Autenticación de ruta BGP

El uso de la autenticación de enrutador y ruta y la integridad de la ruta mitiga en gran medida el riesgo de ser atacado por una máquina o enrutador que ha sido configurado para compartir información de enrutamiento incorrecta con otro enrutador. En este tipo de ataque, el enrutador atacado puede ser engañado para crear un bucle de enrutamiento, o la tabla de enrutamiento del enrutador atacado puede aumentarse considerablemente, lo que afecta el rendimiento, o la información de enrutamiento puede redirigirse a un lugar de la red para que el atacante la analice. Se pueden enviar anuncios de ruta falsos en un segmento. Estas actualizaciones se pueden aceptar en las tablas de enrutamiento de los enrutadores vecinos, a menos que exista un mecanismo de autenticación para verificar el origen de las rutas.

La autenticación de enrutador y ruta permite que los enrutadores compartan información solo si pueden verificar que están hablando con una fuente confiable, según una contraseña (clave). En este método, se envía una clave hash junto con la ruta que se envía a otro enrutador. El enrutador receptor compara la clave enviada con su propia clave configurada. Si son iguales, acepta la ruta. Mediante el uso de un algoritmo hash, la clave no se envía a través del cable en texto sin formato. En su lugar, se calcula un hash utilizando la clave configurada. La actualización de enrutamiento se utiliza como texto de entrada, junto con la clave, en la función hash. Este hash se envía junto con la actualización de la ruta al enrutador receptor. El enrutador receptor compara el hash recibido con un hash que genera en la actualización de ruta utilizando la clave previamente compartida configurada en él. Si los dos hashes son iguales, se supone que la ruta procede de una fuente de confianza. La clave sólo la conocen los enrutadores emisores y receptores.

Para reforzar aún más la seguridad, puede configurar una serie de claves de autenticación (un llavero). Cada llave tiene una hora de inicio única dentro del llavero. La autenticación de llavero le permite cambiar la información de la contraseña periódicamente sin interrumpir las sesiones de emparejamiento. Este método de autenticación de llavero se denomina sin visitas porque las claves se transfieren de una a otra sin restablecer ninguna sesión de emparejamiento ni interrumpir el protocolo de enrutamiento.

El par remitente utiliza las siguientes reglas para identificar la clave de autenticación activa:

• La hora de inicio es menor o igual que la hora actual (en otras palabras, no en el futuro).

• La hora de inicio es mayor que la de todas las demás claves de la cadena cuya hora de inicio es menor que la hora actual (en otras palabras, la más cercana a la hora actual).

El par receptor determina la clave con la que se autentica en función del identificador de clave entrante.

El par remitente identifica la clave de autenticación actual en función de una hora de inicio configurada y, a continuación, genera un valor hash con la clave actual. A continuación, el par remitente inserta un objeto de opción de autenticación mejorada TCP en el mensaje de actualización del BGP. El objeto contiene un ID de objeto (asignado por la IANA), la longitud del objeto, la clave actual y un valor hash.

El par receptor examina la opción de autenticación mejorada TCP entrante, busca la clave de autenticación recibida y determina si la clave es aceptable en función de la hora de inicio, la hora del sistema y el parámetro de tolerancia. Si se acepta la clave, el par receptor calcula un hash y autentica el mensaje de actualización.

La aplicación inicial de un llavero a una sesión TCP hace que la sesión se reinicie. Sin embargo, una vez que se aplica el llavero, la adición o eliminación de una contraseña del llavero no hace que se restablezca la sesión TCP. Además, la sesión TCP no se restablece cuando el llavero cambia de un algoritmo de autenticación a otro.

Normalmente, la autenticación TCP se configura en los siguientes niveles de jerarquía:

• [edit protocols bgp]

• [edit protocols bgp group group-name]

• [edit protocols bgp group group-name neighbor address]

Se pueden autenticar todos los intercambios de protocolos del BGP para garantizar que solo dispositivos de enrutamiento de confianza participen en las actualizaciones de enrutamiento del sistema autónomo (AS). De forma predeterminada, la autenticación está deshabilitada.