為BGP泄密敲警鐘

科技 06-20

路由器應該盡到本職工作。

一名男子在瑞士的Deltalis Radixcloud數據中心裏面抬頭望著螺旋式樓梯。

作為互聯網基礎設施最頑固的漏洞之一，邊界網關協議（BGP）存在的路由泄密問題進入了一群網路研究人員的視線，為此他們起草了一份新的《互聯網草案》（Internet-Draft）。

BGP是互聯網長期以來易出故障的「重災區」之一：由於應用廣泛而不能根除，由於歷史久遠而易受攻擊，它是昔日管理員彼此叫得出名字來的學術互聯網的一種遺物。

由於BGP在好人壞人都在其中的全球互聯網之前就已經存在了，它信任自己收到的消息――因為有人很容易搞垮互聯網的一部分，或者出於惡意，或者是由於誤操作。

BGP存在的兩大問題是：完全不正確的路由公布，以及比較隱蔽的「路由泄密」。在後者中，正如最終在去年正式定義的RFC 7908中描述的那樣，路由公布的傳播範圍已超過了本意，有可能通過竊聽點將流量引入到某個黑洞。

這份《互聯網草案》（https://tools.ietf.org/html/draft-ietf-idr-bgp-open-policy-00）的五位起草者包括來自Qrator Labs、Initiative Japan、Arrcus和美國國家標準技術研究所（NIST）的代表；他們提議，鄰近的發言者路由器（BGP speaker）不僅公布路由，還公布各自的角色，那樣收到那些路由公布的系統就能更準確地了解路由宣布的範圍。

其中提到的四個角色分別是：

提供者（Provider）――發送者是鄰居（neighbour）的傳輸提供者。

客戶（Customer）――發送者是鄰居的客戶。

對等體（Peer ）――不足為奇，發送者和鄰居是對等體。

內部（Internal）――發送者和接收者是同一家企業組織；以及

Complex――這個包涵甚廣的特殊類別涵蓋非標準關係。

草案認為，通過在BGP中表明這些關係，並且測試它們的正確性，BGP就會「在收發兩端執行適當的配置」。它還讓用戶很容易發現故意發送衝突的BGP角色這一行為，因而加大惡意BGP攻擊的難度。

點擊展開全文

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！