KaikaiYang: BGP Sicherheit
Seminar “Internet Sicherheit”
Technische Universität Berlin
WS 2009/2010 (15.1.2010)
1. Einleitung
Das Internet ist ein globale, dezentralized netzwerk, dessen Komponente viele kleine Netzwerk sind. Deswegen verteilt
sich das Internet in vielen kleinen Teilen. Diese Teile heißen AS (Autonomous Systems). Jedes AS hat das eigene
Routing-Protokoll, das innerhalb des Ases läuft, sowie OSPF, RIP. Aber wenn Ases miteinander die Route Informationen
austauschen möchten, brauchen Sie ein Protokoll, den Ziel zu erreichen.
2.BGP und AS
AS (Autonomous System) ist die Sammlung von der Netze, die von einem Verwalter verwaltet und darin verläuft ein Intra-
Routing Protokoll. Jedes AS besitzt ein Teil von den IP Addressen-IP Prefix. IANA (The Internet Assigned Number Authority)
liegt auf der obeneste Stufe beim IP-Verteilen im Internet. Drunten stehen 3 RIRs (Regional Internet Registries): the
American Registry for Internet Numbers (ARIN), Reseaux IP Europeens (RIPE), Asia Pacific Network Information Centre
(APNIC), und Latin American and Caribbean Internet Addresses Registry (LACNIC). Auf den niederigeren Eben liegen viele
große ISPs. Diese ISPs leisten die Arbeit, dass sie machen die IP-Prefix, die für sie zur Verfügung stehen, zu einigen
kleinen Teilen. Dann verteilen Sie diese kleine IP-Prefixe an untenliegenden kleineren ISPs. Schritt für Schritt würde
es endlich eine bestimmte IP-Addresse bei einem bestimmten PC abgeben. BGP (Border Gateway Protocol) ist jetzt das einzige
Inter-Domain Protokoll im Internet. Die BGP-Session basiert auf TCP-Session.Mit BGP können die Routers die Routing-Tabelle
beim BGP-Session aktualisieren. Wenn BGP in einem Router läuft, würde dieser Router BGP-Speaker genannt. Es gibt einige
BGP-Speakers innerhalb eines Ases. Zwischen diesen BGP-Speakers würde die Inter-domain Route ausgetauscht, und Sie bringen
den anderen Routers im AS die Route zur anderen Ases zu Bewusstsein. Einige BGP-Speakers würde als Border-Router ausgewählt.
Border Routers bauen BGP-Session zwischen ihnen selbst und die Boder-Routers in den anderen Ases auf, um die Routing-
Informationen auszutauschen. Nach diesem Regel würde es 3 Type der Ases geben: stub, multihomed, and transit.Stub AS
ist wie ein Endpunkt in der ISP-Kette. Es kommuniziert nur mit seinem einzigen Anbieter. Multihomed Ases haben nur eine
Unterschied zum Stub AS. Sie haben nicht nur ein Anbieter, sondern mehrere verschiedene Anbieter. Transit Ases stehen in
der Mitte von vielen Ases. Ein transit As ist zwischen dem Hersteller der Packte und dem Ziel, um die Pakete fortzuschicken.
Es gibt einige Beziehungen zwischen den Ases: Anbieter-zu-Kunde, Kunde-zu-Anbieter, peeringto-peering und sibling-to-sibling.
Bei Anbieter-zu-Kunde Beziehung kommt es zum Ausdruck, dass Anbieter seine Kunden ganze Routing-Tabelle beim BGP-Session
schicken würde. Im Gegensatz würde Kunde seinem Anbieter nur die Route in der Routing-Tabelle schicken, die er selbst verwaltet
oder von seinen Kunden kenngelernt hat. Wenn zwei Ases für “Peer-to-Peer” Beziehung stehen, stehen Sie auf einer gleichen Stufe.
Das heißt,Sie sind gleichberechtigt miteinander. Sie würde ihre Peer-Partner die Route von selbst und ihren Kunden bescheid
wissen.
Es gibt vier Sorte von der “BGP-Message”: Open, Keep-alive, Notification, Update. Mit “Open
message” würde BGP-Session aufgebaut. Wenn keep-alive Nachrichten ausbleiben, geht BGP von einer Verbindungsstörung aus und
unterbricht die entsprechende BGP-Session. Notifikation Message würde nach dem Fehler oder anderen Unfälle geschickt. Dann
würde BGP-Session untergebrochen. Diese 3 Messages leisten die Arbeit, den Status des BGP-Session zu kontrollieren. Update
Message beinhaltet die Routing-Informationen. BGP ist ein Path-vector Protokoll. Das bedeutet, BGP würde dem Paket zum Ziel
auf dem kürzesten Route führen. BGP-Speakers würden von ihren Anbieter, Kunde, Peer, Silbling die Route zum irgendeinen AS
wahrnehmen
3.Schwachpunkte des BGPs
Obwohl die große Teile des Angriffs im Internet gegen bestimmte PC ist, welche wie Endpunkte im Internet stehen, können Wir
nicht ignorieren, dass es viele Probleme mit BGP gibt. Es gibt fundamentale Schwachpunkte im BGP:
- “(1) BGP bietet keinen Mechanismus für den Schutz für die Integrität, die Frische, Authentifizierung für Peer beim Peer-Peer
BGP Kommunikation
(2) Kein Mechanismus für die Authentifiziefung für ein AS, wenn es die NLRL Informationen behauptet.
(3) kein Mechanismus für die Authentifizierung für das “Path” Attribut, das von einem AS behauptet würde.” BGP-Message ist
ganz öffentlich. Message würde vielleicht kapput gemacht oder verändert. Wegen der Verzögerung würde älter Message nach der
Neue das Ziel erreichen, und im BGP gibt keine eingesetzt Mechanismus, die Order der zu identifizieren. Und BGP bietet keine
Authentifikation für Peer. NLRI steht für “Network Layer Reachability Information ”.
Das liegt im BGP-Update-Message, um es zu verbreiten, Welche IP-Prefix von welchem AS verwaltet werden. Beim originalen BGP
gibt es keine Mechanismus, es zu beweisen,dass bestimmte IP-Prefix wirklich vom bestimmten AS verwalten würden. Es gibt auch
keinen Mechanismus, mit dem es zu bestätigen, ob ein “Path”, das von einem AS behauptet wird, echt und richtig ist.
4.Die Type des Angriffs auf BGP
Die originale Schwachpunkte im Entwurf des BGPs können die Angreifer nutzen, um die BGP-Session zu unterbrechen oder andere
noch schlimmer Schaden zu verursachen. In diesem Kapitel würden wir über die Angriffstype diskutieren. ...
[/size]
_________________________________________________
"Wunder (Fehler) Gibt es Immer Wieder"
