Authentification de route BGP

L’utilisation de l’authentification et de l’intégrité des routeurs et des routes réduit considérablement le risque d’être attaqué par une machine ou un routeur configuré pour partager des informations de routage incorrectes avec un autre routeur. Dans ce type d’attaque, le routeur attaqué peut être amené à créer une boucle de routage, ou la table de routage du routeur attaqué peut être considérablement augmentée, ce qui a un impact sur les performances, ou les informations de routage peuvent être redirigées vers un endroit du réseau pour que l’attaquant les analyse. De fausses annonces d’itinéraires peuvent être envoyées sur un segment. Ces mises à jour peuvent être acceptées dans les tables de routage des routeurs voisins, à moins qu’un mécanisme d’authentification ne soit en place pour vérifier la source des routes.

L’authentification des routeurs et des routes permet aux routeurs de partager des informations uniquement s’ils peuvent vérifier qu’ils parlent à une source fiable, sur la base d’un mot de passe (clé). Dans cette méthode, une clé de hachage est envoyée avec la route envoyée à un autre routeur. Le routeur de réception compare la clé envoyée à sa propre clé configurée. S’ils sont identiques, il accepte l’itinéraire. En utilisant un algorithme de hachage, la clé n’est pas envoyée sur le fil en texte brut. Au lieu de cela, un hachage est calculé à l’aide de la clé configurée. La mise à jour du routage est utilisée comme texte d’entrée, avec la clé, dans la fonction de hachage. Ce hachage est envoyé avec la mise à jour de la route au routeur récepteur. Le routeur de réception compare le hachage reçu avec un hachage qu’il génère lors de la mise à jour de l’itinéraire à l’aide de la clé prépartagée configurée sur celui-ci. Si les deux hachages sont identiques, l’itinéraire est supposé provenir d’une source fiable. La clé n’est connue que des routeurs d’envoi et de réception.

Pour renforcer encore la sécurité, vous pouvez configurer une série de clés d’authentification (un trousseau). Chaque clé a une heure de début unique dans le trousseau. L’authentification par trousseau vous permet de modifier régulièrement les informations de mot de passe sans interrompre les sessions d’appairage. Cette méthode d’authentification de trousseau est dite « sans accès », car les clés passent de l’une à l’autre sans réinitialiser les sessions d’appairage ni interrompre le protocole de routage.

L’homologue émetteur utilise les règles suivantes pour identifier la clé d’authentification active :

• L’heure de début est inférieure ou égale à l’heure actuelle (en d’autres termes, pas dans le futur).

• L’heure de début est supérieure à celle de toutes les autres clés de la chaîne dont l’heure de début est inférieure à l’heure actuelle (en d’autres termes, la plus proche de l’heure actuelle).

L’homologue récepteur détermine la clé avec laquelle il s’authentifie en fonction de l’identificateur de clé entrant.

L’homologue émetteur identifie la clé d’authentification actuelle en fonction d’une heure de début configurée, puis génère une valeur de hachage à l’aide de la clé actuelle. L’homologue émetteur insère ensuite un objet d’option d’authentification améliorée TCP dans le message de mise à jour BGP. L’objet contient un ID d’objet (attribué par IANA), la longueur de l’objet, la clé actuelle et une valeur de hachage.

L’homologue récepteur examine l’option d’authentification améliorée TCP entrante, recherche la clé d’authentification reçue et détermine si la clé est acceptable en fonction de l’heure de début, de l’heure système et du paramètre de tolérance. Si la clé est acceptée, l’homologue récepteur calcule un hachage et authentifie le message de mise à jour.

L’application initiale d’un trousseau à une session TCP entraîne la réinitialisation de la session. Toutefois, une fois le trousseau appliqué, l’ajout ou la suppression d’un mot de passe du trousseau n’entraîne pas la réinitialisation de la session TCP. De plus, la session TCP ne se réinitialise pas lorsque le trousseau passe d’un algorithme d’authentification à un autre.

En règle générale, vous configurez l’authentification TCP aux niveaux hiérarchiques suivants :

• [edit protocols bgp]

• [edit protocols bgp group group-name]

• [edit protocols bgp group group-name neighbor address]

Tous les échanges de protocole BGP peuvent être authentifiés pour garantir que seuls les équipements de routage approuvés participent aux mises à jour de routage des systèmes autonomes (AS). Par défaut, l’authentification est désactivée.