Autenticação de rotas BGP

O uso de autenticação de roteadores e rotas e integridade de rotas reduz consideravelmente o risco de ser atacado por uma máquina ou roteador que foi configurado para compartilhar informações incorretas de roteamento com outro roteador. Nesse tipo de ataque, o roteador atacado pode ser enganado para criar um loop de roteamento, ou a tabela de roteamento do roteador atacado pode ser muito aumentada, afetando o desempenho, ou as informações de roteamento podem ser redirecionadas para um lugar na rede para que o invasor a analise. Anúncios de rotas falsos podem ser enviados em um segmento. Essas atualizações podem ser aceitas nas tabelas de roteamento de roteadores vizinhos, a menos que um mecanismo de autenticação esteja em vigor para verificar a origem das rotas.

A autenticação de roteadores e rotas permite que os roteadores compartilhem informações apenas se puderem verificar se estão falando com uma fonte confiável, com base em uma senha (chave). Nesse método, uma chave hashed é enviada junto com a rota que está sendo enviada para outro roteador. O roteador receptor compara a chave enviada com sua própria chave configurada. Se eles são os mesmos, ele aceita a rota. Ao usar um algoritmo de hashing, a chave não é enviada pelo fio em texto simples. Em vez disso, um hash é calculado usando a chave configurada. A atualização de roteamento é usada como texto de entrada, juntamente com a chave, na função hashing. Este hash é enviado junto com a atualização de rota para o roteador receptor. O roteador recebedor compara o hash recebido com um hash que ele gera na atualização de rota usando a chave pré-compartilhada configurada nele. Se os dois hashes são os mesmos, presume-se que a rota seja de uma fonte confiável. A chave é conhecida apenas pelos roteadores de envio e recebimento.

Para fortalecer ainda mais a segurança, você pode configurar uma série de chaves de autenticação (um chaveiro). Cada chave tem um tempo de início único dentro do chaveiro. A autenticação de chaveiro permite alterar periodicamente as informações de senha sem reduzir as sessões de peering. Este método de autenticação de keychain é chamado de hitless porque as chaves rolam de um para o outro sem redefinir nenhuma sessão de peering ou interromper o protocolo de roteamento.

O peer de envio usa as seguintes regras para identificar a chave de autenticação ativa:

• O tempo de início é menor ou igual ao tempo atual (ou seja, não no futuro).

• O tempo de início é maior do que o de todas as outras chaves da cadeia, cujo tempo de início é menor do que o tempo atual (ou seja, mais próximo do tempo atual).

O peer recebedor determina a chave com a qual autentica com base no identificador-chave que está chegando.

O peer de envio identifica a chave de autenticação atual com base em um tempo de início configurado e, em seguida, gera um valor hash usando a chave atual. O peer de envio insere um objeto de opção de autenticação aprimorado por TCP na mensagem de atualização do BGP. O objeto contém um ID de objeto (atribuído pela IANA), o comprimento do objeto, a chave atual e um valor hash.

O peer receptor examina a opção de autenticação aprimorada por TCP, analisa a chave de autenticação recebida e determina se a chave é aceitável com base no tempo de início, no tempo do sistema e no parâmetro de tolerância. Se a chave for aceita, o peer receptor calcula um hash e autentica a mensagem de atualização.

A aplicação inicial de um chaveiro em uma sessão de TCP faz com que a sessão seja reiniciada. No entanto, uma vez que o chaveiro é aplicado, a adição ou remoção de uma senha do chaveiro não faz com que a sessão de TCP seja redefinida. Além disso, a sessão de TCP não é redefinida quando a chave muda de um algoritmo de autenticação para outro.

Normalmente, você configura a autenticação de TCP nos seguintes níveis de hierarquia:

• [edit protocols bgp]

• [edit protocols bgp group group-name]

• [edit protocols bgp group group-name neighbor address]

Todas as trocas de protocolo BGP podem ser autenticadas para garantir que apenas dispositivos de roteamento confiáveis participem de atualizações de roteamento de sistema autônomo (AS). Por padrão, a autenticação é desabilitada.