[논문 리뷰] Network-Destabilizing Attacks

Robert Lychev, Sharon Goldberg외 1명|arXiv (Cornell University)|2012. 03. 08.

Network Traffic and Congestion Control참고 문헌 7인용 수 7

한 줄 요약

이 논문은 인터넷이 광범위한 BGP 잘못 설정과 공격에도 불구하고 안정성을 유지하는 이유를 설명한다. 고정 경로 공격(fixed-route attacks)—공격자가 일관되게 동일한 위조 경로를 선언하는 방식—이 실제 상업적 라우팅 정책 하에서는 BGP의 불안정성을 유도하지 않는다는 점을 보여준다. 저자들은 고객-공급자 계층 구조의 높이가 $x$인 네트워크에서, 모든 공격자가 아닌 노드가 $2x+1$개의 이방적 라운드 내에 안정화됨을 증명하며, 이는 초기 상태와 활성화 스케줄이 임의일지라도 네트워크 전체의 수렴을 보장한다.

ABSTRACT

The Border Gateway Protocol (BGP) sets up routes between the smaller networks that make up the Internet. Despite its crucial role, BGP is notoriously vulnerable to serious problems, including (1) propagation of bogus routing information due to attacks or misconfigurations, and (2) network instabilities in the form of persistent routing oscillations. The conditions required to avoid BGP instabilities are quite delicate. How, then, can we explain the observed stability of today's Internet in the face of common configuration errors and attacks? This work explains this phenomenon by first noticing that almost every observed attack and misconfiguration to date shares a common characteristic: even when a router announces egregiously bogus information, it will continue to announce the same bogus information for the duration of its attack/misconfiguration. We call these the "fixed-route attacks", and show that, while even simple fixed-route attacks can destabilize a network, the commercial routing policies used in today's Internet prevent such attacks from creating instabilities.

연구 동기 및 목표

• 자주 발생하는 BGP 잘못 설정과 공격에도 불구하고 인터넷이 관찰되는 안정성의 이유를 설명하기 위해.
• 공격자가 반복적으로 동일한 위조 경로를 선언하는 고정 경로 공격이 지속적인 라우팅 진동을 일으키지 않는 이유를 규명하기 위해.
• BGP가 이러한 공격에 직면해도 안정성을 유지할 수 있는 조건을 체계화하기 위해.
• 실제 세계의 네트워크 구조에서 상업적 라우팅 정책이 고정 경로 공격이 불안정성을 유도하지 않도록 방지함을 증명하기 위해.

제안 방법

• 도메인 노드 $d$를 갖는 고객-공급자 계층으로 인터넷을 모델링하며, 노드들이 자율 시스템(ASes)을 나타내는 무방향 그래프 $G=(V,E)$를 사용한다.
• 이방적 라운드를 기반으로 한 BGP 실행의 형식적 모델을 도입하며, 노드들이 로컬 정책에 따라 업데이트를 처리하고 경로를 선택한다.
• 경로 수렴의 세 단계를 정의한다: FCR(고정 고객 경로), FPeeR(고정 피어 경로), FPrvR(고정 공급자 경로)로, 각각 특정 수렴 보장을 갖는다.
• 레마를 사용하여, 피어 경로의 경우 $x+1$라운드 내에, 공급자 경로의 경우 $2x+1$라운드 내에 노드가 안정화됨을 보여주며, 여기서 $x$는 고객-공급자 계층의 높이다.
• 실제 상업 라우팅 행동을 모델링하기 위해 '내보내기 정책'과 경로 순위를 도입하여, 유효하고 루프 없는 경로만 고려됨을 보장한다.
• 고정 경로 공격자는 초기 단계부터 동일한 경로를 선언하므로, 계층적 구조와 정책 제약 조건 덕분에 수렴을 방해하지 않는다.

실험 결과

연구 질문

• RQ1 왜 인터넷은 빈번한 BGP 잘못 설정과 공격에도 불구하고 안정성을 유지하는가?
• RQ2 공격자가 일관되게 동일한 위조 경로를 선언하는 고정 경로 공격이 지속적인 BGP 불안정성을 유도할 수 있는가?
• RQ3 고정 경로 공격이 BGP 라우팅을 불안정하게 만들지 않도록 방지하는 구조적 및 정책적 조건은 무엇인가?
• RQ4 고객-공급자 계층에서 모든 공격자가 아닌 노드가 고정 경로로 안정화되기 위해 필요한 이방적 라운드 수는 얼마인가?
• RQ5 초기 상태와 활성화 스케줄이 어떠하든 BGP가 보장된 수렴을 이루기 위한 조건은 무엇인가?

주요 결과

• 피어 경로인 경우, 고객-공급자 계층의 높이 $x$에 따라 모든 공격자가 아닌 노드가 $x+1$개의 이방적 라운드 내에 안정화된다.
• 공급자 경로인 경우, 동일한 계층 제약 조건 하에서 모든 공격자가 아닌 노드가 $2x+1$개의 이방적 라운드 내에 안정화된다.
• 고정 경로 공격은 상업적 라우팅 정책이 오늘날 인터넷에서 사용하는 방식으로, 위조 경로가 선언되더라도 진동을 방지함으로써 불안정성을 유도하지 않는다.
• BPR 세트(최적 경로 기록)에 고정 경로가 포함된 노드가 조기에 수렴하고 후속 안정화에 영향을 주지 않음을 보여주는 레마에 기반한다.
• 수렴 시간은 초기 라우팅 구성과 노드 활성화 스케줄과 무관하여, 강건성을 보장한다.
• 모델은 수렴 경로에서 고객-공급자 사이클이 형성될 수 없음을 증명하며, 이는 루프 없는 라우팅과 안정성을 유지한다.