De nouvelles idées pour réduire la menace des attaques Internet
Les vulnérabilités du BGP peuvent être exploitées pour provoquer un routage incorrect. Les opérateurs réseau ont recours au BGP sécurisé (S*BGP), qui apporte une approche complète pour résoudre de nombreux problèmes de sécurité du BGP. Toutefois, le déploiement de cette variante sécurisée du BGP présente des problèmes. Pour examiner cette question et les vulnérabilités connexes tels que les fournisseurs de services internet (FSI) mal configurés, le projet SIRENS (Securing internet routing: Economics vs. network security), financé par l'UE, s'est attaché à régler deux obstacles majeurs à la mise au point d'un protocole de routage sécurisé: le choix du protocole et la création d'incitations financières pour son déploiement. Les partenaires du projet ont conçu trois modèles de sécurité adaptés à un routage basé sur un S*BGP partiellement déployé. Une enquête auprès de 100 opérateurs réseau a révélé que la majorité ne choisit le modèle favorisant le routage sécurisé que s'il n'existe aucune autre solution non sécurisée plus rapide ou plus économique. L'équipe a ensuite créé un modèle de menace ainsi qu'un indicateur permettant de mesurer sa sécurité. L'équipe du projet SIRENS a mis au point un cadre méthodologique innovant, reliant les améliorations optimales en matière de sécurité autorisées par chaque modèle de routage et chaque scénario de déploiement. Elle a conduit des simulations pour évaluer la sécurité dans les scénarios proposés et pour déterminer la cause des améliorations de sécurité. L'équipe a aussi conçu des algorithmes de simulation parallèle pour prendre en compte des paramètres tels que les auteurs de l'attaque, les cibles, les scénarios de déploiement et les politiques de routage. Les chercheurs ont obtenu plusieurs résultats essentiels. Les attaques par déclassement de protocole ont été si performantes qu'elles ont rendu certains déploiements S*BGP inefficaces. Les interactions entre les règles de topologie et de routage ont fait que certains systèmes autonomes ont succombé à des attaques qui auraient été évitées si le S*BGP n'avait pas été déployé. Le déploiement d'un S*BGP simple et allégé comme solution de remplacement au S*BGP complet n'a pas d'effet négatif sur la sécurité. Les fournisseurs de services Internet de couche 2 devraient être les premiers à adopter le S*BGP, contrairement aux précédentes études préconisant une adoption par les fournisseurs de couche 1. SIRENS a abordé le besoin pressant de sécuriser le routage, de développer l'implémentation du prototype déployable en source ouverte de validation de fin d'accès. Le déploiement d'un protocole de routage sécurisé est en bonne voie. Il devrait apporter des avantages plus évidents aux entreprises qui seront les premières à l'adopter.
Mots‑clés
Protocole de passerelle à la frontière, routage internet, FSI, SIRENS, sécurité réseau
