基于协同的域间路由路径真实性验证机制

BGP节点在交互路由信息的过程中,不对AS_PATH属性的真实性进行验证,致使恶意节点可以通过发布伪造路由对特定自治域施加恶意影响.尽管已有多种方案提出,但都不能有效应对伪造AS_PATH类型攻击的问题.为此,提出一种基于协同查询的域间路由路径真实性验证机制DAIR.该机制的参与节点通过查询全局邻接信息和对等节点的邻接信息,验证更新报文AS_PATH属性的真实性.分析与实验结果表明,DAIR能够有效地防范自治系统遭受AS_PATH伪造或篡改攻击,且仅需少数核心节点参与即可获得很好效果.

一种基于责任域的安全路由体系

为了解决前缀劫持、路由伪造和源地址欺骗问题,设计了一种路由体系——基于责任域的安全路由体系(accountability realm based secure routing architecture,简称Arbra).首先,提出了自治系统到责任域的映射方法和基于责任域的两级路由结构,责任域是具有独立管理主体的网络,也是Arbra网络拓扑的基本元素,因为它为内部用户的网络行为负责,所以称做责任域;其次,建立了基于责任域的路由体系设计框架,主要包括混合寻址方案、核心路由协议、标签映射协议、分组转发流程和公钥管理机制等研究内容;最后,比较了Arbra和其他著名路由结构(IPv4/v6,LISP,AIP)的异同,分析了Arbra的安全性、可扩展性、通信性能和部署代价.研究结果表明:(1)Arbra具有的分布式信任模型,不仅有利于抵御前缀劫持、路由伪造和源地址欺骗攻击,而且还给许多其他网络安全问题的解决奠定了基础;(2)Arbra具有优良的可扩展性,路由表的规模较小;(3)Arbra具有合理的通信性能和部署代价.该研究成果可以看做是以网络安全为视角对未来信息网络体系结构的有益探索.