Аутентификация в протоколе RIP

В отличие от первой версии, которая не поддерживала аутентификацию, вторая версия протокола позволяет использовать аутентификацию смежных маршрутизаторов. В документе RFC 2453 описан метод аутентификации с использованием текстовых паролей. При этом для каждой пары маршрутизаторов, обменивающихся маршрутной информацией, может быть настроен уникальный пароль. На рис. 5.9 приводится формат пакета обновления маршрутной информации протокола R1P с использованием аутентификации при помощи текстовых паролей.

Как видно из рис. 5.9, для аутентификации в протоколе RIP v2 используется пакет, содержащий маршрутные обновления, в котором первая запись о маршруте заменена на запись аутентификации. При этом поле «Идентификатор семейства адресов» содержит специальное значение OxFFFF, которое показывает, что далее следует запись аутентификации.

При этом поле «Тег маршрута» переименовывается в поле «Тип аутентификации», которое для аутентификации по паролю принимает значение, равное 2. Далее следуют 16 байтов информации, содержащие пароль. Если пароль занимает менее 16 байт, он дополняется нулями. Если же пароль имеет длину более 16 байт, для аутентификации используются первые 16 байт.

Аутентификация при помощи текстового пароля имеет крайне низкую криптостойкость, поскольку пароль передастся в пакетах обновлений маршрутной информации в открытом виде. В качестве альтернативы такой аутентификации может быть использована аутентификация при помощи алгоритмов хеширования.

Рис. 5.9. Формат сообщения с аутентификацией согласно RFC 2453.

Впервые метод аутентификации при помощи алгоритмов хеширования был предложен корпорацией Cisco и описан в документе RFC 2082 [14]. В /данном документе предусматривалось использование только алгоритма MD5 как самого распространенного.

К середине 2000;х гг. было доказано, что MD5 не является криптостойким. Поэтому был разработан стандарт RFC 4822 [15|, который описывает возможность использования нескольких алгоритмов хеширования, таких как MD5, SHA1, SHA256, SHA384, SHA512.

Формат пакета маршрутного обновления при использовании алгоритмов хеширования приводится на рис. 5.10. Он одинаков для RFC 2082 и RFC 4822.

Как и в случае парольной аутентификации, «Идентификатор семейства адресов» заменен значением OxFFFF, а «Тип аутентификации» принимает значение, равное 3. При этом необходимо отметить, что тип алгоритма хеширования не передается в пакете. Информацию об использованном алгоритме маршрутизатор может получить из пакета аутентификации при помощи специальных полей. Неиспользуемые строки пакета заполняются нулями. Специальные ноля пакета аутентификации содержат следующее:

• — длина пакета RIP v2 — число байт пакета маршрутного обновления протокола RIP v2 без контейнера ключа аутентификации;
• — Ш ключа — идентификатор ключа аутентификации;
• — длина данных аутентификации — длина поля данных, используемых при аутентификации. По значению, указанному в поле, маршрутизатор делает однозначный вывод об используемом алгоритме хеширования, так как различные алгоритмы хеширования, поддерживаемые RFC 4822, имеют различную и при этом не повторяющуюся длину хеша;
• — порядковый номер пакета аутентификации — число пакетов аутентификации, отправленных маршрутизатором;
• — контейнер ключа аутентификации замыкает пакет обновления маршрутной информации и может состоять из одного или нескольких блоков записей о маршрутах в зависимости от использованного алгоритма хеширования.

Рис. 5.10. Формат аутентификации с хешированием

5.6.6. Использование алгоритмов хеширования в реальных СПД

Несмотря на то, что в RFC 4822 описана возможность использования нескольких алгоритмов хеширования, в настоящий момент реальное телекоммуникационное оборудование использует только алгоритм MD5. Дело в том, что в современных алгоритмах хеширования получаемые ключи аутентификации имеют достаточно большой объем. Чем более криптостойким является алгоритм хеширования, тем большей длины будет его ключ аутентификации.

При использовании механизма аутентификации используемые при этом ключи необходимо передавать между маршрутизаторами в пакетах маршрутных обновлений. В спецификации протокола RIP сказано, что максимальная длина пакета маршрутных обновлений нс может превышать 520 байт. Эти 520 байт должны включать 25 записей о маршрутах и заголовок. Если необходимо передать информацию о большем числе маршрутов, то процесс маршрутизации RIP отправляет несколько пакетов маршрутных обновлений.

Если используются механизмы аутентификации, то необходимая для этого информация передается в тех же маршрутных обновлениях вместо маршрутной информации. Количество контейнеров маршрутной информации из пакетов маршрутных обновлений, требуемое для передачи ключей аутентификации различных методов, а также процент от общего размера маршрутного обновления приводится в табл. 5.2.

Таблица 5.2

Накладные расходы при аутентификации.

Из табл. 5.2 видно, что применение криптостойких алгоритмов хеширования приводит к достаточно высоким накладным расходам и может значительно увеличить количество передаваемых пакетов маршрутных обновлений. По этой причине они и не были реализованы в реальном телеком му н и ка цион ном оборудован и и.