[논문 리뷰] An Internet-Scale Feasibility Study of BGP Poisoning as a Security Primitive.

Jared M. Smith, Kyle Birkeland외 1명|arXiv (Cornell University)|2018. 11. 08.

Network Security and Intrusion Detection참고 문헌 16인용 수 3

한 줄 요약

이 논문은 보안 원리로서의 BGP 풀링을 인터넷 규모의 실증 연구로 수행하여 수천 개의 AS에서 1,400개 이상의 실제 사례를 측정하여 경로 조정 가능성의 실현 가능성을 평가한다. 연구 결과, 실제 BGP 풀링 행동은 시뮬레이션 모델과 다름을 드러내며, 다양한 AS 유형에서 취약성을 노출시키며, 향후 보안 연구에 핵심이 되는 예측 모델과 경로 길이의 상한선을 확립한다.

ABSTRACT

The security of the Internet's routing infrastructure has underpinned much of the past two decades of distributed systems security research. However, the converse is increasingly true. Routing and path decisions are now important for the security properties of systems built on top of the Internet. In particular, BGP poisoning leverages the de facto routing protocol between Autonomous Systems (ASes) to maneuver the return paths of upstream networks onto previously unusable, new paths. These new paths can be used to avoid congestion, censors, geo-political boundaries, or any feature of the topology which can be expressed at an AS-level. Given the increase in BGP poisoning usage as a security primitive, we set out to evaluate poisoning feasibility in practice beyond simulation. To that end, using an Internet-scale measurement infrastructure, we capture and analyze over 1,400 instances of BGP poisoning across thousands of ASes as a mechanism to maneuver return paths of traffic. We analyze in detail the performance of steering paths, the graph-theoretic aspects of available paths, and re-evaluate simulated systems with this data. We find that the real-world evidence does not completely support the findings from simulated systems published in the literature. We also analyze filtering of BGP poisoning across types of ASes and ISP working groups. We explore the connectivity concerns when poisoning by reproducing a decade old experiment to uncover the current state of an Internet triple the size. We build predictive models for understanding an ASes' vulnerability to poisoning. Finally, an exhaustive measurement of an upper bound on the maximum path length of the Internet is presented, detailing how security research should react to ASes leveraging poisoned long paths. In total, our results and analysis expose the real-world impact of BGP poisoning on past and future security research.

연구 동기 및 목표

• 모의 실험 기반 연구를 넘어서 실제 인터넷 환경에서 BGP 풀링이 보안 원리로서 실현 가능한지 평가하기 위해.
• 실제 인터넷 라우팅 환경에서 BGP 풀링이 복귀 경로 선택에 미치는 영향을 이해하기 위해.
• 필터링 정책과 ISP 그룹의 관행이 BGP 풀링 확산에 미치는 영향을 평가하기 위해.
• 10년 전의 실험 프레임워크를 사용하여 현재 인터넷 연결성과 경로 다양성의 상태를 측정하기 위해.
• BGP 풀링에 대한 AS의 취약성을 예측하는 모델을 구축하고, 장거리 풀링 경로에 대한 상한선을 설정하기 위해.

제안 방법

• 수천 개의 자율 시스템(AS)을 대상으로 1,400개 이상의 BGP 풀링 사례를 캡처하고 분석하기 위한 인터넷 규모의 측정 인프라를 구축하였다.
• BGP 업데이트 스트림을 수집하고 분석하여 경로 조정 행동을 재구성하고, 대체 복귀 경로의 성능을 평가하였다.
• 가용 경로 토폴로지 모델링과 풀링된 경로의 구조적 특성 평가를 위해 그래프 이론적 분석을 적용하였다.
• 10년 전의 실험을 재현하여 현재 인터넷의 연결성과 경로 다양성을 평가하였으며, 이는 기존에 비해 세 배로 확대된 규모였다.
• 위치적 및 정책적 특성 기반으로 AS의 BGP 풀링에 대한 취약성을 추정하는 예측 모델을 개발하였다.
• 보안 연구에서 장거리 풀링 경로를 고려할 때의 상한선을 설정하기 위해 인터넷 내 최대 경로 길이를 측정하였다.

실험 결과

연구 질문

• RQ1 모의 환경에 비해 실제 인터넷 배포 환경에서 BGP 풀링의 실현 가능성은 어떠한가?
• RQ2 BGP 풀링이 복귀 경로를 조정하는 데 있어 성능 특성과 신뢰성은 어떠한가?
• RQ3 다양한 유형의 AS와 ISP 워킹 그룹은 BGP 풀링 시도에 대해 어떻게 필터링하거나 반응하는가?
• RQ4 특히 장거리 경로 측면에서 현재 인터넷의 연결성과 경로 다양성 상태는 어떠한가?
• RQ5 위치적 및 정책 기반 특성으로 BGP 풀링에 대한 AS의 취약성을 얼마나 정확하게 예측할 수 있는가?

주요 결과

• 실제 인터넷 환경에서의 BGP 풀링 행동은 시뮬레이션 시스템의 결과와 완전히 일치하지 않으며, 이는 이전의 시뮬레이션 연구가 실현 가능성에 대해 과대평가하거나 잘못된 해석을 했을 수 있음을 시사한다.
• 많은 수의 AS가 여전히 BGP 풀링에 취약하며, 필터링 정책이 ISP 그룹과 AS 유형 간에 크게 다름을 드러낸다.
• 인터넷 내에서 관측된 최대 경로 길이가 이전 추정치를 초월하여, 장거리 풀링 경로가 보안 연구에서 현실적인 우려 사항임을 시사한다.
• BGP 풀링에 대한 AS의 취약성 예측 모델은 측정 가능한 정확도를 달성하여 고위험 네트워크 식별이 가능하다.
• 10년 전 실험의 재현 결과, 인터넷은 세 배로 확장되었으며, 경로 다양성과 복잡성이 증가하여 풀링 결과에 영향을 미친다.
• 특히 라우팅 정책 제약 조건이 존재할 경우, 장거리 또는 비효율적인 경로를 통해 트래픽을 라우팅하기 위해 풀링을 사용할 경우 연결성 문제가 지속됨을 확인하였다.