[論文レビュー] Network-Destabilizing Attacks

Robert Lychev, Sharon Goldberg+1 more|arXiv (Cornell University)|Mar 8, 2012

Network Traffic and Congestion Control参考文献 7被引用数 7

ひとこと要約

この論文は、実世界の商用ルーティングポリシーのもとで、固定ルート攻撃（攻撃者が一貫して同じ偽のルートを広告する攻撃）がBGP不安定性を引き起こさないことを示すことで、広範なBGP誤設定や攻撃が存在する中でもインターネットがなぜ安定したままであるかを説明している。著者らは、高さ$x$の顧客プロバイダ階層において、すべての攻撃者でないノードが$2x+1$回の非同期ラウンド以内に安定化することを証明しており、これは任意の初期状態やアクティベートスケジュールに対してもネットワーク全体の収束を保証する。

ABSTRACT

The Border Gateway Protocol (BGP) sets up routes between the smaller networks that make up the Internet. Despite its crucial role, BGP is notoriously vulnerable to serious problems, including (1) propagation of bogus routing information due to attacks or misconfigurations, and (2) network instabilities in the form of persistent routing oscillations. The conditions required to avoid BGP instabilities are quite delicate. How, then, can we explain the observed stability of today's Internet in the face of common configuration errors and attacks? This work explains this phenomenon by first noticing that almost every observed attack and misconfiguration to date shares a common characteristic: even when a router announces egregiously bogus information, it will continue to announce the same bogus information for the duration of its attack/misconfiguration. We call these the "fixed-route attacks", and show that, while even simple fixed-route attacks can destabilize a network, the commercial routing policies used in today's Internet prevent such attacks from creating instabilities.

研究の動機と目的

• 頻繁なBGP誤設定や攻撃が存在する中でもインターネットがなぜ安定しているかを説明すること。
• 攻撃者が繰り返し同じ偽のルートを広告する固定ルート攻撃が、なぜ持続的なルーティングの振動を引き起こさないかを特定すること。
• このような攻撃に対してもBGPが安定する条件を形式的に定式化すること。
• 商用ルーティングポリシーが実世界のネットワークトポロジーにおいて固定ルート攻撃が不安定性を引き起こさないことを証明すること。

提案手法

• 目的ノード$d$を備えた顧客プロバイダ階層としてインターネットをモデル化し、ノードを自律システム（ASes）として表す無向グラフ$G=(V,E)$を用いる。
• 非同期ラウンドを用いたBGP実行の形式的モデルを導入し、ノードが更新を処理し、ローカルポリシーに基づいてルートを選択する。
• ルート収束の3段階（FCR：固定顧客ルート、FPeeR：固定ピアルート、FPrvR：固定プロバイダルート）を定義し、それぞれに特定の収束保証を設ける。
• レムマを用いて、ピアルートの場合には高さ$x$の顧客プロバイダ階層において$x+1$ラウンド以内にノードが安定化すること、プロバイダルートの場合には$2x+1$ラウンド以内に安定化することを示す。ここで$x$は顧客プロバイダ階層の高さである。
• 実世界の商用ルーティング行動をモデル化するための「エクスポートポリシー」とルートランクの概念を導入し、有効でループのない経路のみを考慮することを保証する。
• 固定ルート攻撃者は初期段階から同じルートを広告するが、階層構造とポリシー制約のおかげで収束を妨げないことを証明する。

実験結果

リサーチクエスチョン

• RQ1 頻繁なBGP誤設定や攻撃が存在する中でもインターネットがなぜ安定しているのか？
• RQ2 攻撃者が一貫して同じ偽のルートを広告する固定ルート攻撃が、持続的なBGP不安定性を引き起こすことができるか？
• RQ3 固定ルート攻撃がBGPルーティングを不安定化させない構造的およびポリシー的条件は何か？
• RQ4 顧客プロバイダ階層において、すべての攻撃者でないノードが固定ルートに安定化するのに必要な非同期ラウンド数はいくつか？
• RQ5 初期状態やアクティベートスケジュールにかかわらず、BGPが収束することが保証される条件は何か？

主な発見

• ピアルートの場合、顧客プロバイダ階層の高さが$x$である限り、すべての攻撃者でないノードが$x+1$回の非同期ラウンド以内に安定化する。
• プロバイダルートの場合、同じ階層制約のもとで、すべての攻撃者でないノードが$2x+1$回の非同期ラウンド以内に安定化する。
• 固定ルート攻撃は不安定性を引き起こさない。なぜなら、今日のインターネットで用いられる商用ルーティングポリシーが、偽のルートが広告されても振動を防ぐからである。
• BPR（最良パス記録）に固定ルートを持つノードが早期に収束し、後の安定化に影響しないことを示すレムマに依拠している。
• 収束時間は初期ルーティング構成やノードのアクティベートスケジュールに依存せず、これにより強靭性が保証される。
• モデルは収束経路に顧客プロバイダサイクルが形成されないことを証明しており、ループのないルーティングと安定性を維持する。