BGP-Routenauthentifizierung

Die Verwendung von Router- und Routenauthentifizierung und Routenintegrität verringert das Risiko, von einem Computer oder Router angegriffen zu werden, der so konfiguriert wurde, dass er falsche Routing-Informationen an einen anderen Router weitergibt, erheblich. Bei dieser Art von Angriff kann der angegriffene Router dazu verleitet werden, eine Routing-Schleife zu erstellen, oder die Routing-Tabelle des angegriffenen Routers kann stark vergrößert werden, wodurch die Leistung beeinträchtigt wird, oder Routing-Informationen können an einen Ort im Netzwerk umgeleitet werden, damit der Angreifer sie analysieren kann. Gefälschte Routenwerbung kann für ein Segment versendet werden. Diese Aktualisierungen können in die Routing-Tabellen benachbarter Router übernommen werden, es sei denn, es ist ein Authentifizierungsmechanismus vorhanden, um die Quelle der Routen zu überprüfen.

Die Router- und Routenauthentifizierung ermöglicht es Routern, Informationen nur dann auszutauschen, wenn sie anhand eines Kennworts (Schlüssels) nachweisen können, dass sie mit einer vertrauenswürdigen Quelle kommunizieren. Bei dieser Methode wird ein gehashter Schlüssel zusammen mit der Route an einen anderen Router gesendet. Der empfangende Router vergleicht den gesendeten Schlüssel mit seinem eigenen konfigurierten Schlüssel. Wenn sie identisch sind, akzeptiert es die Route. Durch die Verwendung eines Hashing-Algorithmus wird der Schlüssel nicht im Klartext über die Leitung gesendet. Stattdessen wird ein Hash anhand des konfigurierten Schlüssels berechnet. Die Routing-Aktualisierung wird zusammen mit dem Schlüssel als Eingabetext in die Hashing-Funktion verwendet. Dieser Hash wird zusammen mit der Routenaktualisierung an den empfangenden Router gesendet. Der empfangende Router vergleicht den empfangenen Hash mit einem Hash, den er bei der Routenaktualisierung generiert, indem er den darauf konfigurierten vorinstallierten Schlüssel verwendet. Wenn die beiden Hashes identisch sind, wird davon ausgegangen, dass die Route aus einer vertrauenswürdigen Quelle stammt. Der Schlüssel ist nur dem sendenden und dem empfangenden Router bekannt.

Um die Sicherheit weiter zu erhöhen, können Sie eine Reihe von Authentifizierungsschlüsseln (einen Schlüsselbund) konfigurieren. Jeder Schlüssel hat eine eindeutige Startzeit innerhalb des Schlüsselbunds. Mit der Schlüsselbundauthentifizierung können Sie die Kennwortinformationen regelmäßig ändern, ohne die Peering-Sitzungen zu unterbrechen. Diese Schlüsselbund-Authentifizierungsmethode wird als " hitless" bezeichnet, da die Schlüssel von einem Schlüssel zum nächsten übertragen werden, ohne Peering-Sitzungen zurückzusetzen oder das Routing-Protokoll zu unterbrechen.

Der sendende Peer verwendet die folgenden Regeln, um den aktiven Authentifizierungsschlüssel zu identifizieren:

• Die Startzeit ist kleiner oder gleich der aktuellen Uhrzeit (d. h. nicht in der Zukunft).

• Die Startzeit ist größer als die aller anderen Schlüssel in der Kette, deren Startzeit kleiner als die aktuelle Zeit ist (d. h. der aktuellen Zeit am nächsten liegt).

Der empfangende Peer bestimmt den Schlüssel, mit dem er sich authentifiziert, basierend auf der eingehenden Schlüssel-ID.

Der sendende Peer identifiziert den aktuellen Authentifizierungsschlüssel basierend auf einer konfigurierten Startzeit und generiert dann einen Hashwert mit dem aktuellen Schlüssel. Der sendende Peer fügt dann ein TCP-erweitertes Authentifizierungsoptionsobjekt in die BGP-Aktualisierungsnachricht ein. Das Objekt enthält eine Objekt-ID (die von IANA zugewiesen wird), die Objektlänge, den aktuellen Schlüssel und einen Hashwert.

Der empfangende Peer untersucht die eingehende TCP-erweiterte Authentifizierungsoption, sucht den empfangenen Authentifizierungsschlüssel und bestimmt, ob der Schlüssel basierend auf der Startzeit, der Systemzeit und dem Toleranzparameter akzeptabel ist. Wenn der Schlüssel akzeptiert wird, berechnet der empfangende Peer einen Hash und authentifiziert die Aktualisierungsnachricht.

Die erstmalige Anwendung eines Schlüsselbunds auf eine TCP-Sitzung führt dazu, dass die Sitzung zurückgesetzt wird. Sobald der Schlüsselbund angewendet wurde, führt das Hinzufügen oder Entfernen eines Kennworts aus dem Schlüsselbund jedoch nicht dazu, dass die TCP-Sitzung zurückgesetzt wird. Außerdem wird die TCP-Sitzung nicht zurückgesetzt, wenn der Schlüsselbund von einem Authentifizierungsalgorithmus zu einem anderen wechselt.

In der Regel konfigurieren Sie die TCP-Authentifizierung auf den folgenden Hierarchieebenen:

• [edit protocols bgp]

• [edit protocols bgp group group-name]

• [edit protocols bgp group group-name neighbor address]

Der gesamte BGP-Protokollaustausch kann authentifiziert werden, um sicherzustellen, dass nur vertrauenswürdige Routing-Geräte an AS-Routing-Updates (Autonomous System) teilnehmen. Standardmäßig ist die Authentifizierung deaktiviert.