[论文解读] SABRE: Protecting Bitcoin against Routing Attacks

Maria Apostolaki, Gian Marti+2 more|arXiv (Cornell University)|Aug 19, 2018

Blockchain Technology Applications and Security参考文献 24被引用 8

一句话总结

SABRE 提出了一种针对比特币的、可部分部署的、安全的中继网络，通过在 BGP 保护的、经济上更优的位置托管中继节点，并利用 P4 编程的网络硬件将区块中继任务卸载，从而防范 AS 级别的路由攻击。仅需 6 个节点，SABRE 即可使 80% 的客户端免受 96% 的 AS 攻击者影响。

ABSTRACT

Routing attacks remain practically effective in the Internet today as existing countermeasures either fail to provide protection guarantees or are not easily deployable. Blockchain systems are particularly vulnerable to such attacks as they rely on Internet-wide communication to reach consensus. In particular, Bitcoin -the most widely-used cryptocurrency- can be split in half by any AS-level adversary using BGP hijacking. In this paper, we present SABRE, a secure and scalable Bitcoin relay network which relays blocks worldwide through a set of connections that are resilient to routing attacks. SABRE runs alongside the existing peer-to-peer network and is easily deployable. As a critical system, SABRE design is highly resilient and can efficiently handle high bandwidth loads, including Denial of Service attacks. We built SABRE around two key technical insights. First, we leverage fundamental properties of inter-domain routing (BGP) policies to host relay nodes: (i) in locations that are inherently protected against routing attacks; and (ii) on paths that are economically preferred by the majority of Bitcoin clients. These properties are generic and can be used to protect other Blockchain-based systems. Second, we leverage the fact that relaying blocks is communication-heavy, not computation-heavy. This enables us to offload most of the relay operations to programmable network hardware (using the P4 programming language). Thanks to this hardware/software co-design, SABRE nodes operate seamlessly under high load while mitigating the effects of malicious clients. We present a complete implementation of SABRE together with an extensive evaluation. Our results demonstrate that SABRE is effective at securing Bitcoin against routing attacks, even with deployments as small as 6 nodes.

研究动机与目标

• 解决比特币对 AS 级路由攻击（如 BGP 小号）的脆弱性，此类攻击可能导致网络分区并引发双重支付。
• 设计一种系统，提供强大的安全保证，而无需全球协议变更或广泛部署。
• 通过最少部署（从仅两个中继节点开始）实现早期安全收益。
• 通过软硬件协同设计，保护中继网络本身免受 DDoS 及其他攻击。
• 利用 BGP 策略的固有特性，确保中继节点之间的连接无法被攻击者劫持。

提出的方法

• 在直接对等互联且无客户的 AS 中托管 SABRE 中继节点，确保 BGP 劫持无法重定向中继流量。
• 基于路由吸引力选择中继位置，以最大化客户端连接性并最小化被拦截风险。
• 使用 P4 编程将区块中继操作卸载至可编程网络交换机，降低 CPU 负载并提高吞吐量。
• 实现基于 UDP 的客户端协议，结合动态访问列表和缓存机制，高效响应可预测的、高流量的区块请求。
• 利用区块传播过程中通信密集的特性，优先采用硬件加速，实现在恶意负载下达到 Tbps 级性能。
• 通过在数据平面中缓存频繁请求的区块并处理流量，使系统具备抵御 DDoS 攻击的韧性。

实验结果

研究问题

• RQ1 能否仅通过部分部署和现有互联网基础设施，实现比特币中继网络对 AS 级路由攻击的防护？
• RQ2 能否利用 BGP 策略特性，在天然免疫于 BGP 劫持的位置托管中继节点？
• RQ3 可编程网络硬件（P4）能否有效处理区块中继的通信密集型工作负载，同时缓解 DDoS 攻击？
• RQ4 实现对大多数比特币客户端强保护所需的最少中继节点数量是多少？
• RQ5 能否在不修改比特币协议或全球部署新标准（如 RPKI）的前提下构建一个安全的中继网络？

主要发现

• 在最坏情况的部署场景下，仅需 6 个中继节点，SABRE 即可保护 80% 的比特币客户端，使其免受 96% 的 AS 攻击者影响。
• 当前互联网中超过 2,000 个 AS 由于其 BGP 对等关系且无客户，符合安全中继位置的资格。
• 基于 P4 的硬件卸载设计使 SABRE 节点能够在数据平面处理流量，即使在 DDoS 攻击下也能维持 Tbps 级流量负载。
• 由于中继节点位置的鲁棒性与冗余设计，系统在攻击者控制网络中最多 50% 的 AS 时仍保持有效。
• 基于 UDP 的客户端协议结合动态访问列表和缓存机制，显著降低延迟并提升区块传播的可扩展性。
• SABRE 在无需修改比特币协议或全球部署 BGP 安全扩展（如 RPKI）的前提下，提供了强大的安全保证。