[发明专利]高效的边界网关路由协议路径鉴定方法

说明书

技术领域

本发明属于互联网技术领域，涉及域间路由协议安全领域，具体涉及一种高效的边界网关路由协议路径鉴定方法。

背景技术

互联网由上万个独自运维的自治系统AS(Autonomous System)构成。边界网关协议BGP(Border Gateway Protocol)控制着AS之间的报文转发路径，对互联网的可靠性有着及其重要的影响。但是，由于在设计之初并没有考虑安全性，BGP面临着诸多的安全问题，而且这些问题至今没有被很好的解决。

具体来说，由于从邻居AS接收到的路由信息无法进行验证，恶意AS通过宣告伪造的路由，使得报文沿着错误的路径转发，从而达到丢弃、伪造或窃取敏感信息的目的。例如，美国国防部拥有的地址前缀经常被注册于俄罗斯等国家的AS所劫持。另外，网络管理人员的误配置也经常导致前缀劫持，并造成严重的经济损失。例如，2008年4月，巴基斯坦电信劫持了YouTube的地址前缀，致使其在2个小时内不能被正常访问。

为了增强BGP协议的安全性，研究者提出了一系列的安全扩展方案。这些方案分为两类：异常检测和加密鉴定。异常检测方案旨在通过统计分析发现异常路由信息，但这类方案不能保证安全性和正确性，而且往往缺乏实时性。加密鉴定方案通常基于公钥基础设施PKI(Public Key Infrastructure)来验证路由签名信息的正确性，此类方案已经被互联网标准化组织IETF(Internet Engineering Task Force)所认同。诸如S-BGP(Secure-BGP)在内的许多方案都属于这一类。

S-BGP是本研究领域现有的主要方案，该方案中对路由信息的加密鉴定包括两部分：源鉴定和路径鉴定。源鉴定是指通过签名信息来验证特定前缀能被特定的源AS通告。路径鉴定是指通过签名来验证路由信息中AS路径的正确性。由于前缀的数量远远少于路径的数量，而且大部分前缀的源AS非常稳定，源鉴定的签名信息可以被预先计算并通过BGP更新消息之外的方式在各AS之间传播，其计算开销可以承受。然而，AS路径的庞大数量及其多变性，使得对路径进行加密鉴定需要占用大量的计算和存储开销，从而严重恶化了域间路由的收敛性能。鉴于此，研究者已经提出了一系列S-BGP的替代方案，以降低路径鉴定的开销，例如soBGP(Secure Origin BGP)、IRV(Inter-domain Route Validation)、SPV(Secure Path Vector)和S-A(Signature Amortization)等。但是，上述前三种方法在安全性上存在很大的妥协，而第四种方法会显著地复杂化公钥证书的分发，增加对PKI设施的压力。

因此，需要本领域研究人员迫切解决的一个问题就是：如何能在实现边界网关协议路径鉴定的同时降低计算开销。本发明提出了一种高效的边界网关路由协议路径鉴定方法：首先，通过对AS路径中相邻AS三元组进行签名，实现对可行路径的鉴定；与此同时，通过对非最优路径进行保护，实现和S-BGP相同的安全等级。由于AS三元组的数量远远小于AS路径的数量，使用很小的缓存即能显著地降低路径鉴定过程中签名和验证的计算开销。根据在实际网络中的骨干网路由器上进行测量发现，本发明提供的方法能够将S-BGP中的计算开销降低约两个数量级。即使在发生大规模突发性BGP更新的情况下，本发明提出的方法也几乎不会延迟路由信息的传播。另外，本发明提供的方法易于扩展，以提供对复杂路由策略的支持和对邻居AS的监督。与S-BGP相同的是，本发明提供的方法同样利于对AS的商业敏感数据进行保护。

发明内容

为了克服上述现有技术的不足，本发明的目的在于提供一种高效的边界网关路由协议路径鉴定方法，首先，通过对自治系统路径中相邻自治系统三元组进行签名，实现对可行路径的鉴定，并显著降低签名和验证的计算开销；与此同时，通过对非最优路径进行保护，实现和S-BGP相同的安全等级。

为了实现上述目的，本发明采用的技术方案是：

步骤1：BGP路由器通告自身自治系统拥有的前缀的路由时进行签名，该步骤依次包含以下各子步骤：

步骤1.1：将第m₀个BGP路由器r₀所在的自治系统记为a₀，r₀准备通告的自治系统路径记为p₀＝<a₀>，以a₀结尾的自治系统路径中a₀出现的次数记为k(a₀)；