[论文解读] Validating IP Prefixes and AS-Paths with Blockchains

Ilias Sfirakis, Vasileios Kotronis|arXiv (Cornell University)|Jun 7, 2019

Internet Traffic Analysis and Secure E-voting参考文献 21被引用 6

一句话总结

该论文提出了一种无状态的、基于区块链的系统，可在不修改BGP或RPKI的情况下验证IP前缀分配和BGP AS路径。该系统使用简单的工作量证明区块链来记录并加密验证路由事务，实现对劫持和配置错误的实时检测，且部署开销极低，在标准硬件上可实现低延迟的性能表现，证明了其在真实负载下的可行性。

ABSTRACT

Networks (Autonomous Systems-AS) allocate or revoke IP prefixes with the intervention of official Internet resource number authorities, and select and advertise policy-compliant paths towards these prefixes using the inter-domain routing system and its primary enabler, the Border Gateway Protocol (BGP). Securing BGP has been a long-term objective of several research and industrial efforts during the last decades, that have culminated in the Resource Public Key Infrastructure (RPKI) for the cryptographic verification of prefix-to-AS assignments. However, there is still no widely adopted solution for securing IP prefixes and the (AS-)paths leading to them; approaches such as BGPsec have seen minuscule deployment. In this work, we design and implement a Blockchain-based system that (i) can be used to validate both of these resource types, (ii) can work passively and does not require any changes in the inter-domain routing system (BGP, RPKI), and (iii) can be combined with currently available systems for the detection and mitigation of routing attacks. We present early results and insights w.r.t. scalability.

研究动机与目标

• 解决BGP安全机制（如BGPsec）缺乏广泛部署的问题，以及RPKI在检测多跳AS路径篡改方面的局限性。
• 设计一种轻量级、无状态的区块链系统，无需修改BGP或RPKI，即可验证IP前缀分配和BGP路径公告。
• 支持渐进式部署，并与现有路由验证系统（如RPKI和BGP劫持检测工具）集成。
• 确保在典型互联网控制平面流量负载下具备可扩展性和实时性能。
• 提供一个开源原型，可在最小硬件要求下于真实环境中进行测试。

提出的方法

• 系统将IP前缀分配、撤销以及BGP路径公告/撤回作为不可篡改的事务记录在无需许可的区块链上，采用工作量证明（PoW）机制。
• 每笔事务均经过密码学签名，并与前一区块链接，形成一个防篡改的路由状态变更账本。
• 系统以被动方式运行，通过观察BGP更新并将之转换为区块链事务，不修改BGP或路由协议。
• 通过检查事务的密码学生效性及其在区块链中的包含情况来执行验证，从而检测无效或欺诈性公告。
• 区块链部署于标准服务器上，通过在不同PoW难度级别下评估挖矿性能，以评估可扩展性和响应能力。
• 系统可通过摄入路由起源授权（ROAs）作为真实数据源，与RPKI实现互操作，并将验证结果提供给外部劫持检测工具。

实验结果

研究问题

• RQ1 无状态的区块链系统是否能有效验证IP前缀分配和BGP AS路径公告，而无需修改BGP或RPKI？
• RQ2 在真实互联网规模的事务负载下，特别是在突发性BGP更新事件期间，系统性能如何？
• RQ3 调整PoW难度时，挖矿速度（延迟）与区块链安全性之间的权衡关系如何？
• RQ4 系统在多大程度上可实现渐进式部署，并与现有路由安全机制集成？
• RQ5 区块链是否能在商品硬件上实现可接受性能的实时路由事务验证？

主要发现

• 系统成功记录并验证了BGP路径公告与撤回，以及IP前缀的分配与撤销，实现了端到端的密码学完整性。
• 在PoW难度为4个前导零时，BGP路径公告的平均挖矿延迟为0.2秒，难度提升至6个前导零时上升至54.7秒，清晰展示了速度与安全性之间的权衡。
• 系统可在标准硬件（4个CPU核心，16GB内存）上处理真实事务负载，中等至高负载下未出现积压。
• 在5个前导零难度下，平均挖矿时间为3.1秒，第90百分位为8秒，表明在可变工作负载下性能稳定。
• 系统支持实时验证，事务在广播后立即被检查，适用于实时劫持检测。
• 原型为开源，且与RPKI兼容，可使用ROAs作为真实数据源，并增强现有检测流水线。