CN105376098B

CN105376098B - 一种路由源和路径双重验证方法

Info

Publication number: CN105376098B
Application number: CN201510856993.7A
Authority: CN
Inventors: 李晓东; 傅瑜; 延志伟; 王翠翠
Original assignee: China Internet Network Information Center
Current assignee: China Internet Network Information Center
Priority date: 2015-11-30
Filing date: 2015-11-30
Publication date: 2019-06-14
Anticipated expiration: 2035-11-30
Also published as: CN105376098A

Abstract

本发明公开了一种路由源和路径双重验证方法。本方法为：1)源自治系统AS₁将自己的ROA证书嵌入到BGP路由更新报文中发送给下一跳自治系统AS₂；2)自治系统AS₂验证AS₁的ROA证书，验证出路由的源是AS₁后，签发一证书ASPolicyCert并用私钥签名后嵌入到AS₂的BGP路由更新报文中发送给下一跳自治系统AS_i；3)每一自治系统AS_i收到上一跳自治系统发出的更新报文后，从该更新报文中获取AS₁的ROA证书，验证出路由的源是AS₁以及路由路径正确后，签发一证书并签名；然后将其嵌入到AS_i的BGP路由更新报文中发送给下一跳自治系统，直到目的自治系统AS。

Description

一种路由源和路径双重验证方法

技术领域

本发明涉及一种实现路由源认证和路径验证双重验证的方法，属于网络技术领域。

背景技术

作为保证互联网互联互通的重要基础设施，域间路由系统对互联网的安全稳定有着至关重要的影响。由于传统的域间路由系统所采用的BGP协议缺乏对路由通告内容真实性的验证，黑客的蓄意攻击以及错误的网络参数配置都可能导致路由劫持现象的发生。路由劫持对互联网的正常运行影响极大，可能导致大面积的网络瘫痪。见诸报端的典型路由劫持事件有：1997年4月的AS 7007事件、2004年的12月土耳其TTNet路由劫持事件、2006年1月Con-Edison路由劫持事件以及2008年巴基斯坦电信劫持YouTube流量事件等。

同时除了路由源认证的问题，BGP路由器还会受到中间人攻击的威胁，为了解决这一问题，需要对BGP(边界网关协议)路由的路径加以验证。

为了解决路由源认证的问题，RPKI的解决思路是构建一个PKI(公钥证书体系)来完成对INR(InternetNumber Resource,互联网码号资源；包括IP地址前缀和AS(自治系统)号)的所有权(分配关系)和使用权(路由起源通告)的认证，并以此“认证信息”来指导边界路由器，帮助其检验BGP消息的真实性，从而避免域间路由劫持。

RPKI是一种用于保障互联网基础码号资源(包含IP地址、AS号)安全使用的公钥证书体系。通过对X.509公钥证书进行扩展，RPKI依托资源证书实现了对互联网基础码号资源使用授权的认证，并以ROA(Route OriginAuthorization,路由源声明)的形式帮助域间路由系统，验证某个AS针对特定IP地址前缀的路由通告是否合法。

RPKI包括三大基本组件：CA(Certificate Authority，认证权威)、RP(RelyingParty，依赖方)和repository(资料库)。这三大组件通过签发、传送、存储、验证各种数字对象(包括各种签名对象和证书)来彼此协作，共同完成RPKI的功能。

三大组件的功能如下：

CA通过签发ROA(Route OriginAuthorization，路由起源声明)来授权将特定的IP地址前缀授权给某个AS进行路由通告。

repository负责存储这些承载了INR分配/授权信息的证书/ROA等数字对象，供全球的RP下载。

RP负责从repository中爬取这些数字对象，并将其处理成IP地址块与AS号的真实授权关系，用于指导BGP路由。

同时还包括两个证书：EE证书和ROA证书

EE证书:

EE证书由INR持有者签发，专门用于签发“签名对象(signed object)”。EE证书并不以独立文件的形式存在，而总是与一个签名对象封装在一起。这样的设计是为了方便对签名对象的管理工作。

由于每个签名对象都是与一个相应的EE证书封装在一起的，其合法性就由相应的EE证书来确认。因此，签名对象的生存期即是EE证书的生存期；当发生意外情况，导致必须在签名对象过期之前就将其撤销时，直接撤销对应的EE证书即可，无需再设计一套专门的机制。

此外，由于EE证书与签名对象之间存在一一对应的关系，EE证书所载公钥对应的私钥仅需使用一次，用完即可销毁，免去了管理密钥的开销。

ROA证书

RC(资源证书)中所表达的INR分配关系并不能直接用于指导BGP路由。

BGP路由起源通告的内容可以理解为一条“<IP-prefix,AS号>”的映射，即“xxx地址块，在AS号为xxx的自治域内”。该通告的真实性的判断标准为：发出这条BGP路由起源通告的AS，是否已经从该IP地址块的持有者那里获得了“IP地址使用权许可”。这种“授权”关系可以通过ROA(Route OriginAuthorization,路由起源声明)来表达。

ROA的内容为：一个AS号和若干个IP地址块，表示该IP地址块的持有者授权该AS为其发起BGP路由通告。

当某个INR持有者需要授权某个AS为其所持有的某个IP地址前缀发起BGP路由起源通告时，它需要签发一条ROA记录来确认上述授权行为。如图1所示，具体步骤为：

1)INR持有者首先确认自己已经从上游CA获得了相应的IP地址块，确认无误后，签发一张包含该IP地址前缀的EE证书

2)INR持有者确定AS号以及其授权的IP地址块信息

3)使用该EE证书对应的私钥签发包含指定IP地址前缀和AS号的ROA对象

4)用CMS格式将EE证书和ROA封装成单个文件，供后续发布到repository，然后供RP下载查看。RP在收集到全部ROA、RC之后，尝试构建一条从ROA到信任锚点的信任链。如果构建成功，则证明该ROA是可信的。

上述INR路由授权验证机制可以解决BGP路由源验证的问题；但这一机制针对BGP中间人攻击问题，却无能为力。为此，专家们又提出了BGPSEC技术；该技术通过对BGP路由的每个环节加以签名来保障整条BGP路由的安全来完成路由的路径验证。即BGP路由器在收到的BGP消息后，如果要向下一跳传递，就需要附上自己的签名。这样，就可以实现BGP完整转发路径的验证。

然而，由于分别同时执行INR路由授权验证机制与BGPSEC技术的话会对网络设备的改动和网络性能压力很大，因此目前没有一种方案能够同时进行BGP路由源验证和BGP路由的路径验证。

发明内容

针对现有技术中存在的技术问题，本发明的目的在于提供一种实现路由源认证和路径验证双重验证的方法。

本发明的技术方案为：

一种路由源和路径双重验证方法，其步骤为：

1)源自治系统AS₁从证书依赖方RP处获取到自己的ROA证书，并将此证书嵌入到该源自治系统AS₁的BGP路由更新报文中，然后将该更新报文发送给下一跳自治系统AS₂；

2)自治系统AS₂收到上一跳自治系统AS₁发出的更新报文后，用上一跳自治系统AS₁的ROA证书中的公钥验证该自治系统AS₁的ROA证书，验证出路由的源是该自治系统AS₁后，签发一证书ASPolicyCert并用自己的私钥进行签名，然后将此证书ASPolicyCert嵌入到该自治系统AS₂的BGP路由更新报文中发送给下一跳自治系统AS_i；否则丢弃该更新报文；

3)每一自治系统AS_i收到上一跳自治系统发出的更新报文后，从该更新报文中获取该自治系统AS₁的ROA证书，验证出路由的源是该自治系统AS₁以及路由路径正确后，签发一证书ASPolicyCert并用自己的私钥进行签名；然后将此证书ASPolicyCert嵌入到该自治系统AS_i的BGP路由更新报文中发送给下一跳自治系统，直到目的自治系统AS；其中，证书ASPolicyCert中包含有与自己直连的自治系统AS号。

一种路由源和路径双重验证方法，其步骤为：

3)每一自治系统AS_i收到上一跳自治系统发出的更新报文后，从该更新报文中获取上一跳的ASPolicyCert证书，验证出路由的路由路径正确后，签发一证书ASPolicyCert并用自己的私钥进行签名；然后将此证书ASPolicyCert嵌入到该自治系统AS_i的BGP路由更新报文中发送给下一跳自治系统，直到目的自治系统AS；其中，证书ASPolicyCert中包含有与自己直连的自治系统AS号。

进一步的，所述更新报文的网络层可达信息后面添加一选项，用于存放ROA证书。

进一步的，所述更新报文的字段包括：不可用路由长度、撤销路由、总的路径属性长度、路径属性。

进一步的，所述路径属性包括：公认必遵类、公认自决类、可选传递类、可选非传递类。

进一步的，所述ROA证书放置在所述路径属性的公认必遵类内。

与现有技术相比，本发明的优点：

本发明通过将ROA证书嵌入到BGP UPDATE报文中，从而能够使得BGP边界路由器进行路由源认证和路径认证。同时改进了BGPSEC的方案，使得在路径验证过程中使用密钥技术验证过程大大减少，有效的提高了BGP UPDATE报文的处理流程和效率。

附图说明

图1为ROA证书的签发过程；

图2为本发明的原理图。

具体实施方式

下面结合附图对本发明进行进一步详细描述：

本发明提出了一种能够同时进行BGP路由源认证和BGP路由的路径验证，将公钥证书体系RPKI中的ROA证书嵌入到BGP消息的UPDATE报文中，同时改进了BGPSEC的方案，使得在路径验证过程中使用密钥技术验证过程大大减少，有效的提高了BGP UPDATE报文的处理流程和效率。

本发明的基本原理如图2所示：AS001从RP处获取到自己的ROA证书ROA1，并将此证书嵌入到其BGP路由的UPDATE报文中(BGP路由的更新报文)，宣称该BGP路由的源是AS001，AS002收到AS001发出的BGP UPDATE报文后(BGP更新报文里面有源地址和目的地址，源地址是AS001，目的地址是AS002)，用ROA1证书里面自己携带的公钥验证ROA1的真实性，从而验证出该路由的源是AS001。同时AS002签发一张证书ASPolicyCert，该证书中包含与自己直连的AS号(AS001，AS003)(此处原理和SoBGP相同)，并用自己的私钥进行签名，最后将此证书嵌入到该BGP UPDATE报文中。

AS003收到该BGP UPDATE报文后首先可以通过AS002的公钥验证该BGP的路径是由AS001到AS002再到AS003，同时还可以根据ROA1(ROA1嵌入在BGP更新报文中，获得了BGP更新报文，就获得了ROA1)验证出该路由的源来自于AS001(AS002签发的ASPolicyCert证书中会携带AS002的公钥，所以AS003收到AS002发来的BGP更新报文后，从报文中取出ASPolicyCert证书，然后根据公钥验证证书的真实性，证书里有AS002的直连AS号信息：AS001、AS003，可以查出BGP的路径是从AS001到AS002到AS003)。同理，AS004接收到AS003发来的BGP UPDATE报文后，可以验证出该路由的路径是经过AS001到AS002到AS003最后到AS004。同时根据该报文中的ROA1可以验证出该路由的源是AS001。上述处理过程中，可选的，AS002，AS003等后续自治系统生成的更新报文也可以不包含有ROA1，此情况后续自治系统直接从该更新报文中获取上一跳的ASPolicyCert证书，根据获取的ASPolicyCert证书向上追溯验证出路由的路由路径正确(比如AS003追溯到它的上一跳AS002，才知道源是AS001)后，签发一证书ASPolicyCert并用自己的私钥进行签名；然后将此证书ASPolicyCert嵌入到该自治系统AS_i的BGP路由更新报文中发送给下一跳自治系统，直到目的自治系统AS。

BGP报文的格式

1)BGP包头的格式

Maker(16字节)-------全为1，否则，标记的值要使用认证机制来计算(认证机制是通过认证信息的一部分来指定的)。标记可以用来探测BGP对端的同步丢失，认证进入的BGP消息。

Length(2字节)-------BGP包全长，长度的值必须最少19字节最大4096字节。

Type(1字节)---1-OPEN

2-UPDATE

3-NOTIFICATION

4–KEEPALIVE

2)UPDATE报文格式

Unfeasible Routes Length(不可用路由长度)----2字节，指示了撤销路由的字节总长度。0说明没有撤销路由，UPDATE消息内部没有撤销路由。

Withdrawn Routes(撤销路由)----如果没有撤销路由则无此字段，如果有撤销路由，此字段列出所撤销的路由条目。

Total PathAttribute Length(总的路径属性长度)----2字节，0代表在UPDATE消息中没有网络层可达信息域。

PathAttributes(路径属性)：在每一个UPDATE消息中有可能有多个路径属性对。每一个路径属性对包括Attribute Flags、Attribute type code、Attribute Data Length三个字段。Attribute Flags、Attribute type code各占位1个字节。

路径属性

1、well-known mandatory：公认必遵类

2、well-known discretionary：公认自决类

3、optional transitive：可选传递类

4、optional nontrasitive：可选非传递类

对于可选属性，不要求所有的BGP路由器都支持。

如果是不支持的可选传递属性，路由器将原封不动的传递给其他路由器。

如果是不支持的可选非传递属性，路由器必须将其删除，不再继续传递下去。

由于ROA的值会影响路由选择，所以将其放置在公认必遵类里面。

Network Layer Reachability Information(网络层可达信息):

实施例1：可以将ROA的值嵌入到路径属性里。

实施例2：可以扩展BGP报文，在网络层可达信息后面添加一个新的选项，用于存放ROA的值，具体格式如下所示：

1)起源的路由器发送update+roa；

2)第二跳用ROA验证UPDATE；

Y：转发update,不需要ROA,加上policycert；

N：丢弃；

3)下一跳路由器直接信任上一跳；

路径验证基于policycert。

Claims

1.一种路由源和路径双重验证方法，其步骤为：

2.一种路由源和路径双重验证方法，其步骤为：

3.如权利要求1或2所述的方法，其特征在于，所述更新报文的网络层可达信息后面添加一选项，用于存放ROA证书。

4.如权利要求1或2所述的方法，其特征在于，所述更新报文的字段包括：不可用路由长度、撤销路由、总的路径属性长度和路径属性。

5.如权利要求4所述的方法，其特征在于，所述路径属性包括：公认必遵类、公认自决类、可选传递类和可选非传递类。

6.如权利要求5所述的方法，其特征在于，所述ROA证书放置在所述路径属性的公认必遵类内。