Routovací protokoly a jejich slabiny

Aby jsme se na internetu vůbec dokázali domluvit, musíme k sobě najít cestu. Neřeším zde cestu, zajišťující vnímání myšlenek protistranou, přestože je to také náročná disciplína. Myslím cestu, která zajišťuje doručení paketů nebo zpráv. Ta je založena na routovacích algoritmech, které mapují internet. Nebo alespoň svoje blízké okolí. Díky tomu právě routovací protokoly řídí internet. Ale jejich ochrana je v současnosti tristní.

Autentizace a ochrana integrity

Uvedený přehled ale popisuje prinicipy, nikoliv ochranu důvěryhodnosti přenášených dat. Proto následující tabulka poskytuje přehled autentizačních mechanismů, které slouží k ověření odesílatele těchto informací.

Z této tabulky je vidět, že většina protokolů pro směrování komunikace používá algoritmus MD5 (zlomený v roce 2005), případně nemá žádnou ochranu. Použití HMAC-SHA, TCP-AO nebo IPSec je relativně vzácné, proto je nutné alespoň na úrovni firewallu zajistit nasazení alespoň základních kontrolních mechanismů. S kontrolou integrity je to ještě horší.

Jaké algoritmy pro autentizaci vlastně můžeme používat?

Následující odstavce rozebírají jednotlivé metody ověřování autentizačních mechanismů a případné připomínky k těmto technologiím.

Bez autentizace

Spoléhání se na důvěryhodnost protistrany bez jakýchkoliv důkazů. Další komentáře nejsou možné.

• Bez ochrany

Plaintext

Volba plaintext je nejjednodušším možným způsobem ochrany. Heslo je součástí přenosu a obě strany musí mít toto heslo stejné. Bohužel díky přenosu hesla v otevřené formě je heslo dostupné pro libovolného uživatele se schopností monitorovat provoz.

• Heslo může získat libovolný uživatel se schopností monitorovat síť

Password

Metoda password se od plaintext zpravidla (ale ne vždy) odlišuje. Kontrola heslem může mít různé formy a některé algoritmy v rámci metody password nabízí i výměnu plaintext informace. V jiných případech se používá jednoduchá forma autentizace, kdy se vytvoří hash obsahu paketu rozšířeného o heslo. Typickým příkladem je OSPFv2. V případě autentizace pomocí volby password je patrně největším problémem důvěra v zastaralé a zlomené funkce. V případě MD5 je možné relativně snadno hledat kolize, které dovolují padělat routovací tabulky. Zároveň poskytují pouze iluzi bezpečnosti. Případné použití HMAC-MD5 možnost hledání kolizí ztíží, ale zcela neodstraní.

• Implementace specifikuje míru bezpečnosti (plaintext, hash hesla, heslem klíčovaná hash)
• Zpravidla používalo MD5
• Možnost využít hledání kolizí pro útok na routovací tabulky

MD5

Patrně nejznámějším a nejstarším způsobem ověřování je použití funkce MD5. Bohužel se jedná o nejsložitější popis, který se liší podle protokolu. Původní, ranné formy ověřování pomocí hashování hesla byly překonány. Následovalo použití hesla jako klíče pro kontrolu integrity a před zlomením MD5 pak použití HMAC. Při uvádění autentizace pomocí MD5 je tak náročné určit, která metoda byla použita. Z důvodu těchto nesrovnalostí, ale hlavně z bezpečnostních důvodu by se dnes už tento algoritmus neměl vůbec používat.
Authenticator=MD5(Password)
MAC=MD5(Password||Content)

• MD5, zlomeno 2005
• Možnost využít hledání kolizí pro útok na routovací tabulky
• MAC pro kontrolu integrity nemusí být použit, zpravidla pouze hash

TCP-MD5, RFC 2385

MD5 byla poplatná době vzniku a tomu odpovídá i snaha o standardizaci jejího použití. Algoritmus nepřenáší heslo, ale heslo se používá jako součást kontroly integrity. Příjemce sice neví, zda je chybné heslo nebo došlo k narušení obsahu dat, ale informace se považují za poškozené a nesmí se použít.

MAC Algorithms:
MD5 hash specifického obsahu a hesla. Nepoužívá přístup pomocí HMAC, ale jednoduchého MAC. Klíč je připojen na konec textu.Tento přístup se vnímá jako zastaralý a rizikový.
Authenticator=MD5(Source IP||Destination IP|| zero padded protocol number|| segment length|| TCP header|| TCP segment data|| password)

• MD5, zlomeno 2005
• Možnost využít hledání kolizí pro útok na routovací tabulky

TCP Authentication Option (TCP-AO), RFC 5926

Zlomení funkce MD5 a rozvoj dalších hash funkcí, spolu se standardizací AES vedl k použití výrazně bezpečnějších metod. Příkladem je použití funkcí založených na SHA2, případně použití AES. Bohužel pro AES je zde omezení dané přechodem na PQC, které vyžaduje alespoň 192b šifrovací klíč, tento algoritmus přitom přijímá pouze 128b šifrovací klíč.

Baseline AlgorithmsKey Derivation Functions (KDFs):

• KDF_HMAC_SHA1 (zastaralé)
• KDF_AES_128_CMAC (do roku 2030)

• HMAC-SHA-1-96 (zastaralé a omezené)
• AES-128-CMAC-96 (zastaralé a omezené)

• HMAC-SHA-1 (zastaralé)
• HMAC-SHA-256 (do roku 2030)
• HMAC-SHA-384 (aktuální)
• HMAC-SHA-512 (aktuální)
• AES-128-CMAC / AES-CMAC-128 (do roku 2030)

IPSec autentizace

Autentizace pomocí IPSec využívá hlavně použití AH hlavičky (Authentication Header). V takovém případě se využije schopnost protokolu tvořit kontrolní součet zprávy, kde klíčem pro tento kontrolní součet je vlastní heslo. Tedy, nedochází k šifrování, pouze se používá schopnost IPSec zapozdřit přenos. Případně je možné šifrovac celý obsah s cílem zajistit nejenom integritu, ale i důvěrnost. Výhodou v tomto případě je použití IPSec, který zajišťuje ochranu a zároveň od sebe odděluje jednotlivé vrstvy.

Porovnání OSPFv2 a OSPFv3

OSPF protokol verze 2 přišel s konceptem volby ochrany přenosu routovacích informací. Součástí protokolu jsou následující možná nastavení:

• Auth Type 0 – Žádná
• Auth Type 1 – Jdnoduché heslo
• Auth Type 2 – Authentizace (původně nad MD5)

Routovací protokol OSPFv3 používá obdobný princip řízení ochrany jako OSPFv2, ale používá pro tyto účely protokol IPSec.

BGP protokol a rPKI

Specifikem BGP protokolu je možnost autentizace díky rPKI, která je často vysvětlována jako autentizace na základě PKI. To bohužel není pravda. Jaký je tedy vztah rPKI a vzájemné autentizace?

Vlastní rPKI (Resource PKI, RFC 6810) slouží pro autentizaci routovacích informací. Přesněji, umožňuje vlastníkům IP adres veřejně deklarovat, který autonomní systém (AS) je oprávněn jejich síťový rozsah propagovat do internetu pomocí routovacího protokolu. Deklarace těchto oprávnění je zcela odlišná od autentizace protistran a má jiný účel. Cílem rPKI je poskytnout ověření o oprávnění publikovat tuto informaci. Vlastní publikaci pak zajišťuje AS (Autonomní systém), v rámci kterého je uvedený rozsah použit.

Vlastní autentizaci protistran pak zajišťují jiné protokololy. Dochází k ní jak na samém počátku, tak dále i v průběhu trvání BGP relace. Roli autentizace TCP-MD5 nebo TCP-AO. K ověření dochází už při sestavování TCP handshake (SYN, SYN-ACK, ACK) a následně u každého jednoho odeslaného TCP segmentu. Pokud router obdrží BGP paket, u kterého nesouhlasí MD5/AO podpis, TCP vrstva ho okamžitě zahodí a BGP proces se o něm vůbec nedozví. Autentizuje se zde fakt, že mluvíte se správným, autorizovaným sousedem (peerem).

Ve zkratce, zatímco rPKI dovolí ověřit, že inzerovaná trasa v internetu patří správnému majiteli, TCP-MD5 nebo TCP-AO zajištuje, že samotné zprávy s těmito routovacími informacemi přenášené v BGP nebyly po cestě nikým podvrženy nebo modifikovány. Bohužel, v případě TCP-MD5 je tento důkaz slabý a algoritmus MD5 by již neměl být využíván.

Závěr

Routovací algoritmy v současnosti rozhodně nevyužívají aktuální metody ochrany. Velké množství algoritmů, operujících bez ochrany, nebo s ochranou využívající plaintext hesla či MD5 nepřispívá k vysoké důvěryhodnosti těchto základních služeb. Zajištění důvěrnosti, integrity a autenticity dat je zde zpravidla slabé, což vytváří velký prostor pro útočníky. Částečným řešením je důsledné přiřazování oprávnění pomocí ACL tak, aby alespoň částečně omezovaly odkud router může informace přijímat. Dále je vhodné přejít na moderní protokoly tam, kde to je alespoň trochu možné. Bohužel mimo bezpečnostních problémů mají routovací algoritmy také svoje technologické problémy. Vzájemný vliv architektury sítě a možností protokolu může omezit možnosti volby při návrhu struktury sítě.

Autor článku:

Jan Dušátko

Jan Dušátko se počítačům a počítačové bezpečnosti věnuje již skoro čtvrt století. V oblasti kryptografie spolupracoval s předními odborníky např. s Vlastimilem Klímou, či Tomášem Rosou. V tuto chvíli pracuje jako bezpečnostní konzultant, jeho hlavní náplní jsou témata související s kryptografií, bezpečností, e-mailovou komunikací a linuxovými systémy.