OSPF路由協議的安全性分析

王文溥

（長治學院 計算機系，山西 長治 046011）

OSPF路由協議的安全性分析

王文溥

（長治學院 計算機系，山西 長治 046011）

分析OSPF的內部安全運行機制以及面臨可能遇到的攻擊存在的問題，在此基礎上，提出解決OSPF安全問題的相應措施。

安全性；OSPF安全機制

IP路由技術作為IP網絡技術的核心技術，為解決IP網絡動態問題提供了可能性。20世紀80年代中期網絡技術處于起始階段，RIP技術還不能夠滿足大型、異構網絡的需求，存在著明顯的技術缺陷。IETF公司建專門解決這一問題的IGP工作組，設計出了IGP內部網關協議，即我們熟悉的IGP，這是基于最短路徑優先（SPF）算法而形成的網關協議。OSPF很好的解決了網絡可擴展性及快速收斂等關鍵技術，是SPF類路由協議中的開放式版本，因此OSPF協議成為目前因特網廣域網中運用最多也最廣泛的動態路由技術，在各類的企業網中也得到了極大推廣。

1 OSPF運行的基本機制

作為一種路由協議，OSPF是分層次設計的，AS（自治系統）是其中最大的實體系統，這一系統遵循共同路由策略管理，并在此基礎上形成了一部分網絡實體。每一個AS自治系統都將網絡劃分各個區域，而每個區域都不相同。每個區域都設有自己特定的標識號。主干（backbone）區域的主要功能是在在不同區域之間分發信息，這些信息是鏈路狀態的。依照OSPF的具體狀況設計出這種分層次的網絡結構。在因特網自治系統變得非常大的時候，拓撲數據庫中的內容會變得越來越多，因此需要將自治系統分成不同的層次。否則可能造成數據庫溢出變得容易，同時網絡中某一鏈路狀態發生的變化極有可能會引發整個網絡系統中每個節點都重新把自己的路由表計算一次，這樣造成了了資源和時間的浪費，也會造成路由協議的性能，諸如聚合速度、網絡的穩定性以及靈活性等收到重要影響。

2 OSPF存在的安全性問題

OSPF路由協議具有一定的復雜性，自身有其獨特的內建的安全機制，想要攻擊它并不是一件容易的事情。雖然OSPF有較強的安全性，但并不意味著OSPF沒有問題，它仍有很多薄弱環節可能受到外來的攻擊，甚至被人所利用。美國人開發的nemesis—ospf工具軟件，就是一個這樣的軟件，它曾多次成功采取某些方式攻擊和利用了OSPF。因此不得不說，OSPF路由協議的安全性仍需進一步完善。

2.1 內建安全機制存在的問題。

OSPF的內建安全機制是由三個內建安全機制組成的。第一個內建安全機制是層次路由機制，它的最主要的功能是最大程度地減小攻擊的影響范圍域，但它存在的主要缺陷是不能杜絕攻擊，攻擊者進入到了一個ABR、自治系統邊界路由器(AS Boundary Router，ASBR，它就發揮不了應有的安全防御功能，并且如果攻擊實體假扮成一個ABR，或者ASBR，層次路由機制更是無能為力了。第二個內建安全機制是程序性檢驗機制，這是一般路由協議都要進行的一個過程，其主要作用是進一步增加了復雜度，從而給攻擊者制造麻煩。第三個內建安全機制是OSPF自反擊安全機制，它在三個內建安全機制中應該是最為復雜的，因此，給攻擊造成的麻煩更加多，即使是這樣仍然有使這一機制失去效能的攻擊實體。

2.1.1 更高速度性注入

RFC2328設定的LSA的更新速度不能超過最小（MinLSInterva1），這一參數的默認值是5秒鐘，當攻擊者的速度超過了LSA生成間隔速度的默認值，并以這一速度注人序號更大的虛假LSA，就會導致虛假LSA被其它路由器使用，而原本真正的LSA就會被淹沒掉。

2.1.2 分塊網絡存在的安全隱患

當虛假的LSA泛洪給了該LSA本身的合法生成者，那么，該ISA的合法生成者會啟動其自反擊機制來糾正該LSA，相反，如果虛假的LSA不被泛洪給了該LSA本身的合法生成者，那么，該ISA的合法生成者不可能啟動自反擊機制來糾正該LSA。這樣，如果有一個被人侵的路由器所處的位置能夠將區域分為兩個不同的子區域，就會使得當攻擊者只向其中的一個子區域以另一個子區域中的某路由器的身份注人虛假LSA，而不向另一個子區域注入，從而達到欺騙的預期結果。

2.1.3 幻影路由器的入侵

幻影路由器虛構一個路由域中本不存在的路由器，并造成路由域中的其它路由器無法識別，它們認為這一個虛構的路由器是合法存在的，從而達到欺騙的目的。幻影路由器在路由域中注人大批量虛假數據信息，還不會觸發自反擊機制，這與它的以虛構的身份得到了認可有關，也是它能發揮作用的關鍵。幻影路由器本身也存在問題，因為并不是所有注人的LSA都能夠參與路由計算，只有該幻影路由器能夠和某個路由器存在鄰接關系，它才能發揮作用。

2.1.4 AS外部路由的注入

攻擊者成功的人侵了一臺ASBR，或者是另外一種情況即攻擊者成功地偽裝成了一個ASBR，這個時候，攻擊者就能夠通過注人LSA的方式，從而順利地引人虛假AS外部路由，并且這種情況下，其它路由器并不能驗證這一信息，因此，也就不可能及時地糾正這一錯誤信息。

2.2 OSPF的驗證方式安全性

驗證對于OSPF信息交換是必需的過程。OSPF信息交換的驗證可分為簡單密碼驗證和MD5加密認證兩類。當然，OSPF信息交換也可以設置為不驗證。簡單密碼驗證的安全性幾乎為零，所以可以說是不值得一提的。而MD5加密認證機制則有一定的安全性。為了驗證其安全性，我們先假定它的算法是完全可以信任的，正在使用的密鑰也不會遭到泄露。如果選擇適當，它的運行平臺也是安全的。由信息論表明：英語字符中，每8比特字符的平均信息嫡只有很低的1-3，如果安全管理者把英語字母設置為密鑰來使用，那么128比特密鑰的信息嫡是非常低的，攻擊者需要很短的時間，大約需要幾分鐘到數就可以破解這一密鑰。眾所周知，OSPF密鑰的使用非常不好，這幾乎可以說是一個普遍存在的問題。同時存在的問題是，密鑰經常是3個月甚至是半年時間才變更一次，有的使用者更是從來不變更密鑰。在上述這些情況下，一個攻擊者如果得到了一條Hello報文，他就有極大的機會迅速地破解這一密鑰，緊接著很快侵人全部路由域。正如新聞傳播中所說的，我國的計算機網絡科學家已經在2004年成功的破解了MD5算法，所以說，OSPF的驗證方式并沒有足夠的安全性可言。

2.3 OSPF遭到的常規性攻擊

OSPF整體運行機制具有一定的復雜性，其運行過程中很多環節都存在問題，極有可能成為被攻擊的對象。

2.3.1 采用Hello報文進行攻擊

為了發現鄰居以及維護鄰接節點之間的關系，OSPF路由器定期向外發送Hello報文。如果Hello報文中的區域ID以及Hello間隔等參數發生故障或錯誤，就可能導致Hello報文被鄰居路由器丟棄，從而導致鄰居Down。采取直接在鏈路上阻絕Hello報文的方式，也會產生這種相似的危害。當OSPF沒有采取加密措施，或者攻擊者突破了OSPF的驗證體系，這時，整個體系就失去了安全性，攻擊者為了達到攻擊的目的就會修改報文中的某些參數。

2.3.2 采用Update報文進行攻擊

為了使OSPF轉變到有利于攻擊者的方向，采取修改LSA參數的方式，攻擊者需要首先成功的注人虛假LSA。要到達目的，攻擊者需要侵人路由器，或者采取假扮成一個OSPF路由器進而和其它的路由器達到Exchange或者更高的狀態的方式，這樣就可以在兩者間傳送USA，同時攻擊者需要至少占有一條鏈路的密鑰或者該鏈路根本就不需要驗證。完成這些后，攻擊者注人虛假LSA，這樣就可以展開進一步攻擊從而完成攻擊的目的。例如，可以不斷地發送含有大批Maxage的LSA來展開Maxage攻擊，當然還可以發送最大序號LSA進行最大序號攻擊，如此等等。

2.3.3 進行資源消耗攻擊

進行不間斷地傳送大批量、多形式的OSPF報文，從而導致被攻擊實體的資源消耗以至于枯竭，從而喪失正常工作的能力。通常可以采用向OSPF的鄰居發送包含過長鄰居列表這樣含有大批量數據信息的Hello報文，鄰居路由器就需要為鄰居列表產生的每個鄰居創建相應的鄰居結構，這樣就會消耗大量的資源，達到一定程度就會自我崩潰。

3 應對措施

OSPF路由協議存在著諸多的安全問題，而它在網絡中又扮演著至關重要的角色，這就要求我們采取一定措施來保證其安全性。筆者建議采取積極的主動防護和檢測機制來克服問題保證安全。驗證是OSPF保護的第一個環節，在采取保護措施前，要對OSPF路由域內的所有OSPF路由器都使用有效的加密認證，雖然這一加密措施并不能解決最終問題，但我們仍要采取這一措施，并且我們會進一步開發更安全有效的加密認證機制。另一方面，對人侵檢測系統進行適當的設計，也有利于加強安全性。因為，這一措施能夠幫助發現很多針對OSPF的攻擊，雖然對OSPF的攻擊往往會因為OSPF的自反擊機制產生和多互相沖突的信息存儲在路由域中。總之，保護OSPF的安全需要建立一個系統的安全觀，一個整體的安全觀，應該從多個層面來保障OSPF的安全。在路南器層面上，要保證操作系統以及路由器上其它所有協議還包括路由器的物理等方面的安全；在路由域層面上，需要考慮所有邊緣接入實體和所有鏈路等方面的安全；當然，我們還要特別重視人的層面造成的安全問題，加強對網絡進行監控和取證，主動建立相應法律，嚴厲打擊各種造成網絡安全問題的人和事。

路由協議安全性的最終目的是防范外部和內部等各個方面對網絡設施的攻擊。這些問題，相關專家以及總結了不少經驗教訓。可以供我們參考的主要有兩種手段：密碼體制和入侵檢測。當前，怎樣使用密碼體制來解決路由安全問題是研究最多的。已經提出維護OsPF鏈路狀態更新分組完整性、正確性一系列措施和方法，以S.L.Murphy和M.R.Badger提出的保護鏈路狀態通告完整性的公鑰簽名方案在這方面影響最廣泛，當然OSPF協議在數字簽名方案也有廣泛運用。公鑰體制存在的主要問題是價格昂貴，并且要以軟件的方式運行。和對稱驗證機制比較，不難看出，由于要采用低指數的RSA，速度非常慢，得不到實際推廣。采用檢測攻擊手段，檢查進出OsPF的流量來發現攻擊存在的可能性具有相當的靈活性和兼容性，它的問題是只能檢測那些已知的或定義好的攻擊，加上性能有較高的誤報率以及漏報率，并且攻擊和檢測之間往往存在時間延遲的問題。S.Felix Wu曾創造了在單一網絡結構中把使安全控制同入侵檢測有效結合起來的方法。該方法給后來的研發者以極大的啟發，把利用密碼和入侵檢測綜合起來，使其兼具兩者的優點從而加固了OsPF協議的安全程度。

OSPF路由協議本身具有的復雜性和內建的安全機制，能夠攻擊者造成一定的麻煩，但OSPF的安全問題仍然在很大程度上存在，一旦被攻擊就會造成較大損失。我們要采用積極的主動防護和檢測機制來確保OSPF的安全，建立一個系統的整體觀念來解決這一問題，從路由器和路由域等多個層面維護它的安全。

［1］李健.OSPF協議安全性分析［J］.信息與電腦（理論版），2013，（02）：69-70.

［2］郭方平.OSPF路由協議安全性探討［J］.中國新通信，2014，（15）：45-46.

［3］陳欣.OSPF路由協議的安全性評測研究［J］.民營科技，2015，（04）：60.

（責任編輯 張劍妹）

TP393.08

A

1673-2014（2017）01-0045-03

2017—02—20

王文溥（1981— ），男，山西長治人，講師，主要從事計算機教學與研究。