徐恪等:基于区块链的网络安全体系结构与关键技术研究进展 2020年 Origin authorization,ROA),造成了RPKI体系的ROA一样作为源地址认证的基础,考虑到现有 信任问题,尽管作者提出了ROAe机制用于发现IPV4地址已分配完,作者认为 InBlock可以作为未 错误ROA并用邮箱或网站对管理者进行警告,但来IPV6地址的交易平台 是该机制依靠大家自发参与,缺乏激励机制以及对基于区块链实现源路由认证以及真实路径验 管理机构的监督惩罚措施。 证的研究中,根据区块链中记录的信息不同可以分 (2)路由源认证算法部署方面,Glad等人为两种。第一种主要思想如图7所示,即通过区块 测量得出,只有16%的AS部署了基于RPKI的路链来记录各AS的路由源宣告信息以及路径宣告信 由源认证算法,而针对路由源认证失败的路由信息,并结合IP地址块的分配信息来判断路由宣告的 息,只有不到6%的AS选择拒绝接受 合法性。例如Hari等人设计的互联网区块链 (3)真实路径验证算法部署方面, Lychee等 Internet blockchain)图,其中各AS与注册机构 人提出这些算法的实际部署情况并不理想,并且参与区块链的维护,并将初始的数字资源分配情况 这些算法只有在全面部署后才能带来极大的安全以及相应的ROA信息记录到初始区块中;当注册 提升,部分部署情况下不仅无法对域间路由安全做机构发布新的ROA信息时,构造ROA交易,ROA 出改善,而且可能会引发严重的逻辑漏洞。 交易的输入为相应的IP地址块(分配新的地址块 42.2区块链的具体应用研究 时)或过期的ROA信息(重新分配旧地址块时), 将区块链运用于域间路由安全的主要思路是输出则为该P地址块绑定的AS;当AS宣告路径 将区块链作为一个真实存储平台,来存储域间路由时,创建一个路径宣告交易,交易的输入为相应的 认证所需要的相关信息,从而确保AS可以基于这ROA信息(宣告路由源时)或上一个AS宣告的路 些信息实现安全的域间路由认证。这些研究根据所径信息(宣告路径时),输出则为与该AS建立了邻 实现目标的不同可以分为两大类:(1)基于区块链居关系的多个AS地址;ROA交易和路径宣告交易 构建一个去中心化的RPKI:(2)在去中心化RPKI经矿工节点验证后被记录到区块链中供边界路由 基础上实现源路由认证以及真实路径验证, 器査询,从而同时实现路由源认证和真实路径验证 基于区块链构建去中心化RPKI的主要思想如两种功能。刘冰洋等人设计的D以及Saad等 图6所示,即用区块链记录IP地址块的分配和交易人设计的 routeChain'也都采取了类似的思想,其 信息,从而确定每个IP地址块的所属身份。例如中DI提出将地址块的后续交易转让记录也记录到 Paillisse等人所提出的 IPchain'38,他们认为IP地址区块链中; Route Chain则提出对AS进行划分区域 块与数字货币一样,具有流转性(可进行分配与再并实现分层管理,使得每个区域能够更快地达成共 分配),都能被有限分割,而且在同一时刻都只能识,从而降低延迟并增强可扩展性 被一方拥有,因此用区块链构建一个去中心化的 RPKI架构,即用区块链来模拟RPKI地址分配流程 d block i-I block block i+l 将IP地址的分配历史都记录在区块链上,并提出 PoS共识比PoW共识更适合用来确保IP块的安全 录更新IP地址 分配。Xing等人设计现了基于区块链的资源 交易块与AS的绑 信息定信息 管理平台 BGPCoin,其中对RPKI不同角色之间的 布地址分 发布地址转 上、更新交易 地址分配设计了详细的智能合约,参与者调用相应 IANA 智能合约 的智能合约进行地址的申请和分配,分配信息则被 存储在区块链中提供查询。此外, BGPCoin引入了 发布地 用户监管模式,提出AS边界路由器可以担任检测 址出售 者,当发现错误ROA时调用ROA检测合约,上报 请求地 请求购买 错误ROA并获得相应的激励。 Stefano等人则将区 块链与IP地址交易市场结合,提出了 InBlock架构 H142),该架构记录每一笔IP地址的交易记录,每笔 图6去中心化的RPKI架构图 交易记录都包含具体的IP地址块信息以及被授予 第二种则是记录各AS的路由源信息以及AS 该地址块的组织账户ID,而这些交易记录可以像之间的邻居关系,在收到路由宣告后根据区块链所10 徐 恪等：基于区块链的网络安全体系结构与关键技术研究进展 2020 年 Origin Authorization，ROA），造成了 RPKI 体系的 信任问题，尽管作者提出了 ROAlert 机制用于发现 错误 ROA 并用邮箱或网站对管理者进行警告，但 是该机制依靠大家自发参与，缺乏激励机制以及对 管理机构的监督惩罚措施。 （2）路由源认证算法部署方面，Gilad 等人[36] 测量得出，只有 16％的 AS 部署了基于 RPKI 的路 由源认证算法，而针对路由源认证失败的路由信 息，只有不到 6％的 AS 选择拒绝接受。 （3）真实路径验证算法部署方面，Lychev 等 人[37]提出这些算法的实际部署情况并不理想，并且 这些算法只有在全面部署后才能带来极大的安全 提升，部分部署情况下不仅无法对域间路由安全做 出改善，而且可能会引发严重的逻辑漏洞。 4.2.2 区块链的具体应用研究 将区块链运用于域间路由安全的主要思路是 将区块链作为一个真实存储平台，来存储域间路由 认证所需要的相关信息，从而确保 AS 可以基于这 些信息实现安全的域间路由认证。这些研究根据所 实现目标的不同可以分为两大类：（1）基于区块链 构建一个去中心化的 RPKI；（2）在去中心化 RPKI 基础上实现源路由认证以及真实路径验证。 基于区块链构建去中心化 RPKI 的主要思想如 图 6 所示，即用区块链记录 IP 地址块的分配和交易 信息，从而确定每个 IP 地址块的所属身份。例如 Paillisse 等人所提出的 IPchain[38]，他们认为 IP 地址 块与数字货币一样，具有流转性（可进行分配与再 分配），都能被有限分割，而且在同一时刻都只能 被一方拥有，因此用区块链构建一个去中心化的 RPKI架构，即用区块链来模拟RPKI地址分配流程， 将 IP 地址的分配历史都记录在区块链上，并提出 PoS 共识比 PoW 共识更适合用来确保 IP 块的安全 分配。 Xing 等人[39-40]设计现了基于区块链的资源 管理平台 BGPCoin，其中对 RPKI 不同角色之间的 地址分配设计了详细的智能合约，参与者调用相应 的智能合约进行地址的申请和分配，分配信息则被 存储在区块链中提供查询。此外，BGPCoin 引入了 用户监管模式，提出 AS 边界路由器可以担任检测 者，当发现错误 ROA 时调用 ROA 检测合约，上报 错误 ROA 并获得相应的激励。Stefano 等人则将区 块链与 IP 地址交易市场结合，提出了 InBlock 架构 [41-42]，该架构记录每一笔 IP 地址的交易记录，每笔 交易记录都包含具体的 IP 地址块信息以及被授予 该地址块的组织账户 ID，而这些交易记录可以像 ROA 一样作为源地址认证的基础，考虑到现有 IPV4 地址已分配完，作者认为 InBlock 可以作为未 来 IPV6 地址的交易平台。 基于区块链实现源路由认证以及真实路径验 证的研究中，根据区块链中记录的信息不同可以分 为两种。第一种主要思想如图 7 所示，即通过区块 链来记录各 AS 的路由源宣告信息以及路径宣告信 息，并结合 IP 地址块的分配信息来判断路由宣告的 合法性。例如 Hari 等人设计的互联网区块链 （Internet Blockchain）[43]，其中各 AS 与注册机构 参与区块链的维护，并将初始的数字资源分配情况 以及相应的 ROA 信息记录到初始区块中；当注册 机构发布新的 ROA 信息时，构造 ROA 交易，ROA 交易的输入为相应的 IP 地址块（分配新的地址块 时）或过期的 ROA 信息（重新分配旧地址块时）， 输出则为该 IP 地址块绑定的 AS；当 AS 宣告路径 时，创建一个路径宣告交易，交易的输入为相应的 ROA 信息（宣告路由源时）或上一个 AS 宣告的路 径信息（宣告路径时），输出则为与该 AS 建立了邻 居关系的多个 AS 地址；ROA 交易和路径宣告交易 经矿工节点验证后被记录到区块链中供边界路由 器查询，从而同时实现路由源认证和真实路径验证 两种功能。刘冰洋等人设计的 DII[44]以及 Saad 等 人设计的 RouteChain[45]也都采取了类似的思想，其 中 DII 提出将地址块的后续交易转让记录也记录到 区块链中；RouteChain 则提出对 AS 进行划分区域 并实现分层管理，使得每个区域能够更快地达成共 识，从而降低延迟并增强可扩展性。 block i-1 block i block i+1 IANA 智能合约 更新IP地址 块与AS的绑 定信息 RIR ISP 发布地址分 配交易 发布地 址出售 交易 记录 交易 信息 发布地址转 让、更新交易 请求地 址分配 请求购买 地址块 图 6 去中心化的 RPKI 架构图 第二种则是记录各 AS 的路由源信息以及 AS 之间的邻居关系，在收到路由宣告后根据区块链所