[논문 리뷰] Validating IP Prefixes and AS-Paths with Blockchains

Ilias Sfirakis, Vasileios Kotronis|arXiv (Cornell University)|2019. 06. 07.

Internet Traffic Analysis and Secure E-voting참고 문헌 21인용 수 6

한 줄 요약

이 논문은 BGP나 RPKI를 수정하지 않고도 IP 프리픽스 할당과 BGP AS-path를 검증하는 수동적 블록체인 기반 시스템을 제안한다. 단순한 작업 증명 블록체인을 사용해 라우팅 거래를 기록하고 암호학적으로 검증함으로써, 최소한의 구현 부담으로 실시간 히잡 및 잘못된 설정을 탐지할 수 있으며, 표준 하드웨어에서 낮은 지연 시간으로 현실적인 부하 조건에서도 기술적 타당성을 입증한다.

ABSTRACT

Networks (Autonomous Systems-AS) allocate or revoke IP prefixes with the intervention of official Internet resource number authorities, and select and advertise policy-compliant paths towards these prefixes using the inter-domain routing system and its primary enabler, the Border Gateway Protocol (BGP). Securing BGP has been a long-term objective of several research and industrial efforts during the last decades, that have culminated in the Resource Public Key Infrastructure (RPKI) for the cryptographic verification of prefix-to-AS assignments. However, there is still no widely adopted solution for securing IP prefixes and the (AS-)paths leading to them; approaches such as BGPsec have seen minuscule deployment. In this work, we design and implement a Blockchain-based system that (i) can be used to validate both of these resource types, (ii) can work passively and does not require any changes in the inter-domain routing system (BGP, RPKI), and (iii) can be combined with currently available systems for the detection and mitigation of routing attacks. We present early results and insights w.r.t. scalability.

연구 동기 및 목표

• BGPsec와 같은 BGP 보안 메커니즘의 광범위한 도입 부족과 RPKI가 다단계 AS-path 조작을 탐지하는 데 한계가 있다는 문제를 해결하기 위해.
• BGP나 RPKI를 수정하지 않고도 IP 프리픽스 할당 및 BGP 경로 공표를 검증할 수 있는 경량이고 수동적인 블록체인 시스템을 설계하기 위해.
• 기존 라우팅 검증 시스템(예: RPKI 및 BGP 히잡 탐지기)과의 점진적 통합 및 연동을 가능하게 하기 위해.
• 일반적인 인터넷 제어 평면 트래픽 부하 조건에서도 확장성과 실시간 성능을 확보하기 위해.
• 최소한의 하드웨어 요구 조건으로 실제 환경에서 테스트할 수 있는 오픈소스 프로토타입을 제공하기 위해.

제안 방법

• 시스템은 작업 증명(PoW)을 사용해 IP 프리픽스 할당, 취소, BGP 경로 공표/취소를 불변성 있는 거래로 기록하는 허가 없는 블록체인에 기록한다.
• 각 거래는 암호학적으로 서명되고 이전 블록과 연결되어, 라우팅 상태 변화의 위변조 방지 레지스트리가 된다.
• 시스템은 수동적으로 작동하며, BGP 업데이트를 관찰하고 이를 블록체인 거래로 변환함으로써 BGP나 라우팅 프rotocol를 수정하지 않는다.
• 검증은 거래의 암호학적 무결성과 블록체인 내 포함 여부를 확인함으로써 이루어지며, 잘못되거나 위조된 공표를 탐지할 수 있다.
• 블록체인은 표준 서버에서 호스팅되며, 다양한 PoW 난이도 수준에서 마이닝 성능을 평가하여 확장성과 반응성의 타당성을 분석한다.
• 시스템은 RPKI와의 상호운용성을 위해 경로 기원 승인(ROA)을 기준 사실로 수신하고, 검증 결과를 외부 히잡 탐지 도구에 공급할 수 있다.

실험 결과

연구 질문

• RQ1 BGP나 RPKI를 수정하지 않고도 수동적 블록체인 시스템이 IP 프리픽스 할당과 BGP AS-path 공표를 효과적으로 검증할 수 있는가?
• RQ2 특히 급격한 BGP 업데이트 이벤트가 발생할 경우, 실제 인터넷 규모의 트랜잭션 부하 조건에서 시스템의 성능은 어떠한가?
• RQ3 PoW 난이도를 조정할 때 마이닝 속도(지연 시간)와 블록체인의 강건성 사이의 상호 교환 관계는 어떠한가?
• RQ4 시스템은 기존 라우팅 보안 메커니즘과 얼마나 점진적으로 통합 및 배포할 수 있는가?
• RQ5 상용 하드웨어에서 합리적인 성능을 확보하면서도 실시간으로 라우팅 거래를 검증할 수 있는가?

주요 결과

• 시스템은 IP 프리픽스 할당 및 취소, BGP 경로 공표 및 철회를 모두 끝에서 끝까지 암호학적 무결성과 함께 기록하고 검증하는 데 성공했다.
• PoW 난이도가 4개의 앞선 0을 가질 경우 BGP 경로 공표에 대한 마이닝 지연 평균은 0.2초였고, 6개의 앞선 0으로 증가할 경우 54.7초로 증가하여 속도와 보안 사이의 명확한 상충 관계를 입증했다.
• 표준 하드웨어(4개의 CPU 코어, 16GB RAM)에서도 현실적인 트랜잭션 부하를 처리할 수 있었으며, 중간에서 높은 부하 조건에서도 백로그가 발생하지 않았다.
• 5개의 앞선 0일 경우 평균 마이닝 시간은 3.1초였고, 90프cntile는 8초였으며, 이는 변동성이 큰 워크로드 조건에서도 일관된 성능을 보임을 시사한다.
• 시스템은 실시간 검증이 가능하며, 거래가 방송된 즉시 검증되기 때문에 실시간 히잡 탐지에 적합하다.
• 프로토타입은 오픈소스이며 RPKI와 호환되어 ROA를 기준 사실로 사용하고 기존 탐지 파이프라인을 강화할 수 있다.