[论文解读] Rpkiller: Threat Analysis from an RPKI Relying Party Perspective

Koen van Hove, Jeroen van der Ham+1 more|arXiv (Cornell University)|Mar 2, 2022

Network Security and Intrusion Detection被引用 6

一句话总结

本文從惡意證書頒發機構（CA）與發佈點的觀點出發，對 RPKI 依賴方（RP）軟體進行了全面的威脅分析。作者建立威脅模型，建立測試平台以模擬 15 種攻擊向量，並證明所有八款評估的 RP 實作均至少易受一種攻擊影響，使全球 RPKI 可用性面臨中斷風險。

ABSTRACT

The Resource Public Key Infrastructure (RPKI) aims to secure internet routing by creating an infrastructure where resource holders can make attestations about their resources. RPKI Certificate Authorities issue these attestations and publish them at Publication Points. Relying Party software retrieves and processes the RPKI-related data from all publication points, validates the data and makes it available to routers so they can make secure routing decisions. In this work, we create a threat model for Relying Party software, where an attacker controls a Certificate Authority and Publication Point. We implement a prototype testbed to analyse how current Relying Party software implementations react to scenarios originating from that threat model. Our results show that all current Relying Party software was susceptible to at least one of the identified threats. In addition to this, we also identified threats stemming from choices made in the protocol itself. Taken together, these threats potentially allow an attacker to fully disrupt all RPKI Relying Party software on a global scale. We performed a Coordinated Vulnerability Disclosure to the implementers and have made our testbed software available for future studies.

研究动机与目标

• 識別並分析當存在惡意證書頒發機構與發佈點時，針對 RPKI 依賴方軟體的威脅。
• 調查因 RFC 規範中遺漏所導致的 RPKI 軟體實作層級弱點。
• 評估現有開源依賴方實作對惡意實體進行協定層級濫用的韌性。
• 執行協調式弱點披露，並針對無法單純透過軟體修補解決的系統性問題提出協定層級防護措施。
• 評估這些弱點對全球 RPKI 部署與更新實務的實際影響。

提出的方法

• 建立詳細的威脅模型，專注於不誠實證書頒發機構與發佈點在 RPKI 生態系中的能力。
• 設計並實作概念驗證測試平台，以模擬源自威脅模型的 15 種攻擊向量。
• 使用測試平台對八款開源依賴方軟體實作進行廣泛測試，以評估弱點暴露程度。
• 與 NCSC-NL 協調執行弱點披露（CVD）流程，通知所有主要 RP 實作開發者，並給予時間修復。
• 提出對 RPKI 規範的擴充，以解決單純依賴軟體修補無法解決的協定層級弱點。
• 分析 RIPE NCC 提供的實際部署資料，評估生產環境中受影響 RP 軟體的普遍性與影響程度。

实验结果

研究问题

• RQ1 存在哪些攻擊向量可讓惡意證書頒發機構與發佈點中斷依賴方軟體的運作？
• RQ2 RPKI 軟體規範中的實作缺口在多大程度上導致可被利用的弱點？
• RQ3 這些威脅在主要開源實作中對依賴方軟體的暴露程度如何？
• RQ4 RPKI 中存在哪些系統性協定層級弱點，即使實作正確仍可能引發大規模中斷？
• RQ5 當生產環境中軟體更新延遲時，協調式弱點披露在降低風險方面的有效性如何？

主要发现

• 所有八款評估的開源依賴方軟體實作均至少易受威脅模型中 identified 的 15 種攻擊向量之一影響。
• 最嚴重的弱點源於協定層級的設計選擇，例如對 RPKI 資料結構與信任鏈處理的驗證不足。
• 大量系統管理員在公開披露後延遲更新其依賴方軟體，顯示更新週期長，增加暴露風險。
• 測試平台顯示，惡意發佈點可透過格式錯誤或精心設計的 RPKI 數據，導致依賴方軟體出現拒絕服務或資料損壞。
• 四款主要依賴方實作佔當時活躍 RPKI 客戶端的 98.5%，凸顯大規模中斷的系統性風險。
• 儘管執行協調式披露，仍有兩個項目（rpstir2 與 rcynic）未回應或更新軟體，使其永久暴露於已識別威脅之下。