Quelles sont les meilleures façons d’authentifier BGP ?

BGP ou Border Gateway Protocol est un protocole crucial pour le routage des informations entre les systèmes autonomes (COMME) sur Internet. Cependant, BGP est également vulnérable aux attaques telles que le détournement, l’usurpation d’identité ou le déni de service. Pour éviter ces menaces, vous devez authentifier vos sessions BGP et vous assurer que seuls des homologues approuvés peuvent échanger des routes valides. Dans cet article, vous découvrirez les meilleures façons d’authentifier BGP et comment les implémenter dans votre réseau.

Find expert answers in this collaborative article

Selected by the community from 3 contributions. Learn more

1 Authentification MD5

MD5 ou Message Digest 5 est une méthode largement utilisée pour l’authentification BGP. Il fonctionne en ajoutant une clé secrète à chaque message BGP et en générant une valeur de hachage à l’aide de l’algorithme MD5. Le récepteur vérifie ensuite la valeur de hachage à l’aide de la même clé. Si les valeurs de hachage correspondent, le message est authentique. Si ce n’est pas le cas, le message est ignoré. L’authentification MD5 est simple à configurer et prise en charge par la plupart des implémentations BGP. Cependant, il présente certaines limites, telles que la vulnérabilité aux attaques par force brute ou à la compromission des clés.

Add your perspective

Tebogo Mashiane

GCP PCSE | 22 x Azure | Microsoft certified | 9 x OCI Certified | Cybersecurity enthusiast| QRadar certified| Scrum Foundation Professional Certificate (SFPC)
Report contribution
BGP authentication prevents routers from receiving unauthorised routing information. Best practices for BGP authentication Secure BGP peer TCP connections using MD5 authentication. BGP sessions are limited to verified peers. Limit BGP session IPs via IP prefix-based ACLs. Restricting peers by IP address improves security. Promote only permitted routes using route filtering. This prevents network-wide unapproved or malicious routes. BGP TTL security limits packet hops to avoid attacks. Unauthorised BGP packet injection into the network is prevented. Periodically change authentication keys to prevent unwanted access. Industry BGP security best practices include unique AS numbers, route validation, and router security upgrades.

Like

2 Authentification TCP-AO

L’option d’authentification TCP-AO ou TCP est une méthode plus récente et plus sécurisée pour l’authentification BGP. Il fonctionne en utilisant une clé principale pour générer des clés de session qui sont périodiquement modifiées. Les clés de session sont ensuite utilisées pour chiffrer et authentifier chaque message BGP à l’aide de l’algorithme AES. Le destinataire déchiffre et vérifie ensuite le message à l’aide de la même clé de session. L’authentification TCP-AO est plus résistante aux attaques par force brute, aux attaques par rejeu ou à la compromission de clés. Cependant, il est plus complexe à configurer et nécessite des implémentations BGP plus récentes qui le prennent en charge.

Add your perspective

Tebogo Mashiane

GCP PCSE | 22 x Azure | Microsoft certified | 9 x OCI Certified | Cybersecurity enthusiast| QRadar certified| Scrum Foundation Professional Certificate (SFPC)
Report contribution
TCP-AO (Authentication Option) authenticates and protects TCP segments. It prevents unauthorised parties from introducing harmful data or impersonating genuine endpoints to secure TCP connections. TCP-AO protects BGP peer TCP connections in many applications. The TCP-AO authentication process consists of crucial establishment, authentication option, MAC calculation, verification, and invalid segment rejection. However, TCP-AO involves more setup and effort than standard TCP connections but offers greater security. Its increased security is frequently worth the additional work, particularly in BGP, where control plane security is crucial.

Like

3 Authentification IPsec

IPsec ou Internet Protocol Security est une autre méthode d’authentification BGP. Il fonctionne en créant un tunnel sécurisé entre les homologues BGP et en chiffrant et en authentifiant tout le trafic qui le traverse à l’aide du protocole IKE. Le protocole IKE utilise une clé pré-partagée ou un certificat pour établir une clé secrète partagée qui est utilisée pour générer des clés de session. Les clés de session sont ensuite utilisées pour chiffrer et authentifier chaque paquet BGP à l’aide du protocole ESP ou AH. L’authentification IPsec est très sécurisée et flexible, car elle peut protéger n’importe quel trafic IP. Cependant, il est également très gourmand en ressources et peut affecter les performances des sessions BGP.

Add your perspective

Tebogo Mashiane

GCP PCSE | 22 x Azure | Microsoft certified | 9 x OCI Certified | Cybersecurity enthusiast| QRadar certified| Scrum Foundation Professional Certificate (SFPC)
Report contribution
IPsec authenticates and encrypts IP transmissions. The entire security solution secures BGP sessions and network traffic. AH offers IPsec authentication with connectionless integrity, data origin authentication, and optional anti-replay. AH guards the IP packet header elements and content except TTL. AH authenticates BGP packets to avoid transit alteration. IPsec authenticates IP packets via HMAC-SHA-1, SHA-256, and MD5. IPsec needs a key management system to produce and store cryptographic keys for authentication and encryption. Key management protocols include IKE. Set up key exchange, authentication, and algorithms. IPsec-based BGP authentication avoids eavesdropping, manipulation, and other dangers. IPsec secures BGP and IP.

Like

4 Authentification RPKI

RPKI ou Resource Public Key Infrastructure n’est pas une méthode d’authentification BGP en soi, mais plutôt un cadre de validation de l’origine et du chemin des routes BGP. Il fonctionne en utilisant des certificats cryptographiques pour lier le numéro AS et les préfixes d’adresse IP qui appartiennent à chaque AS. Les certificats sont émis et vérifiés par une hiérarchie d’autorités de confiance. Les homologues BGP utilisent ensuite les certificats pour vérifier si les routes qu’ils reçoivent sont légitimes et autorisées par les propriétaires des préfixes. L’authentification RPKI peut empêcher le détournement ou l’usurpation des routes BGP. Cependant, il ne protège pas l’intégrité ou la confidentialité des messages BGP.

Add your perspective

5 Voici ce qu’il faut prendre en compte d’autre

Il s’agit d’un espace pour partager des exemples, des histoires ou des idées qui ne correspondent à aucune des sections précédentes. Que voudriez-vous ajouter d’autre ?

Add your perspective

Quelles sont les meilleures façons d’authentifier BGP ?

1

2

3

4

5

1 Authentification MD5

2 Authentification TCP-AO

3 Authentification IPsec

4 Authentification RPKI

5 Voici ce qu’il faut prendre en compte d’autre

Network Engineering

Rate this article

Thanks for your feedback

More articles on Network Engineering

More relevant reading

Quelles sont les meilleures façons d’authentifier BGP ?

1

2

3

4

5

1 Authentification MD5

2 Authentification TCP-AO

3 Authentification IPsec

4 Authentification RPKI

5 Voici ce qu’il faut prendre en compte d’autre

Network Engineering

Rate this article

Thanks for your feedback

Explore Other Skills