ルーティングにおける認証木村泰司

一般社団法人 日本ネットワークインフォメーションセンター

1

発表者について• 名前– 木村泰司（きむらたいじ）• 所属– 一般社団法人日本ネットワークインフォメーションセンター (JPNIC)• JPNICの認証局・RPKI・DNSSEC鍵管理・セキュリティ関連：開発/運用/ユーザサポート/解説/セミナー/連携/企画• 参加活動– JNSA PKI WG/フィッシング対策協議会/WIDE• IETF参加– MLは1997年頃、ミーティングは2002年頃より
2

ここでRPKI入門

一般社団法人 日本ネットワークインフォメーションセンター

インターネットの姿（１）インターネット4インターネットの姿（２）
プロバイダ

プロバイダ

5

企業/大学ほか

AS(Autonomous System) － 自律システム

AS

AS

AS

AS

インターネットは、自律的なネットワークである「AS」のつながりによって構成されている。
6

AS番号
AS 65536

AS 64500

AS 65537

AS 64501

ASを識別する番号の「AS番号」は、JPNICのような「レジストリ」によって割り当てられる。
7

AS間ルーティングとBGP
AS 65536

AS 64500

AS 65537

AS 64501

ASで収容されているIPアドレスは「経路情報」と呼ばれ「BGP」を使って伝播される。
8インターネットとASのつながり
CAIDA’s IPv6 AS Core AS-Level Internet Graph
http://www.caida.org/research/topology/as_core_network/

現在のAS番号割り当て数
96,495
The 32-bit AS Number Report
http://www.potaroo.net/tools/asn32/

9BGPにおける経路情報の数
2014年前後に古いBGPルータで扱えない可能性があった50万を超え、継続して増加傾向にある。

BGP Statistics from Route-Views Data, 30 Aug, 2017
http://bgp.potaroo.net/bgprpts/rva-index.html

10

AS間ルーティングにおけるインシデント

一般社団法人 日本ネットワークインフォメーションセンター

2008年のYouTubeインシデント
インシデント発生時

平常時
YouTube Hijacking: A RIPE NCC RIS case study, 17 Mar 2008, RIPE NCC,
http://www.ripe.net/internet-coordination/news/industry-developments/youtube-hijacking-a-ripe-ncc-ris-case-study

YouTubeの経路情報が別のASによって広告され、約2時間半の間、アクセスできなくなった。
12

MyEtherWallet.com• 手法– AWS Route 53の経路(/23など)を/24で経路広告– MyEtherWallet.comの問い合わせに対して偽のAレコードを応答– サーバ証明書は自己署名証明書だった模様（本来EV SSL証明書"MyEtherWallet Inc"）• 影響– 総額15万ドル（約1630万円）相当が不正送金される• サーバ証明書のエラーを無視して接続したユーザは他のウォレットに送金させられた

不正な経路広告によって偽のDNS応答を返し、偽のサーバにアクセスさせ不正送金したという報告• MyEtherWallet、DNSサーバーにハッキング、15万ドル分のETH盗難か
https://jp.cointelegraph.com/news/myetherwallet-warns-that-a-couple-of-its-dns-servers-have-been-hacked• AWS DNS network hijack turns MyEtherWallet into ThievesEtherWallet - The Register, 2018/4/24
https://www.theregister.co.uk/2018/04/24/myetherwallet_dns_hijack/13国内における観測
検出状況
500
400

JPNIC

JPNIC

INV_ORGN

WD_INVLD

300
200
100
0-100-200-300-400-500

AS番号が本来とは異なる疑いのある経路情報が観測されている。 (JPIRRの登録情報との比較)
14

対策の考え方• 経路情報における正しさ– IPアドレスの分配を軸に判断 ⇒ RPKI

• 経路の情報は膨大– スケーラビリティのある判別の仕組み⇒ オブジェクトセキュリティ/署名技術– 運用者が人手で対応するのはほぼ不可能⇒ 機械可読・ルーターで判別

15

RPKIとは一般社団法人 日本ネットワークインフォメーションセンター

リソース証明書
レジストリデータベース

ICANN/IANALACNIC
192.0.0.0/8

CNNIC KRNIC TWNIC
NIR: National Internet Registry192.168.0.0/16

ISP事業者 ISP事業者
LIR: Local Internet Registry192.168.64.0/22

リソース証明書AfriNIC RIPE NCC APNIC ARIN
RIR: Regional Internet Registry

IPアドレス

ユーザ組織

リソース証明書は、下に行くほど小さなprefixが記載される。
Copyright © 2018 Japan Network Information Center17

リソース証明書とROA• Route Origination Authorization• IPアドレスのホルダーによる署名付きデータで、割り当てられたIPアドレスの経路広告を特定のASから経路広告することを認可したことを示す。
リポジトリ

ROA は BGPsec のOrigin Validation に使われる。

RPKI検証キャッシュサーバ
BGPルータ

ROA

リソース証明書

レジストリ
割り振り先／割り当て先（JPNICなど）
・ISP事業者・歴史的PIアドレスホルダーなど Copyright © 2018 Japan Network Information Center18

# telnet localhost bgpd
Escape character is '^]'.
Hello, this is QuaggaSrx (version 0.99.16-0.3.0.0).
Copyright 1996-2005 Kunihiro Ishiguro, et al.
User Access Verification
Password:
bgpd> en
bgpd# sh ip bgp

Origin Validation - IPアドレスを使っている(経路広告元)ASが正しいかどうかを確認する仕組み

BGP table version is 0, local router ID is 192.41.192.249
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,r RIB-failure, S Stale, R Removed
Validation:v - valid, n - notfound, i - invalid, ? - undefined
SRx Status:
I - route ignored, D - SRx evaluation deactivated
SRxVal Format: validation result (origin validation, path validation)
Origin codes: i - IGP, e - EGP, ? - incomplete
Ident
SRxVal SRxLP Status Network*> DE83681B v(v,-) + 200,202.12.30.0*> FBF4BE57 n(n,-) + 100,202.12.31.0

Next Hop
192.41.192.226
192.41.192.226

MetricLocPrf Weight Path200s
0 65001 2515 i100s0 65001 2515

bgpd#
Copyright © 2018 Japan Network Information Center19

オリジン検証の内容(1)(1)AS2515が勝手にIPアドレスを使っていないかな？
AS65001

202.12.30.0 AS2515
202.12.31.0 AS2515
AS2515(2)そもそも2つのprefixはレジストリから割り振られたものかな？

Copyright © 2018 Japan Network Information Center20

オリジン検証の内容(2)202.12.30.0 AS2515
202.12.31.0 AS2515
AS65001

ROAキャッシュ
サーバ

AS2515「202.12.30.0 AS2515」というROAがありますよ～「202.12.30.0」という証明書があってROAへの署名は正しいですよ～Copyright © 2018 Japan Network Information Center21

Origin Validationの仕組み• RPKIキャッシュ• リソース証明書の署名検証を通じて、IPアドレスが正式に割り当てられたものであることを確認• ROAの署名検証を通じて、経路広告元のAS番号が正式なIPアドレスの割り当て先によって指定されたものであることを確認• BGPルータ• BGP Updateメッセージとして伝播してきたIPアド
レスprefixと経路広告元のAS番号を確認
BGPルータにおいて、BGP経路情報の中の不適切なIPアドレスや本来とは異なる経路広告元が検出できる。
Copyright © 2018 Japan Network Information Center22

ROAの登録と管理の方法 (ガイド)Copyright © 2018 Japan Network Information Center23

ルーティングにおける認証• オブジェクトセキュリティ• インターネットにおける経路情報のセキュリティのため、認証対象の規模拡張性が重要。

• 認証の意味• ROA - 正しいIPアドレスのホルダーがASに対してそのIPアドレスを経路広告する事を認可(予め登録された情報の正しさとの照合)

Copyright © 2018 Japan Network Information Center24

RPKIのIETFにおける動向
sidrops WG

Copyright © 2018 Japan Network Information Center25

sidrops - アジェンダ• 7/16(月) 13:30-15:17 60名程
• アジェンダ• The Use of Maxlength in the RPKI, Sharon
Goldberg• Origin Validation Signaling, Randy Bush
• A Profile for Autonomous System Provider
Authorization, Alexander Azimov• Modified Validation deployment planning,George Michaelson• RPKI signed object for TAL, Tim Bruijnzeels

Copyright © 2018 Japan Network Information Center26

The Use of Maxlength in theRPKI(1/2)

Use of MaxLength in the RPKIより
https://datatracker.ietf.org/meeting/102/materials/slides-102-sidrops-draft-ieft-sidrops-rpkimaxlen-00
Copyright © 2018 Japan Network Information Center27

The Use of Maxlength in theRPKI(2/2)• このI-Dにおける提案• 最大プレフィックス長の記載をやめて、経路広告するプレフィックスのみを入れる。

• 議論• /32や/128のようなホスト経路はどうすればいいのか。→ それはこの問題を避ける対象ではない。
(別の人の回答) MaxLenだけでマッチしたものは受け付けたくない。
• ROAの最大プレフィックス長そのものを名sくしたいわけでもない。

Copyright © 2018 Japan Network Information Center28

Origin Validation
Signaling(1/2)• "Evaluator"がBGP拡張コミュニティを使ってROAを使ったオリジン検証のInvalidの結果を返す。

Origin Validation Signalingよりhttps://datatracker.ietf.org/meeting/102/materials/slides-102-sidrops-draft-ymbk-sidrops-ov-signal-00
Copyright © 2018 Japan Network Information Center

29

Origin Validation
Signaling(2/2)• 議論• デバイスによってはルーティングトラストバウンダリーの中で行う必要はないかも知れない。routereflector は良いユースケース。(randy)• (経路は)Inboundかoutboundか。Inboundならいいが… → inboundの話。

Route reflectorはIBGP?で接続？
Copyright © 2018 Japan Network Information Center30

A Profile for Autonomous
System Provider Authorization• このドラフトにおける提案• 「BGPsecに対応していない」と言うことによってBGPsecのパス検証を回避する不正なルータへの対策＝意図的なASパスの操作への対策

AS_PATH Verifcation Using ASPAより
https://datatracker.ietf.org/meeting/102/materials/slides-102-sidrops-as-path-verifcation-using-aspa-00
Copyright © 2018 Japan Network Information Center31

Modified Validationdeployment planning• 内容• リソース証明書に記載されたプレフィックスのセットのうち、一部を内包していれば有効とみなす形式（OIDで指定）に移行することについての考察• 2018年7月を「フラッグディ」として移行する事を検討中• コードなし。利用者(RP)・中間認証局であるNIR共に対応していない。

まずはNIRやRPKI Tools
開発者と相談しては？
Copyright © 2018 Japan Network Information Center32

RPKI signed object for TAL• 平文のTAL(Trust Anchor Locator)を署名付きのオブジェクトで鍵の世代交代ができるように改良する提案

draft-ietf-sidrops-signed-talよりhttps://datatracker.ietf.org/meeting/102/materials/slides-102-sidrops-draft-ietf-sidrops-signed-tal-00
Copyright © 2018 Japan Network Information Center33

おわり

一般社団法人 日本ネットワークインフォメーションセンター

34