Authentification pour les protocoles de routage

Certains protocoles de routage (BGP, IS-IS, OSPF, RIP et RSVP) vous permettent de configurer une méthode d’authentification et un mot de passe. Les routeurs voisins utilisent le mot de passe pour vérifier l’authenticité des paquets envoyés par le protocole à partir du routeur ou d’une interface de routeur. Les méthodes d’authentification suivantes sont prises en charge :

• Authentification simple (IS-IS, OSPF et RIP) : utilise un mot de passe texte simple. Le routeur de réception utilise une clé d’authentification (mot de passe) pour vérifier le paquet. Étant donné que le mot de passe est inclus dans le paquet transmis, cette méthode d’authentification est relativement peu sécurisée. Nous vous recommandons d’éviter d’utiliser cette méthode d’authentification.

• MD5 et HMAC-MD5 (BGP, IS-IS, OSPF, RIP et RSVP) : MD5 crée une somme de contrôle codée qui est incluse dans le paquet transmis. HMAC-MD5, qui combine l’authentification HMAC avec MD5, ajoute l’utilisation d’une fonction de hachage cryptographique itérée. Avec les deux types d’authentification, le routeur de réception utilise une clé d’authentification (mot de passe) pour vérifier le paquet. L’authentification HMAC-MD5 est définie dans la RFC 2104, HMAC : hachage de clé pour l’authentification des messages.

En général, les mots de passe d’authentification sont des chaînes de texte composées d’un nombre maximal de lettres et de chiffres. Les mots de passe peuvent inclure n’importe quel caractère ASCII. Si vous incluez des espaces dans un mot de passe, placez tous les caractères entre guillemets ( » « ).

Junos-FIPS a des exigences particulières en matière de mots de passe. Les mots de passe FIPS doivent comporter entre 10 et 20 caractères. Les mots de passe doivent utiliser au moins trois des cinq jeux de caractères définis (lettres majuscules, lettres minuscules, chiffres, signes de ponctuation et autres caractères spéciaux). Si Junos-FIPS est installé sur le routeur, vous ne pouvez pas configurer de mots de passe s’ils ne répondent pas à cette norme.

La tâche principale d’un routeur est d’utiliser ses tables de routage et de transfert pour transférer le trafic utilisateur vers la destination prévue. Les attaquants peuvent envoyer des paquets de protocole de routage falsifiés à un routeur dans le but de modifier ou de corrompre le contenu de sa table de routage ou d’autres bases de données, ce qui peut à son tour dégrader la fonctionnalité du routeur et du réseau. Pour éviter de telles attaques, les routeurs doivent s’assurer qu’ils établissent des relations de protocole de routage (peering ou relations de voisinage) avec des homologues de confiance. Pour ce faire, vous pouvez authentifier les messages du protocole de routage. Nous vous recommandons vivement d’utiliser l’authentification lors de la configuration des protocoles de routage.

Junos OS prend en charge l’authentification HMAC-MD5 pour BGP, IS-IS, OSPF, RIP et RSVP. HMAC-MD5 utilise une clé secrète combinée aux données transmises pour calculer un hachage. Le hachage calculé est transmis avec les données. Le destinataire utilise la clé correspondante pour recalculer et valider le hachage du message. Si un attaquant a falsifié ou modifié le message, le hachage ne correspondra pas et les données seront supprimées.

Dans les exemples suivants, nous configurons BGP en tant que protocole de passerelle extérieure (EGP) et IS-IS en tant que protocole de passerelle intérieure (IGP). Si vous utilisez OSPF, configurez-le de la même manière que la configuration IS-IS illustrée.

• Configurer BGP
• Configurer IS-IS