问答文章1 问答文章501 问答文章1001 问答文章1501 问答文章2001 问答文章2501 问答文章3001 问答文章3501 问答文章4001 问答文章4501 问答文章5001 问答文章5501 问答文章6001 问答文章6501 问答文章7001 问答文章7501 问答文章8001 问答文章8501 问答文章9001 问答文章9501

寻找OSPF路由协议的安全性的--文献综述

发布网友 发布时间:2022-04-11 19:25

我来回答

2个回答

热心网友 时间:2022-04-11 20:54

OSPF路由协议是网络上应用最为广泛的链路状态协议之一,用于在网络上分发路由信息,但是这个担负着因特网上路由信息分发任务的重要协议在其制定之初并没有有效的安全手段.为此,IETF提出了数字签名保护的OSPF路由协议.阐述了数字签名保护的OSPF协议的设计思想和实现技术,构筑了带数字签名保护功能的路由器组成的实验网络,对路由协议的数字签名方案进行了仿真试验并得到了系统的数据,在此基础上分析了数字签名保护的OSPF协议的安全特性.
第 23卷 第 4期
2007年 8月 哈 尔 滨 商 业 大 学 学 报 (自然科学版 )
Journa l of Harb i n Un i versity of Commerce ( Na tura l Sc i ences Ed iti on)
Vol . 23 No . 4
Aug . 2007
收稿日期: 2006 - 05 - 22.
作者简介:李长山,男,博士,高级工程师,硕士生导师,研究方向:虚拟现实技术、 计算机网络安全 1
数字签名保护的 OSPF路由协议的安全性研究
李长山1
, 钱志军2
,杨友红2
(1 . 大庆石*理局信息中心 ,黑龙江 大庆 153453; 2 .大庆石油学院 计算机与信息工程学院 ,黑龙江 大庆 163453)
摘 要:OSPF路由协议是网络上应用最为广泛的链路状态协议之一 ,用于在网络上分发路由信息 ,但
是这个担负着因特网上路由信息分发任务的重要协议在其制定之初并没有有效的安全手段.为此 ,
IETF提出了数字签名保护的 OSPF路由协议.阐述了数字签名保护的 OSPF协议的设计思想和实现
技术 ,构筑了带数字签名保护功能的路由器组成的实验网络 ,对路由协议的数字签名方案进行了仿真
试验并得到了系统的数据 ,在此基础上分析了数字签名保护的 OSPF协议的安全特性.
关键词:路由器;开放最短路径优先;自治系统;最大年龄;数字签名;链路状态通告
中图分类号: TP393 文献标识码:A 文章编号: 1672 - 0946 (2007) 04 - 00484 - 04
Research on security of OSPF routi ng protocol wi th di gi t al si gnature protecti on
L IChang2 Shan
1
,QI AN Zhi2jun
2
, Y ANG You2 hong
2
(1 . I nfor mati on Center,Daqing Petr oMinistrati on Bureau,Daqing 163453, China; 2 . School of
Computer and I nformati on Engineering, Daqing Petr oleum I nstitute, Daqing 163453, China)
Abstract: OSPF r outing p rot ocol is one of the most popular link2state p r ot ocol . The routing
p r ot ocol which is used t o disseminate routing infor mati on throughout the I nternet is not p ro2
tected fr om intruders or faulty routers . For these reas ons, the IETF add a digital signature
p r otecti on t o the OSPF . This paper analyses the secure characteristics and the i mp lementa2
ti on of the OSPF r outing p rot ocolwith digital signature p rotecti on, construct a r oute net work
with four digital signature p rotecti on’ sOSPF router . And analyzes these data which achieved
from the experi ment .
Key words: r outer ;OSPF; AS;max age; digital signature; LSA
出于路由协议安全性的考虑 ,人们普遍认为有
必要加强目前路由协议略显单薄的安全性.开放最
短路径优先路由协议 (Open Shortest Path First ,OS2
PF)作为一种最为普遍使用的内部网关路由协议
( IGP) ,其提供了简单密钥认证 ,而对邻居间传送
分组实行 MD5密钥认证的工作则正在进行之
中[ 1 ]
.简单密钥认证是一种不安全的认证措施 ,因
为密钥传播过程中任何人都可以截获、 并使用它.
MD5密钥认证是一种较为有效的认证措施 ,但是
它不能够提供路由信息来源准确性的保证[ 2 ]
.
自治系统中出现的路由信息安全问题主要有
两个:第一 ,入侵者对路由信息的篡改、 删除 ,或冒
充网络中的路由器发送虚假路由信息;第二是出现
故障的路由器 ,而我们并不知道该路由器出现了故
障.
基于上述的安全隐患 , IETF提出了对 OSPF实
现数字签名保护的策略.数字签名 OSPF的核心是
对 OSPF的 LSA (L ink State Advertisement)进行签
名. 签名过后的信息会和原来的信息一起 ,泛洪
( Fl ooding)到区域 (Area)或自治系统 (Aut onomous
System)的任何一个节点 (Node) .而签名会使得链
路状态信息 (L ink State I nformati on)得到端到端的完整性保护 ,并对目的 Router提供来源的准确性
保证[ 3, 4 ]
.
1 OSPF的数字签名保护
1 . 1 密钥的管理与分发
数字签名保护 OSPF采用不对称密钥技术实
现 ,源路由器有一对公钥和私钥 ,并且拥有从 TE
(Trust Entity)处获得的公钥认可证书.并采用 LSA
的可靠的分发机制— — — 泛洪 ( Fl ooding)将公钥分
发出去 ,以保证每一个接受其 LSA的路由器都能
接收到其公钥以便用于解密.这种基于泛洪的分发
机制是在一种新的 LSA基础上实现的,这种新的
LSA就是 PK LSA ( Public Key L ink State Advertise2
ment) . PK LSA的结构如图 1所示.
图 1 PKLSA结构图
对于一个在区域内部的路由器来说 ,它的
PKLSA并不泛洪到区域外部 ,也就是说外部区域
路由器不需要知道区域内部的路由[ 5 ]
. 当一个路
由器收到来自区域内另外一个路由器的 PK LSA
时 ,路由器使用它所拥有的认证实体 ( TE)的公钥
验证证书 ,验证通过则将此 PK LSA保存到链路状
态数据库 (LSDB)中 ,以便将来用于 LSA信息的验
证[ 6 ]
.
1 . 2 对 LS A的签名与认证
本文提出了一种对 LS A的头部信息进行签名
的方案 ,舍去了对比较大的 LS A数据部分的签名 ,
这样的方案有利于在不影响安全性的同时节省路
由器的开销.这样做的主要依据是 LSA头部中 LS
校验和的存在 , LS校验和用于检测 LSA头部和内
容出错情况 ,虽然这并不包括对 LSA头部中的年
龄字段.一个标准的 OSPF v2的 LSA,其 LSA首部
格式如图 2所示.
图 2 LSA首部
当路由器产生数字签名的 LSA时 ,用 LSA的
不包括年龄字段的部分生成摘要 ,然后使用该路由
器的密钥进行签名 ,签名后的信息附加到 LSA尾
部 ,并在其后附加密钥 I D、 认证实体 I D和签名长
度.对于源路由器向区域中泛洪的年龄为 MaxAge
的 LSA,签名包括年龄字段在内的整个 LSA头部.
签名后的 LS A格式如图 3所示.
图 3 加密后的 LSA
经过签名的 LS A泛洪到达目的路由器 ,当某
一路由器收到经过签名的 LSA后 ,便使用其得到
的发送此 LS A的源路由器的公钥来校验接收到的
LSA.如果此 LSA通过校验 ,也就是说目的路由器
认为它是来自正确的源路由器且泛洪途中没有受
到恶意的篡改、 替换 ,目的路由器认为校验通过并
保存这一收到的 LSA以便将来计算路由时使用.
如果校验没有通过 ,目的路由器会认为此 LSA不
是来自正确的源路由器或者是传输途中遭受了篡
改等攻击 ,则目的路由器将此 LS A丢弃不用. 另
外 ,还有一种特殊情况就是来自源路由器的
PKLSA的公钥无效 ,此种情况下 ,路由器会将签名
的 LSA暂时保存一段时间 ,这一个暂存时间由
MAX_TRANSIT_DELAY定义 ,如果在此时间间隔
内源路由器重新发来 PK LSA,则处理暂存的签名
· 584 · 第 4期 李长山 ,等:数字签名保护的 OSPF路由协议的安全性研究LSA,如果没有则丢弃该签名 LSA. 这样可以保证
在签名 LSA先于 PK LSA到达目的路由器的情况下
有用路由信息不被丢弃.
签名与验证的过程见图 41
图 4 密钥的管理与公钥的分发
1 . 3 年龄字段的处理
在 OSPF协议中 , LSA头部的 Age (年龄 )字段
是一个非常重要的部分. 这一字段用于确定 LSA
在路由系统中存在的时间.当 Age字段到达一个最
大值 MaxAge后 ,路由器就会停止使用该 LSA来计
算路由 ,一旦某一路由器中的某一个 LSA 达到
MaxAge,则这一路由器会将到达最大年龄的 LSA
泛洪到自治系统中去 ,其它的路由器一旦收到这种
age字段为 MaxAge的 LSA,则将自己数据库中 LS
类型相同的 LSA删除. 同样,依靠上述原理 ,路由
器还有一个早熟化 ( Premature aging)的机制.采用
早熟化过程 , 源路由器通过设定 LSA的 age字段
为 MaxAge并且重新泛洪该 LSA,便可以从冗余的
分布式数据库中删除该 LS A[ 7, 8 ]
1
由于上述的 Age字段的重要性和易受攻击的
特性 ,使得在对 LSA进行签名的过程中不得不将
其进行保护.但是 Age字段在经过每一个路由器的
时候又必须被路由器修改 ,这又使得该字段在数字
签名中很难加以保护.为了保护 Age字段 ,只有当
Age字段的值为 MaxAge时才能被覆盖;同理 ,也只
有在 Age为 MaxAge时才对 Age字段进行验证.对
于 Age字段是 MaxAge的 LSA,只允许产生该 LSA
的源路由器才可以对该 LS A的 Age字段进行签名
保护;同理 ,一路由器在收到 LSA时 ,如果该 LSA
的 Age字段是 MaxAge,且被数字签名所覆盖 ,但是
对其进行数字签名覆盖的路由器不是该 LSA的源
路由器 ,则该路由器会将此 LSA抛弃. 上述的规
则 ,生成签名 LS A的路由器可以通过早熟或正常
的机制从冗余的分布式数据库中删除 LSA,而且又
能保护其生成的 LSA不被其他恶意的路由器篡改
Age字段[ 9, 10 ]
.
2 数字签名 OSPF的安全性分析
2 . 1 实验环境
实验环境的拓扑如图 5所示 , 4台具有数字签
名 OSPF能力的路由器环形成网 ,需要说明的是当
其中一台出现故障时 ,并不影响整个网络的运行 ,
数据会自动绕过该故障路由器.
图 5 路由域拓扑
2 . 2 针对序列号的攻击
序列号在 LSA头部是一个重要的字段. 当一
个路由器有同一个 LSA的两个实例时 ,可以通过
比较实例的 LS序列号字段来判断哪个较新.由于
OSPF的 LSA是采用泛洪的方式传播的 ,因此在泛
洪途中区域中的入侵者或错误路由器都可以对
LSA信息发起攻击 ,篡改其内容.针对序列号的攻
击有 2种:序列号加一攻击和最大序列号攻击.第
1种 ,最大序列号攻击:攻击者直接将 LSA序列号
的值更改为正的最大值 0x7fffffff,重新计算校验和
后泛洪出去.这一 LSA在路由域中将停留 MaxAge
时间才被清除 ,使得路由信息的更新延误. 如表 1
所示 ,链路状态 I D为 10 . 8 . 6 . 123的 LSA由于 LS
序列号被人为修改为最大值,则其在链路状态数据
库中停留到 MaxAge - 1也就是系统中的 59 min时
尚未被清除.
表 1 最大序列号攻击下的 LSADB
链路状态 I D LS序列号 校验和 年龄 10. 8. 6. 123 0x7fffffff 0xbe17 59
10. 8. 6. 2 0x80000003 0xf1da 11
10. 8. 6. 3 0x80000009 0x101f 21
10. 8. 6. 1 0x80000007 0x4917 17
· 684 · 哈 尔 滨 商 业 大 学 学 报 ( 自 然 科 学 版 ) 第 23卷在数字签名系统中 ,此 LSA由于修改了 LS序
列号 ,导致校验失败 ,所以链路状态 I D为 10 . 8 . 6 .
123的 LSA被抛弃.如表 2所示.
表 2 采用数字签名后的 LSDB
链路状态 I D LS序列号 校验和 年龄
10. 8. 6. 2 0x80000003 0x12f2 12
10. 8. 6. 3 0x80000009 0x393a 21
10. 8. 6. 123 0x80000007 0x1f27 3
第 2种 ,序列号加一攻击 ,LSA头部中 LS序列
号较大的实例被规定是较新的 ,并且 OSPF协议会
用最新的实例来替代较老的实例.在实验中 ,我们
模仿一个攻击者将一 LSA的序列号加一 ,并重新
计算 LSA的校验和 ,然后扩散出去.并不停的重复
这一操作 ,网络在如此操作的情况下变得极其不稳
定.在采用数字签名后 ,一旦将序列号加一修改 ,即
便重新计算校验和也无济于事 ,由于没有签名私钥
而没法重新签名 ,这样的 LSA在接收的路由器处
校验出错并被丢弃.
2 . 3 最大年龄攻击
攻击者截取 LS A 后将 LS的 Age字段设为
MaxAge,由于 Age字段不在校验和计算的范围中 ,
因此不用计算校验和即可泛洪此 LSA.任何接收到
此错误 LSA的路由器都将从其数据库中清除与此
错误 LSA相同序列号的正确 LSA,从而造成路由
信息的丢失[ 11 ]
. 虽然 OSPF V2规定只有产生该
LSA的源路由器才可以将 LSA的 Age字段设置为
MaxAge,但这些措施并不能有效防止一个错误的
路由器发动最大年龄攻击[ 12 ]
.在数字签名的 OSPF
中 ,对于 Age字段为 MaxAge的 LSA,该 LS A必须
由也只能有生成该 LSA的发源路由器进行签名 ,
这样在接收端进行的验证可有效防止入侵者将
Age字段篡改为 MaxAge .但是数字签名的 OSPF并
不能够防止入侵者将 Age值修改为一个接近 Max2
Age的值 ,因为将 LSA 的 Age字段置为一个非
MaxAge值时并不需要经过签名.但这种攻击只能
加快路由器中 LSA的更新速度 ,却并不能给路由
域带来很严重的安全威胁.
3 结 语
对于 OSPF的数字签名保护大大加强了路由
域的信息传输的安全性. 由于有了数字签名的保
护 ,攻击者对路由信息的篡改在接收处总是能被验
证出 ,错误的信息被抛弃 ,从而净化了路由信息.本
文所提出的 OSPF签名方案在保证安全性的同时
很好地减少了路由器的开销,实验表明该方案是完
全可行的.在上述方案和实验的情况下对数字签名
的 OSPF协议的安全性进行了全面的分析 ,为进一
步改进数字签名的 OSPF协议的安全性做了有益
的工作.
参考文献:
[ 1 ] MURPHY S, BADGER M, WELL I NGTON B. RFC2154 [ R ].
OSPF with Digital Signature , June, 1997.
[ 2 ] JOHN T . Moy RFC2328. OSPF Version 2 [ R ]1 Ap ril, 1998.
[ 3 ] 郭 伟,余亚华. 数字签名 OSPF公共密钥发布机制的研究
[ J ]. 江汉大学学报:自然科学版, 2003, 31 (3) : 46 - 481
[ 4 ] 李 鹏,王绍棣,王汝传,等. 携带数字签名的 OSPF路由协
议安全研究 [ J ]. 南京邮电学院学报, 2005, 25 (2) : 86 - 901
[ 5 ] MURPHY S, BADGER M. Digital Signature Protection of the
OSPF Routing Protocol[ C ] / / Proceedings of the 1996 Symposi2
um on Net work and Distribute System Security, [ S . l ] : [ s . n ] ,
1996.
[ 6 ] 卢开澄. 计算机密码学 [M ]. 北京:清华大学出版社, 1990.
[ 7 ] JOHN TM1 OSPF Anatomy of an I nternet Routing Prot ocol[M ].
[ S . l ] : Addis onWesley, 1998. 11
[ 8 ] JOHN TM1 OSPF Comp lete I mp lementation[M ]. [ S . l1 ] : Ad2
dis onWesley, 2000. 121
[ 9 ] 蔡乐才,张仕斌.应用密码学 [M ]. 北京:中国电力出版社,
2005.
[ 10 ] MOHAN A, BEN J, HAMMOND. Digital Signature[M ]. [ S .
l ] : McGraw Hill, 2002, 101
[ 11 ] 谢 蒂,杨 静. 一种低代价、 可靠的 OSPF验证机制 [ J ].
计算机应用, 2003, 23 (12) : 33 - 34, 45.
[ 12 ] 曲英伟,郑广海 1基于多 Agent系统的安全体系结构 [ J ] 1
哈尔滨商业大学学报:自然科学版, 2005, 21 ( 2) : 182 - 185,
2491
· 784 · 第 4期 李长山 ,等:数字签名保护的 OSPF路由协议的安全性研究

参考资料:http://www.cnki.com.cn/Article/CJFDTotal-HLJS200704028.htm

声明声明:本网页内容为用户发布,旨在传播知识,不代表本网认同其观点,若有侵权等问题请及时与本网联系,我们将在第一时间删除处理。E-MAIL:11247931@qq.com
初中可以挂学籍在家自学吗 刘德华与关之琳的电影作品 50只鸡9天喂了315千克食物,每只鸡平均一天要多少食物? 6分之1+24分之1+60分之1+120分之1+210分之1简算 ...结果他算出的答案是5分之3,正确的答案是多少? 10分钟=几分之10小时=6分之几小时 60分之11通分数等于多少加多少? 60分之10约分 资生堂洗发水的保质期是多久资生堂洗发水生产日期怎么看 ...七步蛇在门口对着我,我就跑。路过俺家看门狗的时候,那蛇被俺家... 怎么实现购物车序列化 c# txtbox 根据另一个combox改变行数 怎么在android studio 中用viewflipper实现动画效果 如何保证 Cookie 自动登录的安全性 mysql中“输入命令 show databases;”后不能显示mysql ,且create database命令提示出错 数据库导入sql文件的时候总是提示权限拒绝 SQLSTATE[42000]: Syntax error or access violation: LIMIT 1' at line 1 是什么错误 怎么修改 导入数据库输入密码提示错误? 无法连接到数据库,提示:Warning: mysqli_connect(): (HY000/1045): Access denied for user 'root'@' 数据库导入出错,错误#1044 - Access denied for user 'zjwdb_273140'@'localhost' to database ERROR 1044 (42000): Access denied for user 'root'@'localhost' to database 'information_schema' 怎么实现cocos2d-x lua 代码自动提示,以及哪个编辑器好用,我现在用的是sublime Text2 sublime怎样直接运行代码 Sublime Text 2 怎样直接运行代码? Dreamweaver MX 2004 绑定Access数据库(求助) 想学习网站制作,谁有dreamweaver (最少dreamweaver8版本以上)+ access 的教学资料。我是初菜,什么也不 用J2EE+Access数据库做一个小项目,例如网上新闻发布系统,小型的网上购物系统,学生信息管理系统 求教如何用Dreamweaver MX和后台数据库(MS access)实现用户注册和登录功能。 使用Dreamweaver建立文章管理系统的问题 关于Dreamweaver MX制作网页登录系统的问题 西部数据 E元素系列以后没有了吗 麻烦哪位高人帮忙把我这篇中文翻译成法文,万分感谢,时间紧迫,急求! c#怎么提取xml里的某几行数据? 求IE6浏览器专用的css hack(即该部分语句只对IE6有效) 喝哪種紅酒比較養顏? 红葡萄酒应怎样喝才更健康? 求3DMAX9快捷文档,新手基础入门,急用,我QQ108495245,英文版本的 中文翻法文 ! 需要法文高手进来!!! 急急急 不要翻译软体 part2 请求专家 关于 法语 过去将来时用法的2 道题. C#如何保存多个textbox的值到一个文件,然后可以提取文件到多个textbox里 求一个PVP为主的魔兽世界私服 想找一篇关于《网络营销与传统营销的比较研究》的外文文献和翻译 网络资源带给人们的好处英语作文 请大家帮忙人工翻译一篇摘要,最好是英语很好的,直接通过在线翻译的就别帖上来啦,谢谢;急用。 翻译汉语课文成英文 一百分拿下它 找个高手帮我翻译一下,不要百度谷歌翻译 麻烦英语好的大哥帮忙翻译一下~跪谢了! runescape item,runescape account,runescape power leveling 这些是什么? 想给我家的E70上前端,有推荐的吗 web-accessible 是什么意思