[論文レビュー] Secure ARP and Secure DHCP Protocols to Mitigate Security Attacks

Biju Issac|arXiv (Cornell University)|Oct 16, 2014

IPv6, Mobility, Handover, Networks, Security参考文献 8被引用数 24

ひとこと要約

本論文では、ブロードキャストARPに代わり、ユニキャスト、集中型、暗号的に保護されたやり取りを採用することで、ARPポイズニングおよびMACスプーフィング攻撃を軽減するためのセキュア・ユニキャスト・アドレス解決プロトコル（S-UARP）と、セキュアなDHCPプロトコルを提案する。S-UARPプロトコルは、標準ARPと比較して、ネットワークブロードキャストトラフィックを最大9.77倍まで削減し、チャネル利用率を6.50倍まで低下させる。同時に、最適化された暗号化とACKのピグバックによる性能オーヘッドを最小限に抑え、妥当な性能を維持する。

ABSTRACT

For network computers to communicate to one another, they need to know one another's IP address and MAC address. Address Resolution Protocol (ARP) is developed to find the Ethernet address that map to a specific IP address. The source computer broadcasts the request for Ethernet address and eventually the target computer replies. The IP to Ethernet address mapping would later be stored in an ARP Cache for some time duration, after which the process is repeated. Since ARP is susceptible to ARP poisoning attacks, we propose to make it unicast, centralized and secure, along with a secure design of DHCP protocol to mitigate MAC spoofing. The secure protocol designs are explained in detail. Lastly we also discuss some performance issues to show how the proposed protocols work.

研究の動機と目的

• 従来のARPがブロードキャスト依存であり認証機能がないことによる、ポイズニング攻撃に対する脆弱性を是正すること。
• メッセージの整合性チェックを備えた認証済みプロトコルを導入することで、DHCPにおけるMACスプーフィングを排除すること。
• 大規模LANにおける広範なARPブロードキャストが引き起こすネットワーク混雑を軽減すること。
• スケーラビリティを損なわずにセキュリティを強化する、集中型でユニキャストベースのARP代替プロトコルを設計すること。
• 提案されたプロトコルの性能影響を、現実的なネットワーク環境下で評価すること。

提案手法

• ネットワーク全体のブロードキャストを排除するため、ブロードキャストARPリクエストを、集中型で信頼できるDHCPサーバーに送信するユニキャストリクエストに置き換える。
• S-UARPでメッセージの整合性を保証しスプーフィングを防止するために、公開鍵基盤（PKI）を用いた暗号的認証を実装する。
• メッセージ整合性チェック（MIC）と相互認証を備えた、セキュアなDHCPプロトコル（S-DHCP）を導入し、MACスプーフィングを防止する。
• S-UARPにおける追加パケットオーバーヘッドを低減し、チャネル効率を向上させるために、ACKをピグバックする。
• 暗号化手順を通常の操作の2倍のコストとして重み付けした性能モデルを適用し、現実の計算負荷を模擬する。
• S-UARPおよびS-DHCPを、ブロードキャスト削減、チャネル利用率、セッション時間オーバーヘッドなどの指標において、標準ARPおよびDHCPと比較する。

実験結果

リサーチクエスチョン

• RQ1 ARPは、どのように再設計すれば、ブロードキャストベースの脆弱性を排除し、ARPポイズニング攻撃を防止できるか？
• RQ2 集中型でユニキャストベースのプロトコルは、標準ARPと比較して、ネットワークブロードキャストトラフィックをどの程度削減できるか？
• RQ3 S-UARPにPKIとメッセージ整合性チェックを統合することで、MITM攻撃およびスプーフィング攻撃に対する耐性がどの程度向上するか？
• RQ4 MACスプーフィングからDHCPを保護する場合の性能オーヘッドはどの程度で、標準DHCPと比較してどうなるか？
• RQ5 提案されたプロトコルは、実世界のLAN環境において、許容可能な遅延とスケーラビリティを維持できるか？

主な発見

• S-UARPは、ACKパケットを除き、標準ARPと比較してブロードキャストパケット量を平均9.77倍まで削減した。
• ACKピグバックを適用した場合、全体のブロードキャスト削減率は約8.13倍に達し、混雑緩和効果が顕著に現れた。
• 別個のACKパケットを用いたS-UARPでは、チャネルリンク利用率が6.50倍まで低下し、ネットワーク効率の向上が示された。
• 最もセキュアなS-UARPバージョン（S-UARP_3）は、暗号化による性能コストが標準ARPの約2倍に相当するが、依然として実用的である。
• S-DHCPは最小限の性能オーバーヘッドをもたらし、基本バージョン（S-DHCP v1）は最も遅延が少なく、計算コストも低かった。
• 性能モデルにより、暗号化処理が遅延の主な要因であることが確認されたが、ピグバックなどの最適化実装により、その影響を顕著に低減できることが示された。