[論文レビュー] An Internet-Scale Feasibility Study of BGP Poisoning as a Security Primitive.

Jared M. Smith, Kyle Birkeland+1 more|arXiv (Cornell University)|Nov 8, 2018

Network Security and Intrusion Detection参考文献 16被引用数 3

ひとこと要約

本論文は、BGPポイズニングをセキュリティ原素として、インターネット規模の実証的調査を実施し、数千のASを対象に1,400件以上の実世界の事例を測定することで、パスステアリングの実現可能性を評価している。実世界のBGPポイズニング行動は、シミュレーションモデルとは乖離しており、ASの種別にわたり脆弱性が露呈され、今後のセキュリティ研究に不可欠な予測モデルおよびパス長の上限を確立した。

ABSTRACT

The security of the Internet's routing infrastructure has underpinned much of the past two decades of distributed systems security research. However, the converse is increasingly true. Routing and path decisions are now important for the security properties of systems built on top of the Internet. In particular, BGP poisoning leverages the de facto routing protocol between Autonomous Systems (ASes) to maneuver the return paths of upstream networks onto previously unusable, new paths. These new paths can be used to avoid congestion, censors, geo-political boundaries, or any feature of the topology which can be expressed at an AS-level. Given the increase in BGP poisoning usage as a security primitive, we set out to evaluate poisoning feasibility in practice beyond simulation. To that end, using an Internet-scale measurement infrastructure, we capture and analyze over 1,400 instances of BGP poisoning across thousands of ASes as a mechanism to maneuver return paths of traffic. We analyze in detail the performance of steering paths, the graph-theoretic aspects of available paths, and re-evaluate simulated systems with this data. We find that the real-world evidence does not completely support the findings from simulated systems published in the literature. We also analyze filtering of BGP poisoning across types of ASes and ISP working groups. We explore the connectivity concerns when poisoning by reproducing a decade old experiment to uncover the current state of an Internet triple the size. We build predictive models for understanding an ASes' vulnerability to poisoning. Finally, an exhaustive measurement of an upper bound on the maximum path length of the Internet is presented, detailing how security research should react to ASes leveraging poisoned long paths. In total, our results and analysis expose the real-world impact of BGP poisoning on past and future security research.

研究の動機と目的

• シミュレーションベースの研究を超えて、BGPポイズニングが実世界のインターネット展開において実際に実現可能であるかを評価すること。
• BGPポイズニングが本番のインターネットルーティングにおけるリターンパス選択にどのように影響を与えるかを理解すること。
• フィルタリングポリシーおよびISPグループの実務が、BGPポイズニングの拡散に与える影響を評価すること。
• 十年にわたる実験フレームワークを用いて、現在のインターネット接続状態とパス多様性を測定すること。
• ASのBGPポイズニングに対する脆弱性を予測するモデルを構築し、長距離で汚染されたパスを含むセキュリティ研究におけるパス長の上限を確立すること。

提案手法

• 1,400件以上のBGPポイズニング事例を、数千の自律システム（AS）にわたり収集・分析するインターネット規模の測定インfraを展開した。
• BGP更新ストリームを収集・分析し、パスステアリング行動を再構築し、代替リターンパスのパフォーマンスを評価した。
• グラフ理論的分析を適用して、利用可能なパストポロジーをモデル化し、汚染ルートの構造的特性を評価した。
• 十年にわたる実験を再現し、現在のインターネット接続状態とパス多様性を評価したが、規模は3倍に拡大された。
• トポロジー的およびポリシー的特徴に基づき、ASのBGPポイズニングに対する脆弱性を推定する予測モデルを開発した。
• インターネットにおける最大パス長を測定し、長距離で汚染されたパスを含むセキュリティ研究における上限を確立した。

実験結果

リサーチクエスチョン

• RQ1 シミュレーテッド環境と比較して、実世界のインターネット展開におけるBGPポイズニングの実現可能性はどの程度か？
• RQ2 リターンパスのステアリングに際して、BGPポイズニングのパフォーマンス特性および信頼性は何か？
• RQ3 異なる種別のASおよびISPワーキンググループは、BGPポイズニング試行に対してどのようにフィルタリングまたは反応するか？
• RQ4 特に長距離パスの観点から、現在のインターネット接続状態およびパス多様性はどのようになっているか？
• RQ5 トポロジー的およびポリシーに基づく特徴を用いて、ASのBGPポイズニングに対する脆弱性をどの程度まで予測可能か？

主な発見

• 実世界のBGPポイズニング行動は、シミュレーション系の結果と完全に一致せず、過去のシミュレーションが実用的実現可能性を過大評価または誤解している可能性を示唆している。
• 多数のASがBGPポイズニングに対して依然として脆弱であり、ISPグループおよびASの種別にわたりフィルタリング実務が著しく異なる。
• インターネットで観測された最大パス長は、過去の推定値を上回っており、長距離で汚染されたパスがセキュリティ研究において現実的な懸念であることを示唆している。
• ASのBGPポイズニングに対する脆弱性を予測するモデルは、測定可能な精度を達成しており、高リスクネットワークの特定が可能である。
• 十年にわたる実験の再現により、インターネットの規模が3倍に拡大されており、パス多様性と複雑性が増加し、ポイズニングの結果に影響を与えていることが判明した。
• 特にルーティングポリシー制約が存在する状況では、長距離または最適でないパスを経由してトラフィックをルーティングする場合、接続性の懸念が継続している。