IETF101報告会
DOTS WG
2018.4.27
Kaname Nishizuka@NTT Communications@__kaname__⾃⼰紹介
n 2006年 NTTコミュニケーションズ⼊社
n OCNアクセス系ネットワークの設計に従事した後、⼤規模ISP向けのトータル保守運⽤サービスを担当
n メインフィールド• トラフィック分析• DDoS対策ソリューション
• IPv4枯渇対策関連技術
n IETF提案活動• DOTS WG
n JPNIC「IPv6教育専⾨家チーム」

2

IETF101@ロンドン
DOTS 関連報告

33

dots WGn DDoS Open Threat Signaling (dots)n 設⽴：2015-06
n Chairs: Roman Danyliw(CERT)
Tobias Gondrom (OWASP, Huawei)n 新しいWG(BoF:IETF92 / Meeting:IETF93〜)
n DDoS対策を効率的に実現するために、DDoSに関連した情報のリアルタイムでのシグナリングを規格化する• ⾃動化• より⼤規模な防御システム• ベンダ独⾃なソリューションからの開放
4

DOTSプロトコルが実現すること
n 攻撃を受けるネットワーク(加⼊者ネットワークや、企業ネットワーク、データセンタネットワークなど)から、攻撃を防御する機能を持つ上流のネットワーク(トランジット事業者やDDoS対策事業者)への防御依頼を標準化・⾃動化します。
n DOTSプロトコルは以下を実現します。
1. 防御依頼を機械的に⾏うことができるため、DDoS攻撃の検知から防御までを、組織を超えて⾃動化することが期待できます。
2. 防御依頼のシグナルが標準化されることにより、ベンダ独⾃のDDoS対策ソリューションからの開放が期待できます。
3. 防御依頼をリレーして伝搬することで、より⼤規模な防御システムを構築できることが期待できます。

5

IETF101におけるDOTS関連進捗まとめ
n 3つの独⽴した実装が揃った• OSS実装: go-dots• ベンダ実装: NCCGroup• ベンダ実装: Arbor (NEW!)n コアな仕様の⼀つがWGLCとなる⾒込み• シグナルチャンネル -> 相互接続試験済み, WGLC間近• データチャンネル -> 今後の相互接続試験のターゲット
n 仕様をサポートするドラフトも⼤きく進展• 要求事項(Requirement): 2回⽬のWGLCへ• アーキテクチャ: WGLCへ• ユースケース: 内容のシンプル化へ(後述)6

DOTS WG ミーティング

7

IETF Hackathon
Report:
DOTS Interop

Kaname Nishizuka/Jon Shallow
IETF 101 DOTS WG
20 March, 2018

DOTS Hackathon Plan
• Test the interoperability between independent
implementations:– See the maturity of these core specs of DOTS protocol• draft-ietf-dots-signal-channel-17• draft-ietf-dots-data-channel-13• Implementations– OSS by NTT: nttdots: https://github.com/nttdots/go-dots– Proprietary implementation of NCC Group– Proprietary implementation of Arbor (couldn’t attend thistime)– Proprietary implementation of Huawei based on nttdots

DOTS Hackathon Achieved

Features and implementation status

Interoperability Testing Results

We are getting there!
• DOTS (DDoS Open Threat Signaling) protocol– Makes Distributed Denial of Service (DDoS) Protection
more effective with its programmatic capability.
– Protects the Internet from DDoS attacks.
• We confirmed that we can do cooperative DDoS Protection
operations between (at least 2) independentimplementations

Example Protection of IP• Successful Mitigation Request from OSS DOTS client(nttdots) to proprietary DOTS server (NCC Group) – and viceversa.

What we learned• We can meet the expectations for DOTS protocol fromthe market soon– Draft Signal Channel spec is almost stable• In the Hackathon, we tested based on proposing spec(to be included in the coming -18 draft), so it is provento work!
• Discussed and clarified a lot about the current drafts
text• Discussed adding new feature on the protocol, which
could be included in the DOTS spec in futureAchievements in detail (for WG)
Achievement 1. During the Hackathon
Successfully worked interoperable features• CRUD operations on session configuration and mitigation request• gateway function (on NCC Group side)– Nttdots client traffic to NCC Group DOTS Gateway relayed tonttdots server + cdid addition– the usage of "cdid" is now under discussion• PKI and PSK mode on DTLS
• cuid/mid in URI-path: it helps an implementation using libcoap

Achievements in detail (for WG)
Achievement 2. In preparation for the Hackathon
Actually nttdots and NCC Group did interop tests internally 3 times!
before the Hackathon• Agreed on trying with the latest spec (-17 or later)– Updated models so as to comply with that
• Added CoAP ping capability (nttdots)• Many fixes of the code on both side

成果と進捗
n OSSはリファレンス実装に• 実装をオープンにしたことで、標準化の進みを加速
n WGの今後の⽅向性• 引き続きgo-dotsとNCCグループは Interop を実施
ü データチャンネルが今後のターゲットに• さらに Interop に参加する実装を集める
ü 業界最⼤⼿のArborの参加が⾒えてきた18