可绕过公共监视器的注入式子前缀劫持

如今的互联网由数万个AS（Autonomous System，自治系统）相互连接而形成，每个AS代表一个独立的网络。BGP（Border Gateway Protocol，边界网关协议）是目前所有AS采用的域间路由协议，主要用于在AS之间交换关于网络前缀的可达性信息。然而BGP缺乏认证机制，于是攻击者AS可以伪造并传播虚假的路由信息，劫持其他AS发往受害者的合法流量，这称为“前缀劫持”。近年来，前缀劫持事件仍在不断发生，对互联网的安全造成了极大威胁。因此许多工作研究了可能的攻击方式和防御方法来促进源路由安全的提升。目前已有的防御方式主要分为两类，第一类是预防性的安全机制，如BGPsec^[14]，ROV^[15]等，但是这些安全机制部署成本过高，且依赖于全球AS之间的协调，短时间内很难全面部署。第二类防御方式是检测+人工缓解，其中控制平面检测可行性最佳，检测效果最好，但是依赖于公共路由收集器基础设施（即RouteViews、RIPE RIS）观测并公开的路由数据，所以公共监视器是否能够观测到虚假路由（可见性）对于检测劫持至关重要。

于是，一些劫持攻击相关工作考虑了如何控制前缀劫持的传播和影响范围，来减少前缀劫持对于公共监视器的可见性，如图1所示，这些方法对于控制劫持攻击的可见性有一定作用，但是它们往往难以实现或者攻击影响较小，且不能确保对于公共监视器完全不可见。

图1. 隐蔽式劫持的相关工作

BGP中存在一种隐藏劫持现象:理论上虚假子前缀的传播范围是全网，但是由于安全机制和过滤机制的部分部署，少部分AS可能学习不到虚假子前缀的路由，但是由于最长前缀匹配原则，它的流量在经过被污染AS后仍会被劫持。如图2所示，AS 2过滤了虚假子前缀，但是AS 1的流量在经过AS 3时仍被劫持。

图2.  BGP中的隐藏劫持现象

受隐藏劫持现象的启发，我们考虑如何控制子前缀劫持的可见性。具体来说，我们提出了一种注入式子前缀劫持攻击。

攻击方法的主要思想是：攻击者将虚假子前缀路由注入邻居AS，通过精心构造的BGP属性来控制路由不继续向外传播，以防止被公共监视器发现。具体的实现方式有两种，第一种是通过BGP communities，如图3（a）所示，利用公认必遵的NO_EXPORT标签，攻击者AS a传播的虚假子前缀路由在污染AS n后停止了传播。第二种是通过AS path poisoning，毒害了AS n的所有邻居，也可以防止虚假子前缀路由的进一步向外传播，如图3（b）所示。而这两种方式都能劫持AS z的流量，即使AS z没有被虚假路由污染。并且由于我们严格控制了传播，保证了全网的公共监视器对此次攻击无法察觉。

图3. 注入式子前缀劫持

除此之外，在一般的劫持攻击中，攻击者一旦劫持了流量后就会进行简单的丢弃或者扣留分析。而Ballani等人^[7]提出了一种拦截式中间人攻击，在攻击者劫持流量后，考虑如何将流量转发给合法源AS，从而使攻击更加隐蔽。我们之前提出的攻击方式可以很方便地实现这样的攻击扩展，如图4所示。攻击者AS a可以只将虚假前缀注入到AS n，而选择保留经过AS m的合法路径。这样当AS a劫持AS z的流量后就能将其从AS m转发回合法源。

图4. 攻击扩展方法

首先我们分析不同层级AS使用这种新型攻击方法的攻击能力。我们通过广泛使用的模拟方法分析了这种攻击方法的影响范围，如图5所示。Sermpezis等人^[6]通过模拟实验表明影响超过全球2% AS的劫持对于公共监视器始终是可见的。然而通过我们的攻击方法，在保证攻击对于公共监视器不可见的前提下，一个Tier-1的AS能平均劫持24.34%的全球AS，远超之前提出的影响阈值。

图5. 不同层级AS的攻击能力

然后，我们分析了影响攻击者能力的不同指标。具体来说，我们提出了影响攻击者能力的三种关键性指标，如下所示，然后探究其中哪个影响最大。

1、AS degree（AS的邻居数目）

2、Customer Cone size（客户锥大小）

3、Adjacent Cone size（定义为相邻非监视器AS的客户锥大小和）

我们按照这三个指标进行排序，分别挑选了排名相同的1000多个AS，图6为三个集合攻击能力的CDF图。如图所示，可以发现我们定义的Adjacent Cone size指标更能反映攻击者能力，即一个攻击者AS的能力和它所有邻居的情况相关性更大。

图6. 不同指标所选出集合的攻击能力对比

接下来我们初步分析关于这种攻击的几种可能防御策略。

1、采用更加严格的过滤机制

当发现邻居的BGP消息试图控制本AS的传播，或者发现这条路由在一段时间内所有的公共路由器都没有发现，则认为这条路由是可疑的。可疑路由应该向对应前缀的合法源AS进行验证问询，或者直接丢弃。

2、使用更加精确的ROA记录

RPKI体系对于防御子前缀劫持具有一定的作用。所以应加快ROA和ROV的部署，并使用更加精确的ROA记录，这种方式能从根本上防御子前缀劫持。

3、部署更多的公共监视器

部署更多的监视器在一定程度上对检测防御普通的前缀劫持攻击有效，但是由于我们的新型攻击只污染邻居，所以这种防御策略的作用客观上比较有限。

在本文中，我们提出了一种新颖的前缀劫持攻击方式——注入式子前缀劫持。这种攻击方式能够绕过公共监视器的观察，使其难以被检测和防御。具体来说，我们提出了实现这种新型攻击方式的两种具体手段并解释了攻击如何生效。之后，我们通过实验数据展示了这种新型攻击的影响较大，我们认为相关协议制定组织和网络管理者应该使用更加完善的防御策略来增强域间路由的安全性。

参考文献

[1] C. McArthur and M. Guirguis, “Stealthy ip prefix hijacking: don’t bite off more than you can chew,” in GLOBECOM 2009-2009 IEEE Global Telecommunications Conference, 2009, pp. 1-6.

[2] H. Birge-Lee, L. Wang, J. Rexford, and P. Mittal, “Sico: Surgical interception attacks by manipulating bgp communities,” in Proceedings of the 2019 ACM SIGSAC Conference on Computer and Communications Security, 2019, pp. 431-448.

[3] A. Milolidakis, “Understanding the Capabilities of Route Collectors to Observe Stealthy Hijacks: Does adding more monitors or reporting more paths help?,” Licentiate dissertation, KTH Royal Institute of Technology, Stockholm, 2022.

[4] R. Morillo et al., “ROV++: Improved Deployable Defense against BGP Hijacking,” in NDSS, 2021.

[5] X. Shi, Y. Xiang, Z. Wang, X. Yin, and J. Wu, “Detecting prefix hijackings in the internet with argus,” in Proceedings of the 2012 Internet Measurement Conference, 2012, pp. 15-28.

[6] P. Sermpezis et al., “ARTEMIS: Neutralizing BGP hijacking within a minute,” IEEE/ACM Transactions on Networking, vol. 26, no. 6, pp. 2471-2486, 2018.

[7] H. Ballani, P. Francis, and X. Zhang, “A study of prefix hijacking and interception in the Internet,” ACM SIGCOMM Computer Communication Review, vol. 37, no. 4, pp. 265-276, 2007.

[8] Z. Zhang, Y. Zhang, Y. C. Hu, Z. M. Mao, and R. Bush, “iSPY: Detecting IP prefix hijacking on my own,” in Proceedings of the ACM SIGCOMM 2008 conference on Data Communication, 2008, pp. 327-338.

[9] C. Zheng, L. Ji, D. Pei, J. Wang, and P. Francis, “A light-weight distributed scheme for detecting IP prefix hijacks in real-time,” ACM SIGCOMM Computer Communication Review, vol. 37, no. 4, pp. 277-288, 2007.

[10] M. Lad et al., ”PHAS: A Prefix Hijack Alert System,” USENIX Security symposium, vol. 1, no. 2, p. 3, 2006.

[11] J. Li, T. Ehrenkranz, and P. Elliott, “Buddyguard: A buddy system for fast and reliable detection of IP prefix anomalies,” in 2012 20th IEEE International Conference on Network Protocols (ICNP), 2012, pp. 1-10.

[12] T. Shapira and Y. Shavitt, “A deep learning approach for IP hijack detection based on ASN embedding,” in Proceedings of the Workshop on Network Meets AI & ML, 2020, pp. 35-41.

[13] J. Schlamp, R. Holz, Q. Jacquemart, G. Carle, and E. W. Biersack, “HEAP: reliable assessment of BGP hijacking attacks,” IEEE Journal on Selected Areas in Communications, vol. 34, no. 6, pp. 1849-1861, 2016.

[14] M. Lepinski (Ed.) and K. Sriram (Ed.), “BGPsec Protocol Specification,” RFC 8205, September 2017.

[15] P. Mohapatra, J. Scudder, D. Ward, R. Bush, and R. Austein, “BGP Prefix Origin Validation,” RFC 6811, January 2013.

 END

精彩推荐

互联网交换中心影响力的测量

针对无服务器计算中内部Denial-of-Wallet攻击的快速准确检测算法

基于矩阵补全的缺失AS链路预测方法