[論文レビュー] Keep Your Friends Close, but Your Routeservers Closer: Insights into RPKI Validation in the Internet

Tomáš Hlaváček, Haya Shulman+2 more|arXiv (Cornell University)|Mar 21, 2023

Network Security and Intrusion Detection被引用数 4

ひとこと要約

この論文は、グローバルインターネット全体にわたる制御プレーンおよびデータプレーンの測定を改善することで、RPKIの展開状況とBGPプレフィックスハイジャックをブロックする有効性を評価している。27%を超えるASがRPKIフィルタリングを実装していることが判明したが、これは主にビジネスインcentiveによって動機づけられる大手プロバイダーによるものである。一方、IXPルートサーバーにおけるRPKIは局所的保護にとどまり、グローバルハイジャックの拡散を防げない。これは、グローバルセキュリティにとってTier-1プロバイダーが不可欠であることを示している。

ABSTRACT

IP prefix hijacks allow adversaries to redirect and intercept traffic, posing a threat to the stability and security of the Internet. To prevent prefix hijacks, networks should deploy RPKI and filter bogus BGP announcements with invalid routes. In this work we evaluate the impact of RPKI deployments on the security and resilience of the Internet. We aim to understand which networks filter invalid routes and how effective that filtering is in blocking prefix hijacks. We extend previous data acquisition and analysis methodologies to obtain more accurate identification of networks that filter invalid routes with RPKI. We find that more than 27% of networks enforce RPKI filtering and show for the first time that deployments follow the business incentives of inter-domain routing: providers have an increased motivation to filter in order to avoid losing customers' traffic. Analyzing the effectiveness of RPKI, we find that the current trend to deploy RPKI on routeservers of Internet Exchange Points (IXPs) only provides a localized protection against hijacks but has negligible impact on preventing their spread globally. In contrast, we show that RPKI filtering in Tier-1 providers greatly benefits the security of the Internet as it limits the spread of hijacks to a localized scope. Based on our observations, we provide recommendations on the future roadmap of RPKI deployment. We make our datasets available for public use [https://sit4.me/rpki].

研究の動機と目的

• 従来の研究よりも高い精度で、インターネット全体におけるルートオリジン検証（ROV）の現在の展開率を測定すること。
• さまざまな種類の自律システム（AS）におけるROV採用を駆り立てるビジネス的および技術的インcentiveを理解すること。
• RPKIフィルタリングが、不正なBGPルートのグローバルな拡散をどの程度防げるかを評価すること。特に、IXPルートサーバーとTier-1プロバイダーを比較して評価すること。
• IXPルートサーバーにおけるRPKI展開が、プレフィックスハイジャックに対して意味のあるグローバル保護を提供するかどうかを評価すること。
• ネットワークトポロジーとセキュリティインパクトに基づいて、将来のRPKI展開に向けた実行可能な提言を提供すること。

提案手法

• RIPE Atlasを用いて制御プレーンおよびデータプレーンの測定を実施し、不正なROAを注入することで、プレフィックスハイジャックを模倣した状況でROVの実装状況を検出する。
• BGPルーティングテーブルの変化と実際のトラフィック経路を照合することで、不正なアナウンスに影響を受けないASとROVを実装しているASを区別する。
• 従来の手法と比較して、誤検出および見逃しを低減するための改善されたデータ取得および分析手法を実装する。
• 異なるネットワークタイプ（IXP、直接ピア、Tier-1プロバイダー）における不正ルートの伝搬グラフを構築・分析し、到達可能性と伝搬度を評価する。
• 代数的連結度や最短パス長といったグラフ理論的指標を用いて、ROVがルート伝搬に与える影響を定量化する。
• ASをタイプ（例：プロバイダー、スタブ、IXP）に分類し、ROV実装状況とビジネスインcentiveおよびネットワーク上の役割を関連付ける。

実験結果

リサーチクエスチョン

• RQ1 インターネット全体におけるRPKIルートオリジン検証（ROV）の現在の展開率はどの程度で、どのように変化してきたか？
• RQ2 プロバイダー、スタブ、IXPなどのネットワークタイプの中で、ROVを実装する可能性が高いのはどれか。また、その意思決定を駆り立てるビジネスインcentiveは何か？
• RQ3 IXPルートサーバーにおけるRPKI展開は、不正なBGPルートのグローバルな拡散をどの程度防げるか？
• RQ4 Tier-1プロバイダーにおけるROV実装は、他のネットワークタイプと比較してハイジャック伝搬の範囲をどの程度制限できるか？
• RQ5 ROVはインターネットルーティングインfraストラクチャのレジリエンスに、グローバルにどのような影響を与えるか？

主な発見

• インターネット内の自律システム（AS）の27%以上が、不正なBGPアナウンスをブロックするために現在RPKIフィルタリングを実装している。
• ROVの展開はビジネスインcentiveと強く関連している。大手プロバイダーおよびISPは、顧客トラフィックと収益の損失を避けるためにROVを実装する傾向が強い。
• IXPルートサーバーはハイジャックに対して局所的保護しか提供しない。直接ピアリングセッションでは、不正ルートがグローバルに伝搬され、RPKIフィルタリングを回避する。
• 主要なIXP（例：AMS-IX、DE-CIX）における直接ピアリングセッションの存在により、不正ルートの伝搬がルートサーバーのセッションと比較して3.4倍に増加し、グローバル保護が損なわれる。
• Tier-1プロバイダーにおけるROV実装は、ハイジャックのグローバルな拡散を制限する最も効果的なメカニズムである。なぜなら、ルーティング階層における自然なクローズポイントとして機能するからである。
• グラフ解析の結果、ルートサーバーは不正更新のローカル接続性を低下させるが、最大到達範囲に顕著な制限をもたらさない。不正パスは依然として直接セッションおよびグローバルプロバイダー経由で広範に伝搬される。