Autenticación de ruta BGP

El uso de autenticación de enrutador y ruta e integridad de ruta mitiga en gran medida el riesgo de ser atacado por una máquina o enrutador que se ha configurado para compartir información de enrutamiento incorrecta con otro enrutador. En este tipo de ataque, se puede engañar al enrutador atacado para crear un bucle de enrutamiento, o se puede aumentar en gran medida la tabla de enrutamiento del enrutador atacado, lo que afecta el rendimiento, o la información de enrutamiento se puede redirigir a un lugar de la red para que el atacante la analice. Anuncios de ruta falsa se pueden enviar en un segmento. Estas actualizaciones se pueden aceptar en las tablas de enrutamiento de enrutadores vecinos, a menos que haya un mecanismo de autenticación para verificar el origen de las rutas.

La autenticación de enrutador y ruta permite a los enrutadores compartir información solo si pueden verificar que están hablando con una fuente de confianza, según una contraseña (clave). En este método, se envía una clave hash junto con la ruta que se envía a otro enrutador. El enrutador receptor compara la clave enviada con su propia clave configurada. Si son iguales, acepta la ruta. Mediante un algoritmo hash, la clave no se envía a través del cable en texto sin formato. En su lugar, se calcula un hash con la clave configurada. La actualización de enrutamiento se utiliza como texto de entrada, junto con la clave, en la función hash. Este hash se envía junto con la actualización de ruta al enrutador receptor. El enrutador receptor compara el hash recibido con un hash que genera en la actualización de ruta mediante la clave previamente compartida configurada en ella. Si los dos hash son los mismos, se da por sentado que la ruta proviene de un origen de confianza. La clave solo la conocen los enrutadores de envío y recepción.

Para reforzar aún más la seguridad, puede configurar una serie de claves de autenticación (un llavero). Cada clave tiene una hora de inicio única dentro del llavero. La autenticación de llavero le permite cambiar la información de contraseña periódicamente sin desactivar las sesiones de emparejamiento. Este método de autenticación de llavero se conoce como sin golpe porque las claves se pasan de una a otra sin restablecer ninguna sesión de emparejamiento ni interrumpir el protocolo de enrutamiento.

El par de envío utiliza las siguientes reglas para identificar la clave de autenticación activa:

• La hora de inicio es menor o igual que la hora actual (en otras palabras, no en el futuro).

• La hora de inicio es mayor que la de todas las demás claves de la cadena cuya hora de inicio es menor que la hora actual (es decir, la más cercana a la hora actual).

El par de recepción determina la clave con la que se autentica según el identificador de clave entrante.

El par de envío identifica la clave de autenticación actual según un tiempo de inicio configurado y, a continuación, genera un valor hash mediante la clave actual. A continuación, el par de envío inserta un objeto de opción de autenticación mejorado por TCP en el mensaje de actualización del BGP. El objeto contiene un ID de objeto (asignado por IANA), la longitud del objeto, la clave actual y un valor hash.

El par de recepción examina la opción de autenticación entrante mejorada por TCP, busca la clave de autenticación recibida y determina si la clave es aceptable según la hora de inicio, la hora del sistema y el parámetro de tolerancia. Si se acepta la clave, el par receptor calcula un hash y autentica el mensaje de actualización.

La aplicación inicial de un llavero a una sesión TCP hace que la sesión se restablezca. Sin embargo, una vez que se aplica el llavero, la adición o eliminación de una contraseña del llavero no hace que la sesión TCP se restablezca. Además, la sesión TCP no se restablece cuando el llavero cambia de un algoritmo de autenticación a otro.

Normalmente, se configura la autenticación TCP en los siguientes niveles jerárquicos:

• [edit protocols bgp]

• [edit protocols bgp group group-name]

• [edit protocols bgp group group-name neighbor address]

Se pueden autenticar todos los intercambios de protocolos del BGP para garantizar que solo los dispositivos de enrutamiento de confianza participen en las actualizaciones de enrutamiento del sistema autónomo (AS). De forma predeterminada, la autenticación está deshabilitada.