Authentification pour les protocoles de routage

Certains protocoles de routage (BGP, IS-IS, OSPF, RIP et RSVP) vous permettent de configurer une méthode d’authentification et un mot de passe. Les routeurs voisins utilisent le mot de passe pour vérifier l’authenticité des paquets que le protocole envoie depuis le routeur ou depuis une interface de routeur. Les méthodes d’authentification suivantes sont prises en charge :

• Authentification simple (IS-IS, OSPF et RIP) : utilise un mot de passe texte simple. Le routeur de réception utilise une clé d’authentification (mot de passe) pour vérifier le paquet. Étant donné que le mot de passe est inclus dans le paquet transmis, cette méthode d’authentification est relativement peu sécurisée. Nous vous recommandons d’éviter d’utiliser cette méthode d’authentification.

• MD5 et HMAC-MD5 (BGP, IS-IS, OSPF, RIP et RSVP) : MD5 crée un total de contrôle encodé inclus dans le paquet transmis. HMAC-MD5, qui combine l’authentification HMAC avec MD5, ajoute l’utilisation d’une fonction de hachage cryptographique itérée. Avec les deux types d’authentification, le routeur de réception utilise une clé d’authentification (mot de passe) pour vérifier le paquet. L’authentification HMAC-MD5 est définie dans la RFC 2104, HMAC : Hachage clé pour l’authentification des messages.

En général, les mots de passe d’authentification sont des chaînes de texte comprenant un nombre maximal de lettres et de chiffres. Les mots de passe peuvent inclure n’importe quel caractère ASCII. Si vous incluez des espaces dans un mot de passe, joignez tous les caractères entre guillemets (« »).

Junos-FIPS a des exigences de mot de passe spéciales. Les mots de passe FIPS doivent comporter entre 10 et 20 caractères. Les mots de passe doivent utiliser au moins trois des cinq jeux de caractères définis (majuscules, minuscules, chiffres, marques de ponctuation et autres caractères spéciaux). Si Junos-FIPS est installé sur le routeur, vous ne pouvez pas configurer les mots de passe à moins qu’ils ne répondent à cette norme.

La tâche principale d’un routeur est d’utiliser ses tables de routage et de transfert pour transférer le trafic utilisateur vers sa destination prévue. Les attaquants peuvent envoyer des paquets de protocole de routage falsifiés à un routeur dans l’intention de modifier ou de corrompre le contenu de sa table de routage ou d’autres bases de données, ce qui peut à son tour dégrader les fonctionnalités du routeur et du réseau. Pour éviter de telles attaques, les routeurs doivent s’assurer qu’ils forment des relations de protocole de routage (appairage ou relations voisines) avec des pairs de confiance. L’un des moyens d’y parvenir est d’authentifier les messages du protocole de routage. Nous vous recommandons vivement d’utiliser l’authentification lors de la configuration des protocoles de routage.

Junos OS prend en charge l’authentification HMAC-MD5 pour BGP, IS-IS, OSPF, RIP et RSVP. HMAC-MD5 utilise une clé secrète associée aux données transmises pour calculer un hachage. Le hachage calculé est transmis en même temps que les données. Le destinataire utilise la clé correspondante pour récomputer et valider le hachage du message. Si un attaquant a falsifié ou modifié le message, le hachage ne correspond pas et les données sont rejetées.

Dans les exemples suivants, nous configurons BGP comme protocole de passerelle extérieure (EGP) et IS-IS comme protocole de passerelle intérieure (IGP). Si vous utilisez OSPF, configurez-le de la même manière que la configuration IS-IS affichée.

• Configurer BGP
• Configurer IS-IS