Authentification de route BGP

L’utilisation d’un routeur, de l’authentification de routage et de l’intégrité du routage réduit considérablement le risque d’attaque par une machine ou un routeur configuré pour partager des informations de routage incorrectes avec un autre routeur. Dans ce type d’attaque, le routeur attaqué peut être amené à créer une boucle de routage, ou la table de routage du routeur attaqué peut être considérablement augmentée, ce qui a un impact sur les performances, ou les informations de routage peuvent être redirigées vers un endroit du réseau pour que l’attaquant les analyse. De fausses annonces de routes peuvent être envoyées sur un segment. Ces mises à jour peuvent être acceptées dans les tables de routage des routeurs voisins, sauf si un mécanisme d’authentification est en place pour vérifier la source des routes.

L’authentification des routeurs et des routes permet aux routeurs de partager des informations uniquement s’ils peuvent vérifier qu’ils parlent à une source fiable, sur la base d’un mot de passe (clé). Dans cette méthode, une clé hachée est envoyée avec la route envoyée à un autre routeur. Le routeur récepteur compare la clé envoyée à sa propre clé configurée. S’ils sont identiques, il accepte la route. En utilisant un algorithme de hachage, la clé n’est pas envoyée sur le fil en texte clair. Au lieu de cela, un hachage est calculé à l’aide de la clé configurée. La mise à jour de routage est utilisée comme texte d’entrée, avec la clé, dans la fonction de hachage. Ce hachage est envoyé avec la mise à jour de route au routeur récepteur. Le routeur récepteur compare le hachage reçu avec un hachage qu’il génère lors de la mise à jour de route à l’aide de la clé prépartagée configurée sur celui-ci. Si les deux hachages sont identiques, l’itinéraire est supposé provenir d’une source approuvée. La clé n’est connue que des routeurs émetteur et récepteur.

Pour renforcer encore la sécurité, vous pouvez configurer une série de clés d’authentification (un trousseau). Chaque clé a une heure de début unique dans le trousseau. L’authentification par trousseau vous permet de modifier régulièrement les informations du mot de passe sans interrompre les sessions d’appairage. Cette méthode d’authentification par trousseau est dite sans impact, car les clés passent d’une unité à l’autre sans réinitialiser les sessions d’appairage ni interrompre le protocole de routage.

L’homologue d’envoi utilise les règles suivantes pour identifier la clé d’authentification active :

• L’heure de début est inférieure ou égale à l’heure actuelle (en d’autres termes, pas dans le futur).

• L’heure de début est supérieure à celle de toutes les autres clés de la chaîne dont l’heure de début est inférieure à l’heure actuelle (en d’autres termes, la plus proche de l’heure actuelle).

L’homologue destinataire détermine la clé avec laquelle il s’authentifie en fonction de l’identifiant de clé entrant.

L’homologue d’envoi identifie la clé d’authentification actuelle en fonction d’une heure de début configurée, puis génère une valeur de hachage à l’aide de la clé actuelle. L’homologue émetteur insère ensuite un objet d’option d’authentification TCP améliorée dans le message de mise à jour BGP. L’objet contient un ID d’objet (attribué par l’IANA), la longueur de l’objet, la clé actuelle et une valeur de hachage.

L’homologue récepteur examine l’option d’authentification TCP entrante, recherche la clé d’authentification reçue et détermine si la clé est acceptable en fonction de l’heure de début, de l’heure système et du paramètre de tolérance. Si la clé est acceptée, l’homologue destinataire calcule un hachage et authentifie le message de mise à jour.

L’application initiale d’un trousseau à une session TCP entraîne la réinitialisation de la session. Toutefois, une fois le trousseau appliqué, l’ajout ou la suppression d’un mot de passe du trousseau n’entraîne pas la réinitialisation de la session TCP. De plus, la session TCP ne se réinitialise pas lorsque le trousseau passe d’un algorithme d’authentification à un autre.

Junos OS prend en charge deux méthodes d’authentification de route BGP : la clé d’authentification statique et les trousseaux. Les deux approches permettent de garantir que les homologues BGP échangent des informations de routage en toute sécurité.

• La méthode de clé d’authentification statique consiste à spécifier une clé fixe directement dans la configuration BGP. Cette méthode est plus simple dans les environnements où la gestion des clés est simple.

• La méthode du porte-clés offre une plus grande flexibilité et prend en charge la rotation des clés pour une sécurité accrue.

Pour obtenir une configuration détaillée et des exemples, consultez :

• Exemple de clé d’authentification statique : Méthodes d’authentification pour les protocoles de routage.

• Exemple de configuration du trousseau : Voir Exemple : Configuration de l’authentification du routeur pour BGP (plus loin sur cette page).

Toutes les informations d’authentification BGP sont stockées dans l’en-tête du paquet TCP. Il existe deux types de méthodes d’authentification BGP. Authentification TCP MD5 et option d’authentification TCP (TCP-AO). Vous pouvez configurer l’un ou l’autre, mais pas les deux, simultanément pour la même session.

En règle générale, vous configurez l’authentification TCP aux niveaux hiérarchiques suivants :

• [edit protocols bgp]

• [edit protocols bgp group group-name]

• [edit protocols bgp group group-name neighbor address]

Tous les échanges de protocoles BGP peuvent être authentifiés pour garantir que seuls les appareils de routage approuvés participent aux mises à jour du routage des systèmes autonomes (AS). Par défaut, l’authentification est désactivée.