Source address validation improvements (SAVI)
Source address validation improvements (SAVI): mécanismes de prévention contre l'usurpation d'adresses IP source
Résumé
Ten years ago, with the huge increase of attacks using spoofed source IP addresses, IETF standardized the "Network Ingress Filtering" method as well as its dynamical variant, well-known as uRPF, to mitigate these attacks. Unfortunately, from the deployment feedback, this method showed its limits. Then, IETF decided to standardize, inside the Source Address Validation Improvements (SAVI) working group, complementary mechanisms increasing the precision of spoofed source IP addresses detection inside IP flows. These mechanisms are mainly based on the monitoring of IP addresses allocation/assignment signalling (e.g., DHCP, IPv6 autoconfiguration). In this paper, first, we recall attacks using spoofed source IP addresses. Then, we present the "Network Ingress Filtering" method, and uRPF, and the limits of this method. In the next part, we describe the different currently standardized SAVI solutions. Then, we present the integration of SAVI in the ADSL/Fiber IPv6 access network, as concrete example, and we give the current SAVI implementations/deployments. Finally, we conclude with the SAVI limits and the potential future works regarding this topic
Il y a une dizaine d'années, suite à une forte augmentation d'attaques utilisant des adresses IP source falsifiées, l'IETF standardisait la technique de "Network Ingress Filtering", ainsi que sa variante dynamique connue sous le terme "uRPF", afin de limiter ces attaques. Malheureusement, suite aux déploiements de cette technique, celle-ci a montré ses limites. Aussi, l'IETF a décidé de standardiser, au sein du groupe de travail "Source Address Validation Improvements" (SAVI), des mécanismes complémentaires affinant la précision de détection d'adresses IP source falsifiées au sein de flux IP. Ces mécanismes reposent principalement sur l'observation de la signalisation d'attribution/assignement d'adresse IP (e.g., DHCP, autoconfiguration IPv6). Dans cet article, nous rappelons tout d'abord les attaques utilisant des adresses IP source falsifiées. Ensuite, nous présentons la technique de "Network Ingress Filtering", et sa variante uRPF, ainsi que les limites de ce mécanisme de protection. Nous décrivons ensuite les différentes solutions SAVI standardisées actuellement. Après cela, nous décrivons une intégration de SAVI dans le cas concret du réseau d'accès IPv6 ADSL/Fibre et nous donnons les implémentations/déploiements existants à ce jour. Enfin, nous concluons avec les limites propres à SAVI et les potentiels futurs travaux sur ce sujet
| Origine | Fichiers produits par l'(les) auteur(s) |
|---|