計算機網絡信息中心在路由安全領域研究獲進展

　　針對路由起源授權（Route Origin Authorization, ROA）編碼難以兼顧安全性和可擴展性的問題，中國科學院計算機網絡信息中心信息化前瞻技術研究開放實驗室提出了一種新型編碼方案，在保障與現有最安全方案相同安全性的同時大幅優化編碼效果，編碼壓縮率和可擴展性均遠勝現有方案。相關研究成果已獲國家發明ZL授權，并被IEEE網絡通信領域旗艦會議INFOCOM（CCF 推薦A類國際會議）接收，于近日參會做報告交流。

　　路由起源驗證（Route Origin Validation, ROV）是依托資源公鑰基礎設施（Resource Public Key Infrastructure， RPKI）抵御BGP路由劫持攻擊的一種路由安全防護機制，其核心是通過ROA這一RPKI數據對象將AS號以及授權給該AS使用的路由前綴進行綁定認證，以協助路由器快速過濾可能導致路由劫持的惡意路由宣告。然而，有研究表明，目前在RPKI系統中廣泛部署使用的ROA編碼方案（t-ROA）本身存在一定安全隱患，業界最新且正在標準化的方案（m-ROA）雖然能解決該安全隱患，但會降低編碼壓縮率進而影響系統可擴展性。

　　為同時實現ROA編碼的強安全性和高可擴展性，科研人員提出新型編碼方案Hanging ROA（h-ROA），在安全性上與m-ROA保持一致，在編碼壓縮率和可擴展性方面則遠勝t-ROA和m-ROA。該方案引入掛載層將IP前綴樹劃分為多個不相交的子樹塊，采用比特位圖對子樹塊進行壓縮編碼，通過比特位來精準管理每一條前綴授權與否的狀態以規避安全風險。此外，調整掛載層位置即可實現靈活編碼，通過動態規劃算法來計算最優掛載層部署還能進一步提升編碼壓縮率。

圖1.基于IP前綴樹的壓縮編碼

圖2.基于h-ROA過濾惡意宣告，防止路由劫持

圖3.支持靈活的ROA維護和高效增量更新

圖4.用真實數據測試，結果表明h-ROA在編碼壓縮率和可擴展性上明顯優于已有方案