效性和可行性.
基金supported by the National Natural Science Foundation of China Nos.61772307 and 61402257the National Key Basic Research and Development(973) Program of China Nos.2009CB320500 and 2009CB320501Tsinghua University Self-determined Project under grant No.2014z21051
文摘IP source address spoofing is regarded as one of the most prevalent components when launching an anonymous invasion, especially a Distributed Denial-of-Service （DDoS） attack. Although Source Address Validations （SAVs） at the access network level are standardized by the Internet Engineering Task Force （iETF）, SAV at the inter-Autonomous System （AS） level still remains an important issue. To prevent routing hijacking, the IETF is constructing a Resource Public Key Infrastructure （RPKI） as a united trust anchor to secure interdomain routing, in this study, we creatively use the RPKI to support inter-AS SAV and propose an RPKI-based Inter-AS Source Protection （RISP） mechanism. According to the trust basis provided by the RPKI, RISP offers ASes a more credible source-oriented protection for the IP addresses they own and remains independent of the RPKI. Based on the experiments with real Internet topology, RISP not only provides better incentives, but also improves efficacy and economizes bandwidth with a modest resource consumption.
文摘在互联网码号资源公钥证书体系(Resource Public Key Infrastructure,RPKI)中,依赖方(Relying Party,RP)负责从资料库同步并验证资源证书和签名对象(ROAs,Manifests,Ghostbusters),而后将有效的ROA处理成用于指导BGP路由的IP地址块和AS号的真实授权关系.在当前的实现方式中,验证证书模块主要通过数据库查询递归查找待验证证书的父证书从而构建完整的证书链并由OpenSSL完成最终验证.由于RPKI体系中证书量较大,导致基于数据库查询的方法效率不足.结合RPKI运行机制中将计算代价由BGP路由器(用户)迁移到RP服务器(服务器)的特点和"空间换时间"的思想,可以将证书信息读取到内存中从而减少I/O的时间消耗.本文基于上述思想基础,结合哈希表中条目查询的时间复杂度最优为O(1)的特点,设计并实现了基于哈希表的RPKI证书验证优化方法.实验结果表明,在设计的3种实验场景中,平均时间加速比分别为99.03%、98.45%和97.48%,有效的减少了时间的消耗.
