HIJACKING CERTIFICATE ISSUANCE FROM MULTIPLE PERSPECTIVES: AN OPEN TESTBED

The Border Gateway Protocol (BGP) is the protocol responsible for routing Internet traffic between different Autonomous Systems and has several structural vulnerabilities that can be exploited to carry out hijacking attacks. Such attacks not only compromise proper network routing but also affect all services that rely on the implicit assumption of correct routing, notably the domain validation mechanisms used by Certificate Authorities in the automated issuance of TLS certificates via the ACME protocol. The CA/Browser Forum has recently mandated the use of a Multi-Perspective Issuance Corroboration (MPIC) mechanism to mitigate this risk. The mechanism requires the CA to implement a validation process for domain verification from multiple geographically and topologically distinct observation points, approving certificate issuance only upon reaching a quorum among the various observation points. This thesis analyzes the structural limitations of the aforementioned defense mechanism using a containerized experimental testbed, designed to deterministically isolate the topological variables on which MPIC’s effectiveness depends. The results confirm that MPIC is effective only under favorable topological conditions and with sufficiently strict quorum policies, while it remains structurally incapable of detecting globally propagated sub-prefix hijacking.

Il Border Gateway Protocol (BGP) è il protocollo responsabile dell'instradamento del traffico in Internet tra diversi Autonomous Systems e presenta diverse vulnerabilità strutturali che possono essere sfruttate attuando attacchi di hijacking. Tali attacchi non compromettono soltanto il corretto instradamento della rete, ma si propagano verso tutti quei servizi che si poggiano sull'assunzione implicita della correttezza del routing, tra cui spiccano i meccanismi di domain validation adoperati dalle Certificate Authority nel processo di emissione automatizzata dei certificati TLS tramite il protocollo ACME. La CA/Browser Forum ha recentemente reso obbligatorio l'utilizzo di un meccanismo di Multi-Perspective Issuance Corroboration (MPIC) per mitigare questo rischio. Il meccanismo richiede alla CA di attuare un processo di validazione per il controllo del dominio da più punti di osservazione geograficamente e topologicamente distinti, approvando l'emissione del certificato solo al raggiungimento di un quorum tra i diversi punti di osservazione. Il presente lavoro di tesi analizza i limiti strutturali del suddetto meccanismo di difesa mediante un testbed sperimentale containerizzato, progettato al fine di isolare in modo deterministico le variabili topologiche da cui dipende l'efficacia di MPIC. I risultati confermano che MPIC è efficace soltanto in presenza di condizioni topologiche favorevoli e di politiche di quorum sufficientemente strette, mentre rimane strutturalmente incapace di rilevare hijacking di sotto-prefisso globalmente propagati.