Luận văn: Nghiên cứu các vấn đề bảo mật trên giao thức BGP - Dương Ngọc Sơn

Luận văn phân tích sâu các vấn đề bảo mật giao thức BGP. Tổng hợp các rủi ro, hình thức tấn công và đề xuất giải pháp bảo vệ định tuyến Internet.

• Tác giả: Dương Ngọc Sơn
• Người hướng dẫn: TS. Trần Hoàng Hải
• Trường học: Đại học Bách Khoa Hà Nội
• Chuyên ngành: Công nghệ Thông tin
• Đề tài: Bảo mật giao thức BGP: Rủi ro và Giải pháp toàn diện
• Loại tài liệu: Luận văn
• Năm xuất bản: 2014
• Địa điểm: Hà Nội

Tóm tắt

I. Giới thiệu về Bảo mật Giao thức BGP

BGP (Border Gateway Protocol) là giao thức định tuyến chuẩn được sử dụng để trao đổi thông tin định tuyến giữa các hệ thống tự trị (AS) trên Internet. Tuy nhiên, bảo mật giao thức BGP là một vấn đề cấp bách do BGP không được thiết kế với các cơ chế bảo mật mạnh mẽ. Giao thức này dễ bị tấn công, từ những cuộc tấn công từ chối dịch vụ (DoS) cho đến chiếm quyền điều khiển định tuyến. Sự thiếu hụt về xác thực thông điệp và xác minh nguồn gốc làm cho rủi ro bảo mật giao thức BGP ngày càng tăng. Hiểu rõ những nguy cơ này là bước đầu tiên để xây dựng một giải pháp bảo mật toàn diện cho hạ tầng Internet.

1.1. Vai trò của BGP trong hạ tầng Internet

Giao thức BGP đóng vai trò quan trọng trong việc kết nối các mạng tự trị và duy trì tính khả dụng của Internet. BGP định tuyến cho phép các bộ định tuyến chia sẻ thông tin về các tuyến đường mạng khả dụng. Mỗi hệ thống tự trị sử dụng giao thức BGP để quảng cáo tiền tố địa chỉ IP của mình và học các tuyến từ những hệ thống khác. Sự tin tưởng không thể thay thế này làm cho bảo vệ giao thức BGP trở thành ưu tiên hàng đầu.

1.2. Tầm quan trọng của bảo mật trong định tuyến

Bảo mật định tuyến BGP trực tiếp ảnh hưởng đến tính ổn định Internet toàn cầu. Một cuộc tấn công BGP có thể dẫn đến tắc nghẽn lưu lượng, chậm trễ mạng hoặc thậm chí ngừng dịch vụ. Rủi ro bảo mật giao thức BGP bao gồm khả năng kẻ tấn công can thiệp vào bảng định tuyến và chuyển hướng lưu lượng mạng. Do đó, giải pháp bảo mật phải bao gồm các cơ chế xác thực và kiểm chứng mạnh mẽ.

II. Các Rủi ro và Đe dọa Bảo mật BGP

Rủi ro bảo mật giao thức BGP xuất phát từ các lỗ hổng cơ bản trong thiết kế của giao thức. Giao thức BGP sử dụng TCP làm lớp vận chuyển nhưng không có cơ chế xác thực thành phần tin nhắn. Các cuộc tấn công nhằm vào BGP có thể được phân loại thành nhiều loại, từ cập nhật định tuyển không chính xác đến khử tập kết và thao tác thuộc tính đường dẫn. Tấn công DDoS có thể làm quá tải các bộ định tuyến, gây ra tắc nghẽn Internet và vòng lặp định tuyến. Vấn đề bảo mật BGP cũng bao gồm quảng cáo tuyến sai có thể khiến lưu lượng được chuyển hướng sai.

2.1. Các cuộc tấn công phổ biến nhằm vào BGP

Tấn công định tuyến sai là một trong những rủi ro bảo mật giao thức BGP phổ biến nhất. Kẻ tấn công có thể quảng cáo tuyến để chiếm quyền điều khiển lưu lượng mạng. Tấn công từ chối dịch vụ (DoS) nhằm vào giao thức BGP bằng cách gửi số lượng lớn cập nhật định tuyển. Tấn công hijacking cho phép kẻ tấn công chiếm quyền các tiền tố IP của các tổ chức khác. Vấn đề bảo mật này đòi hỏi giải pháp bảo mật ngay lập tức.

2.2. Hậu quả của các lỗ hổng bảo mật BGP

Tắc nghẽn lưu lượng và chậm trễ mạng là những hậu quả trực tiếp của rủi ro bảo mật giao thức BGP. Một cuộc tấn công thành công có thể làm ngừng dịch vụ cho hàng triệu người dùng. Vòng lặp định tuyến xuất hiện khi cập nhật định tuyển sai tạo ra các đường dẫn vòng tròn. Thiệt hại tài chính và mất mát dữ liệu có thể xảy ra khi giao thức BGP bị xâm phạm.

III. Phương pháp Bảo mật BGP Hiện tại

Để giải quyết vấn đề bảo mật trong BGP, nhiều phương pháp bảo mật đã được phát triển. S-BGP (Secure BGP) sử dụng chứng chỉ số để xác thực các cập nhật định tuyển. SoBGP (Secure Origin BGP) cung cấp xác minh nguồn gốc cho các tiền tố IP. RPKI (Resource Public Key Infrastructure) là một giải pháp bảo mật hiện đại cho phép các tổ chức xác thực quyền sở hữu của các tiền tố IP. Giải pháp bảo mật toàn diện còn bao gồm lọc định tuyển, giới hạn chiều dài AS Path và cơ chế bảo mật TTL. Những phương pháp này cù nhau tạo thành một khung bảo mật vừa hiệu quả vừa khả thi.

3.1. Công nghệ S BGP và SoBGP

S-BGP (Secure BGP) là một phương pháp bảo mật sớm nhằm bảo vệ giao thức BGP bằng cách sử dụng chứng chỉ số kỹ thuật số. Cơ chế xác thực này xác minh rằng mỗi bộ định tuyển có quyền quảng cáo một tiền tố IP cụ thể. SoBGP cung cấp một giải pháp bảo mật tương tự nhưng nhẹ hơn. Cả hai phương pháp đều giải quyết rủi ro bảo mật giao thức BGP bằng cách thêm lớp xác thực mạnh.

3.2. RPKI và các giải pháp thực tiễn

RPKI (Resource Public Key Infrastructure) là một giải pháp bảo mật được chấp nhận rộng rãi để bảo mật giao thức BGP. Hệ thống RPKI sử dụng chứng chỉ số công khai để xác thực các tiền tố IP và các bộ định tuyển được phép. Giải pháp thực tiễn khác bao gồm lọc đối tác cùng cấp, giới hạn AS Path và theo dõi cập nhật sai. Những phương pháp này dễ triển khai hơn và cung cấp bảo mật hiệu quả cho giao thức BGP.

IV. Triển khai Giải pháp Bảo mật Toàn diện

Giải pháp bảo mật toàn diện cho giao thức BGP đòi hỏi một cách tiếp cận đa tầng. Xác minh thiết bị đồng cấp bằng MD5 hoặc TCPAO là bước đầu tiên để bảo vệ giao thức BGP. Chính sách định tuyển nên được cấu hình để lọc các tuyến sai. Giới hạn chiều dài AS Path giúp phát hiện và loại bỏ các tuyến không bình thường. Bảo mật BGP cần một sự kết hợp của công nghệ tiên tiến như RPKI và thực hành tốt như theo dõi định tuyến. Huấn luyện nhân viên và kiểm tra thường xuyên cũng là những yếu tố thiết yếu trong giải pháp bảo mật toàn diện.

4.1. Cấu hình bảo mật cơ bản cho BGP

Cấu hình bảo mật nên bắt đầu với xác thực TCP giữa các bộ định tuyển. Sử dụng MD5 hoặc TCPAO để bảo mật kết nối BGP. Giới hạn những bộ định tuyển được phép thiết lập quan hệ BGP. Vô hiệu hóa các tuyên công bố mặc định không cần thiết. Giám sát lưu lượng và cảnh báo về những sự thay đổi bất thường trong bảng định tuyến. Bảo mật cơ bản này giảm thiểu rủi ro từ nhiều cuộc tấn công BGP.

4.2. Giám sát và duy trì bảo mật BGP

Giám sát liên tục của bảng định tuyến là bước không thể thiếu trong bảo mật giao thức BGP. Phần mềm phát hiện bất thường có thể nhận biết các cập nhật định tuyển sai. Kiểm tra định kỳ các cấu hình bảo mật để đảm bảo tuân thủ chính sách. Ghi nhật ký tất cả các sự kiện BGP để phân tích sau khi tấn công. Lập kế hoạch ứng phó sự cố sẽ giúp giảm thiểu tác động của bất kỳ vấn đề bảo mật BGP nào.

Trích đoạn nội dung tài liệu

'Nghiên cửu các vẫn dễ bảo một trên giao thức BGP MỤC LỤC LOI CAM BO. LOI NOI DAU PHAN MO DAU. Chuong I: BAO MAT TREN GIAO THUC DINH TUYEN BGP.1 Bảo mật của giao thức định tuyển 1.2 Rao mal giao thir: BGP 1.1 Sự có tắc nghẽn Internet từ A.3 Sự cá YouTube bị tắc nghẽn bởi PTA.3 Tân công vào TCP 5 LBD SYN EloodinE,.4 Các tấn công nhằm vào giao thức BGP.5 Vấn đề báo mật trong IÓP.1 Cập nhật định tuyển không chính xác - - 11 1.2 Khử tập kết.3 Thao tác các thuộc tính đường dẫn.6 Tắc nghẽn, chậm trễ và vòng lặn. 14 Chương II: PHƯƠNG PHÁP BẢO MẠT TRÊN BGP.1 Xác mình của thiết bị đồng cấp.2 Bảo mat BGP (S-BGP) - - 15 2.3 Bao mal BGP géc (SoBGP) - - 18 2.4 Các giải pháp thực tế khả thl.41 Gia cổ bộ định tuyển.42 Cơ chế bão mật TT, tổng quải.3 Chống chập bất ôn cho dịnh tưyến.4 Hạn chế tối đa địa chỉ mạng _ - 23 'Nghiên cửu các vẫn dễ bảo một trên giao thức BGP 2.5 Hạn chế chiều đài A5 Path.6 Loe dia chi mang .48 Tai đâm bảo lọc các thiết bị cùng cấp.

- - 29 Chuong II: DEMO BAI TOAN BAG MAT TREN BGP. AE HH HH tt rerrarriirrererero.1 Các tộc tỉnh đường din BGP và Chính sách định tuyển .2 Chinh sách định tuyển sử dụng các thuộc tính BGP.1 Chinh sách định tuyển che lưu lượng đi 31 3.2 Chính sách định tuyên cho lưu lượng đến 33 3.3 Kết luận và kết quả 33 Đài toán 2 - - - - - 3⁄4 3.3 1BGP - Định tuyển lễ đen Blaek Hole và quy tắc đồng bộ hóa.1 Phân chia ngang ïBGP.2 Bồ phân xạ tuyên 42 Bai toán 3 - - 43 3.4 Tấn céng BGP và cầu hình sai trên một mang mau.6 Các vẫn đề có thẻ xây ra - - 49 3.1 Khối phát thông tin sai lệch.2 Khử tập kết 53 Đài toán 4 56 3.7 Thực hiện các giải pháp bảo mật thiết thuc cho mang BGP KẾT LUẠI TÀI LIỆU THAM KHẢO. PHỤ LỤC 'Nghiên cửu các vẫn dễ bảo một trên giao thức BGP DANH MỤC CÁC HÌNH VỀ Tlình 1. Bat tay TCP Hình 2 Vi dụ khử tập k‹ Hình 3 Độ lớn của bằng dịnh tuyến trong các bộ định tuyển lỗi Hình 4 BGP TTT.

Tịnh tuyến không ồn định. D6 dai AS_Path. Hình 7 Tanh sách Bogont gũa các địa chỉ ID Hình § Tai dam bao qua trinh loc Hình 9 Sơ đỗ câu trúc liên kết của bài toán 1 Hình l0, TSP chuyển tiếp yêu cầu iBGP. Sơ đồ cấu trúc liên kết bài toán 2.

Hình 12 Đáng định tuyến gủa bộ định tuyến A. Hình 13 ủa bộ định tuyển A. của hộ định tuyển Ð (có tất cả các tuyển). Hình 15 Bảng định tưyển của C (có các tuyến đã được hiểu) Hình lê.

Bảng định tuyến của A (không có iBGP). "Thử nghiệm kết nối (ping và trace route) từ bộ định tuyến Hinh 18 BGP duge cầu hình mắt lưới Hinh 19 Bộ phần xa uyén BGP Hình 20. Sơ đồ cầu trúc liên kết bài toán 3. Tên bộ định tuyển và bảng số AS tương ứng.

_" 4 Hình 22 Bang định tuyến hoàn thiện ban đầu của bộ định tuyến A (A/ SN sé 1) 46 Hình 23. Kiểm tra ping thành công từ A. Bảng định tuyển hoàn thiện ban đầu của B. Hình 25 Kiểm tra kết nối thành công từ B.

Độ định tuyển E khới phát thông tin sai lệch Hình 27. “Thông tin sai lệch tử E được nhận tru Œ Hình 28 Kiểm tra ping bị lỗi từ bộ ảmh tuyển C “ Hình 29. Kiểm tra kết nỗi thành công từ bộ định tuyến H 'Nghiên cửu các vẫn dễ bảo một trên giao thức BGP Hình 30. Bộ định tuyến với thông tin sai lệch được khử tập kết.

Bảng định tuyến và kết quả ping từ bộ định tuyến C 55 Tĩnh 32. Sơ đỗ cấu trúc liên kết bài toán 4 56 Hình 33. Bộ định tuyến E tạo ra thông tin sai lộch. Bộ dịnh tuyển Œ quảng cáo tuyến không thể tiếp cận dược 5 Hình 35.

Bộ định tuyến H quảng cáo tuyến không thể tiếp cân được 60 Tình 36. Bộ định tuyển I tránh các tuyến bị sai. Bang đỉnh tuyến của bộ định tuyến C và kiểm tra kết nỗi thành công 62 Tình 38. Bộ định tuyển E vẫn có kết nỗi - 63 Hình 39.

Bang dịnh tuyến của bộ dịnh tuyển A hap lệl - 64 Hình 40. Kết quả ping thành công bảng định tuyển của B 65 'Nghiên cửu các vẫn dễ bảo một trên giao thức BGP Hình 30. Bộ định tuyến với thông tin sai lệch được khử tập kết. Bảng định tuyến và kết quả ping từ bộ định tuyến C 55 Tĩnh 32.

Sơ đỗ cấu trúc liên kết bài toán 4 56 Hình 33. Bộ định tuyến E tạo ra thông tin sai lộch. Bộ dịnh tuyển Œ quảng cáo tuyến không thể tiếp cận dược 5 Hình 35. Bộ định tuyến H quảng cáo tuyến không thể tiếp cân được 60 Tình 36.

Bộ định tuyển I tránh các tuyến bị sai. Bang đỉnh tuyến của bộ định tuyến C và kiểm tra kết nỗi thành công 62 Tình 38. Bộ định tuyển E vẫn có kết nỗi - 63 Hình 39. Bang dịnh tuyến của bộ dịnh tuyển A hap lệl - 64 Hình 40.

Kết quả ping thành công bảng định tuyển của B 65 'Nghiên cửu các vẫn dễ bảo một trên giao thức BGP Bé cuc luận văn Bé cục luận văn bao gồm các phân sau đây: «_ Chương L Đảo mật trên giao thức dịnh tuyến BGP. - Van dé bảo mặt trên giao thức BGE. -_ ác nguy cơ đo dọa đến bảo mật trên giao thức BGP ~_ Một số trường hợp cụ thể © Chuong Li: Phương pháp báo mật trên BGP. - _ Các phương pháp tầng tính bảo mật trên BGP, -_ Giải pháp bảo mật với tính khá thi cao.

« = Chuong II: Demo hai toản bảo mật trên BGT. - Thục hién mé6 phéng bai toan giã lập BGP trén phan mém gia lap GNSS -_ Kiểm tra kết quả San dây, tôi xin trình bảy luậu vần của mình với nội dung: “Nghiên cứ các vẫn để bữo một trên giao thức BGP". Lge viên: DƯƠNG NGỌC SƠN 5 'Nghiên cửu các vẫn dễ bảo một trên giao thức BGP LỜI NÓI ĐẦU Trong thời đại công nghệ thông tỉn đang phát triển bung né hién nay, Internet đã là một phần quan trong không thế thiếu của không chỉ những người làm kỹ thuật xnà của cá tất cả mọi người. Từ những những công việc hảng ngáy như việc tìm tải liệu, giải trí, nghe nhạc xem phim hay text chat trước đây, giờ đã được nâng lên thành những kho lưu trữ, giải ui không giới lưm, đâm thoại hoặc hội nghủ truyền hhinh, và còn hơn thế nữa, Internet có thé đáp ủng hàu hết nhu cầu của người sử dụng.

Mọi người giờ đây có thể giải trí hoặc làm việc củng nhau ở bắt kỳ nơi đâu Đó là về phía người sử đựng, còn về phía nhà cung cập dich vu (ISP), khi ma công nghệ ngà) ang phat, tid thủ dịch vụ cũng phối phát triển không ngừng. Từ trước dây lá dial-up, rồi AI2SL, VDSL, tới nay là công nghệ FTTH, thi theo do cdc nhà cung cấp dịch vụ cũng phải tự phát triển mình đề đép ứng, không chỉ là về duémg truyén, ide dé, ma vé c& céng nghé, giao Unie, cũng như cách thức quân lý, bao mật 1 cách tối ưu nhất, hạn chế các tình huống sai sót hoặc bị tản công dẫn đến. hậu quả gián đoạn đường truyền, ảnh hưởng đến người sử đựng, BGP (Border Gateway Protocol) 14 giao thie dinh tuyến nỏng cốt trên Tntemel, ra đời lừ năm 1994, nó được sử dụng trong hầu hết các hệ thống rạng của ISP. Tử năm 2006, GP phiên bán 4 mới được hệ thống hóa (RI'C4271), cho đến.

nay đã có nhiều để tài nghiên sứu về BGP tuy nhiên bảo mật trên giao thức BGP lại là vấn để khả mới mê. Nhiều trường hợp do bảo mật không tối trên BGP đã dẫn đến tắc nghẽn mạng của một lượng lớn người sử dụng, việc khác phục là không khỏ nhưng mắt nhiễu thời gian, chưa tỉnh đến trường hợp bị tắn cõng, khai thác vào lỗ tiẳng bão mật trên BGP. Vậy nên, nếu không được nghiên cứu, dưa ra các biện pháp ngắn ngửa thì những tỉnh huỗng đó hoán toàn có thể lặp lại. Nhận thay yếu tô quan trọng vả mới mẽ của đề tải nên tôi quyết định nghiên: cửu và thực hiện trong luận văn này là: “Nghiên cứu các vẫn để bào mật trên giaa thức BGP”.

Trong luận van nay ngoài việu trình bày những tìm hiểu của mình về các cách thức báo mật trên BGP, tôi cũng xây dựng mê phóng 1 mỏ hình hệ thông mạng và thực biện các bải toán bảo mật BGP trên mô hình đó. Để thực hiện được Live viên: DƯƠNG NGỌC SƠN 2 Lop: 133M’ 'Nghiên cửu các vẫn dễ bảo một trên giao thức BGP Hình 30. Bộ định tuyến với thông tin sai lệch được khử tập kết. Bảng định tuyến và kết quả ping từ bộ định tuyến C 55 Tĩnh 32.

Sơ đỗ cấu trúc liên kết bài toán 4 56 Hình 33. Bộ định tuyến E tạo ra thông tin sai lộch. Bộ dịnh tuyển Œ quảng cáo tuyến không thể tiếp cận dược 5 Hình 35. Bộ định tuyến H quảng cáo tuyến không thể tiếp cân được 60 Tình 36.

Bộ định tuyển I tránh các tuyến bị sai. Bang đỉnh tuyến của bộ định tuyến C và kiểm tra kết nỗi thành công 62 Tình 38. Bộ định tuyển E vẫn có kết nỗi - 63 Hình 39. Bang dịnh tuyến của bộ dịnh tuyển A hap lệl - 64 Hình 40.

Kết quả ping thành công bảng định tuyển của B 65 'Nghiên cửu các vẫn dễ bảo một trên giao thức BGP hiận văn này, tôi xin gửi lời cảm ơn sâu sắc nhất đến thầy giáo hướng đẫn, Tiên sỹ Trin Hoàng Hải, người đã đực tiếp hướng dẫn tôi, định hướng cho tôi để thực hiện luận văn hoàn thiện nhất. Tiẹc viên Duong Neve Son Lge viên: DƯƠNG NGỌC SƠN 3 'Nghiên cửu các vẫn dễ bảo một trên giao thức BGP DANH MỤC CÁC KÝ HIỂU, CÁC CHỮ VIỆT TÁT Từ viết tắt | Viết đầy đủ ` nghĩa BGP Border Gateway Protocol Giao thức (định tuyển) công biên ISP Intemet Service Provider Nhà cung cấp dich vụ mang Tả nghị duyệt thảo và bình luận RFC Request for Comments (tập hợp những nghiên cứu mới) Hệ thông tự Irị (tập hợp các thiết AS Autonomous System bị chung chỉnh sách quan ly) CP ‘Transmission Control Protocol Giao thức điều khiển truyền vận ‘Time to live 'Thời gian sông.