4-3ネットワーク

1

インターネットの基盤技術の現状と展望

2松崎 吉伸●株式会社インターネットイニシアティブ

シニアエンジニア

DNSSEC や RPKI など、DNS や BGP での認証技術の対応が始まっている。DNS を悪用した DoS や、経路爆発、AS 番号の枯渇、BGPのエラー制御などの課題も。

34

DNS と IP ルーティングは、それぞれインターUDP では簡易に通信できる反面、なりすましネットで名前解決と到達性確保を担っており、多などによる攻撃の可能性が懸念される。この攻くの通信が実質的に両者に依存している。ここで撃への対応は古くから議論されている。対策とは、DNS について DNSSEC を始めとするセキュして、DNS に公開鍵暗号技術を導入し、DNS 応リティ対策やアクセス制御への利用を取り上げ、答の検証に完全性や認証などのセキュリティ機能

IP ルーティングについては動的経路制御、特にを利用できるようにした DNSSEC が、IETF（In-BGP 関連の技術動向を取り上げて解説する。

ternet Engineering Task Force）で標準化されている。

■ DNS と DNSSECDNSSEC では、DNS 応答を検証する側が、信DNS は主にホスト名に対応する IP アドレスを頼の拠点となる公開鍵情報をトラストアンカーと検索するために利用されている。ほとんどの機器してゾーンの管理者から取得する。これを基点には DNS を参照する機能が組み込まれている。に信頼の連鎖をたどることで、そのサブドメイン

DNS を参照する利用者はその設定を意識するこに関しても DNS 応答を検証可能としている（資とはあまりない。ISP やシステム管理者が提供す料 4-3-1）。IANA（Internet Assigned Numbers

るキャッシュ DNS が、DHCP や DHCPv6、PPPAuthority）機能を運用している ICANN は、rootを通じて通知され、端末に自動設定されている場ゾーンのトラストアンカーを公開しており、これ合が多い。

を信頼の拠点にすれば DNS ツリー全体を網羅す

DNS の問い合わせには UDP と TCP がともにることができる。そのため、キャッシュ DNS な利用できる。IIJ が 2013 年 4 月に行ったキャッどで DNSSEC 検証する場合には、root のトラス

シュ DNS の計測調査によると、99.99 ％程度はトアンカーを取得して運用する場合が多い。

UDP による問い合わせであった。

第4部

製品・技術動向

19151

資料 4-3-1 キャッシュ DNS での DNSSEC 検証2345
出典：筆者作成

DNSSEC の署名も徐々に進んでいる。ICANN

ロベニアやルクセンブルク、ベトナムなどでも、の調査によると、2013 年 10 月 25 日時点で root6 割弱から 4 割弱程度のユーザーが DNSSEC 検ゾーンに登録されている 323 のトップレベルド証を利用している。

メイン中、128 ドメインが DNSSEC 署名をして日本でも、一部 ISP では DNSSEC 検証を有効いる。このうち、119 ドメインはそのトラストアにしたキャッシュ DNS を提供している。しかンカーを DS レコードとして root ゾーンに登録し、大手 ISP ではまだ主要なキャッシュ DNS でしている。そのため、root のトラストアンカー

DNSSEC 検証を有効にしておらず、大部分のユーからたどることで、これらのドメインについてもザーは DNSSEC を利用していない状況である。

DNSSEC 検証可能となっている。
.jp ゾ ー ン で も 、2010 年 に DNSSEC 署 名 と■ DNS と攻撃

root ゾーンへの DS レコードの登録が完了してDNS では UDP による応答は 512 オクテット

い る 。2011 年 に は JP ド メ イ ン 名 サ ー ビ ス で

ま で と 規 定 さ れ て い る 。し か し 、DNSSEC や

DNSSEC への対応を開始している。これにより、

IPv6 対応により、応答パケットサイズが肥大

JP ドメイン名の登録者が望めば、DS レコードする傾向にある。そこで、より大きなデータサイを登録し、DNSSEC に対応できる状態となってズに対応するための EDNS0（Extension Mecha-いる。

nisms for DNS）が標準化されている。すでに多APNIC Labs による DNSSEC の利用に関するくの実装が EDNS0 に対応しており、UDP のまま

調査によると、2013 年 8 月時点でスウェーデン

512 オクテットよりも大きな DNS 応答が可能とでの利用が突出しており、8 割弱程度のユーザーなっている。

が DNSSEC 検証を利用している。そのほか、ス

192

第4部

製品・技術動向

一方で、この DNS によるトラフィックの増幅に注目し、DoS（Denial of Service、サービス不交換プロトコルに BGP が利用されている。イン能）攻撃に悪用する事例も発生している。現在、ターネットの広がりとともに、そのすべての経路

キャッシュ DNS では、攻撃に関与することを防数、いわゆるフルルートの経路数が増え続けてぐため、適切な範囲にのみサービスを提供するいる。

12

ようアクセスコントロールを適用するなどの対IPv4 では、2009 年 4 月に 28 万経路程度であ策が進められている。一方、権威サーバーは、イったが、2013 年 4 月時点では 44 万経路を超えてンターネットのどこからの問い合わせにも応答いる。IPv6 に関しても、2009 年 4 月には 1500しなければならず、単純なアクセスコントロー経路程度であったが、2010 年頃から急激に増加ルを適用できない。このため、DNS RRL（DNSし始め、2013 年 4 月に 1 万 3000 経路を超えてResponse Rate Limiting）などの対応策を試行しいる。IPv4、IPv6 ともに経路数は増加し続けてながら、適切な対応を模索している状況である。

おり、ルーターの空きメモリを圧迫する要因と34なっている。これにより、フルルートでの運用を■ DNS を利用したアクセス制御
DNS を利用した端末のアクセス制御も、さまざまな利用が広がっている。

続けるにはルーターハードウェアの適切な増強や交換などの対応が必要となっている。
こうしたフルルート運用の負担を軽減するた

ユーザーは、ホスト名を指定してインターネッ

めに、複数のグループ化されたルーターで分担しトのサービスを利用する。そのため、名前解決にて経路情報を扱うなどの技術提案がある。ただ利用される DNS の応答を制御することで、利用し、ネットワーク構成に制限が発生するなど、課者のアクセスの制限や誘導ができる。

題がそれぞれにある。そのため、これまでのとこ

広域なコンテンツ配信では、DNS が応答する

ろ、フルルート運用する必要のあるネットワーク

IP アドレスを適切に変えることで、ユーザーをではハードウェア増強以外に広く受け入れられその近傍のコンテンツサーバーに誘導している。ている対応策はない。

また、国によっては、好ましくないサイトへのアクセスを DNS で制御して制限している場合もある。

■ RPKIBGP では、誰がどんな経路情報を広報するか

日本でも、一部 ISP のキャッシュ DNS では、分からない。経路の広報元やそれをトランジッ

児童ポルノ画像の流通阻止のために児童ポルノトするネットワークが、経路フィルタを厳密に適サイトへのアクセスを制限する実装が導入され用するなどして注意しておかないと、単純なミている。また、IPv6 閉域網による遅延やアクセスなどによって生成された不正な経路情報が流ス障害といった影響を軽減するために IPv6 の IP通してしまう可能性がある。実際、インターネッ

アドレスを示す AAAA レコードの応答を抑制す

トでは不正な経路の広報による事案が発生してる、AAAA フィルタ実装が導入されている場合いる。

もある。

この 問 題 に 対 応す る た め 、RPKI（Resource
Public Key Infrastructure）を利用した経路認証■ BGP と経路爆発
インターネットでは、ネットワーク間の経路技術が提案されている。RPKI は、IP アドレスやAS 番号といったインターネットの番号資源を割第4部

製品・技術動向1935

1234り振るインターネットレジストリが、電子証明書して信頼の連鎖をたどることで、それぞれのインによって資源の利用権利を示す仕組みである。すターネットレジストリなどが発行している電子でに APNIC を始めとする世界の RIR（Regional証明書を検証できる仕組みになっている。RPKIInternet Registry、地域インターネットレジスト

キャッシュなど検証を行う側では、トラストアンリ）は、すべて RPKI による電子証明書の発行にカーからすべての電子証明書をたどって収集し、対応している。

信頼の連鎖に基づいて電子証明書の検証を行う

RPKI でも DNSSEC と同様に、電子証明書を検（資料 4-3-2）。

証する側が、信頼の拠点となる情報をトラストア

将来的には DNSSEC と同様にトップレベルのンカーとして取得しておく必要がある。RPKI のトラストアンカーが運用されるかもしれないが、現状では、APNIC など 5 つの RIR がそれぞれト

現状ではまだ特に決まった方針は示されていラストアンカーを公開しており、これらを基点にない。

資料 4-3-2 RPKI キャッシュでの証明書検証

5

出典：筆者作成■ RPKI を利用した広報元 AS 検証

すでに、世界の RIR では ROA の発行にも対応

RPKI で は 、ROA（Route Origin Authoriza-している。2013 年 10 月時点で、世界で有効なtion）と呼ばれる電子証明書を発行できる。こROA オブジェクトは 1700 以上になっている。の証明書は、IP アドレスブロックと AS 番号の情

特に RIPE 地域で継続的な増加が見られるほか、報を含んでおり、その IP アドレスブロックの管他の地域でも徐々にその数を増やしている。

理者がどの AS 番号から経路広報するかを表明で発行された RPKI の電子証明書を収集して検証きる。これを利用して、経路の広報元 AS の検証するための RPKI キャッシュも、いくつか開発がが可能になりつつある。

続いている。またルーターベンダーでは、RPKI

194

第4部

製品・技術動向に対応したファームウェアを開発している。ルー

合に、単に BGP 接続を切断するなどの実装があターで ROA の検証結果を受信し、実際の経路情ることが分かっている。こうした実装により、AS報と突き合わせて経路制御に利用できるファー

Path 長が異常に長い経路情報や不明な BGP 属性ムウェアである。このように、徐々に利用に向け値を受信した際に、世界のあちこちでルーターがて環境が整ってきている。

BGP 接続を切断してしまう事例が発生した。

ただし、BGP の経路広報では広報元 AS を偽装そのため、エラー処理に関して再検討が行われすることも可能である。そのため、より厳密なた。無闇に BGP 接続を切断するよりも、単にそ確認のためには、経路が広報されて来た AS Pathの経路情報を無視した方がネットワーク運用上を含めた検証が必要となる。現在、IETF などで好ましい場合もあり、実装の見直しが進んだ。そAS Path まで含めた検証方式の議論が続けられてのほか、IETF で新たな属性値などを標準化するいる。

際にはエラー処理を厳密に記述することが合意

1

2

34された。

■ 4 オクテット AS
BGP で利用されている AS 番号としては、2 オ

5■展望クテットの整数値が使われてきた。しかし、インDNS と IP ルーティングでは、それぞれセキュターネットの広がりにともない、AS 番号の在庫リティ対応が迫られるなど、今までになかった制の枯渇が懸念されるようになった。

御方法の導入が進んできている。特に電子証明

このため、AS 番号を 4 オクテットに拡張する書を利用した厳密な検証では、署名側にも検証側技術が標準化された。2007 年から徐々に 4 オクにもより細やかな運用が要求されるため、今までテット AS の割り当てが開始されている。現状で以上に精緻な運用が必要となってくる。

は特に区別なく割り当てが行われているが、運用

今後は、こうした新たな技術導入にともなう運している機器が古くて対応していないなどの理用技術の向上と並行して、より網羅的な運用状態

由で、2 オクテットの AS 番号を要求するネットの観測と有用な異常の検出、それらを適切に関ワーク運用者もまだ存在する。

係者に伝えられる仕組みも必要となると考えて2013 年 10 月時点で、IANA の 2 オクテットいる。

AS 番 号 資 源 在 庫 は 残 り 500 弱 と な っ て お り 、徐々に 4 オクテットの AS 番号しか割り当てできない状況に進みつつある。ルーターも最近のものであれば問題なくサポートしている。AS 番号は今後、徐々に単なる 4 オクテットの整数値として認識されていくと考えられる。

■ BGP とエラー制御
BGP ではエラー制御に関しても見直しが進んできた。
例えば、属性値が不正な経路情報を受信した場

第4部

製品・技術動向195