BGP hijacking 을 방지
BGP는 이웃이 보내는 ip prefix 정보를 무조건신뢰한다.
BGP hijacking 이란, 인터넷의 Infra에 속하는 BGP 프로토콜의 취약점---이웃에 있는 BGP peer들이 보내는 IP prefix 정보를 무조건 신뢰함---을 활용하여, BGP peer가 가진 routing table 값을 조작(manipulation)하여, 해커가 지정한 주소로 보내는 것을 의미 합니다. 목적지를 변경시켜, 서비스가 안되도록 방해할 수도 있고, 가짜 사이트에 접속을 하도록 할 수 있습니다. 즉 사용자는 정확한 IP 주소를 사용하였지만, 접속한 곳은 해커가 지정한 사이트 주소가 되는 것입니다
[출처] RPKI : BGP hijacking 방지 솔루션|작성자 AEP코리아네트
AS: 자율시스템, 망, 동일한 라우팅 정책으로 하나의 관리자에 의하여 운영되는 네트워크, autonomous system, AS번호는 각각의 자 율 시스템을 식별하기위한 인터넷상의 고유한 숫자
라우팅 프로토콜은AS 내부에서 정보를 주고받기위해 사용하는 IGP(Interior gateway Protocol)와 외부의 AS와 정보교환시 사용하는 프로토콜(EGP, Exterior '')이 있는데, BGP는 이중 EGP
BGP란 Border Gateway Protocol의 약자로써, 인터넷 상에서 AS끼리 라우팅 정보를 주고받는 EGP(외부게이트웨이 프로토콜)이다. - 현재 인터넷에서 AS 사이에 사용되고 있는 대표적인 EGP 라우팅 프로토콜이다.출처:
인터넷은 AS의 집합
bgp는 라우팅 정보 교환전 tcp 179번 포트를 통해 세션을 맺는다.
BGP 프로토콜의 보안취약점을 이용한 BGP hijacking을 방지하기 위한 Solution으로 RPKI가 제안되어졌지만 아직 산업계에 보편적으로 적용되어 있지 않습니다. 통계 자료(NIST RPKI Monitor 2019-3-8)에 의하면, IPv4 Internet route 중 약 13.37%만이 RPKI로 sign되어 있습니다. 이 중 Valid한 것은 12.56%, Invalid 한 것은 0.81% 입니다. rpki-monitor.antd.nist.gov 에 접속하면 최신 통계자료를 볼 수 있습니다.
[출처] RPKI : BGP hijacking 방지 솔루션|작성자 AEP코리아네트
- 광고할 네트워크를 설정하는데,
- BGP는 라우터의 공지를 검증하지 않아
- Peer 사이의 통신에 사용되는 메시지에 대한 무결성, 상호 인증 등을 지원하는 내부 메커니즘을 지원하지 않는다. z NLRI를 announce하는 AS의 소유권을 증명할 어떠한 방법도 정의되어 있지 않다. z AS에 의해 전달되는 경로 정보가 확실하고 신뢰할 수 있는지 확인할 수 있는 방법이 없다.
- 공격자가 이를 악용하여 라우터로 하여금 특정 IP접두사에 대해 더 나은 경로가 있다고 허위로 공지하게하고,(ip 하이재킹을 하기위해서는 bgp를 위한 announce가 필요함, bgp 경로는 특정 prefix와 그 prefix로 가기위한 AS path로 이루어짐,NLRI,ASpath) 모든 IP접두사를 하이재킹하여 (ip 주소 대역을 훔쳐서 확부하게 되면, 대역에 속한 호스트들에 대한 통신 단절이 가능하다.DoS공격의 한 종류임)두 노드간의 모든 트래픽을 차단시킨다. 이를 통해 공격자는 네트워크를 분할하여 체인을 병렬로 분기시킬수 있고, 결국 두 체인 중 짧은 체인에 포함된 모든 블록은 스테일 블록이 된다.