JPOPM15

2008年11月27日

秋葉原コンベンションホール

RIR/JPNICにおける電子認証技術とインターネット経路制御のセキュリティ向上に関する動向

木村 泰司

内容
• RIR/JPNICにおける電子認証技術• インターネット経路制御のセキュリティ向上に向けた取り組み• JPNICにおける取り組み

Copyright © 2008 Japan Network Information Center2

RIR/JPNICにおける電子認証技術
IPアドレスハイジャックを防げIPアドレスハイジャック

Copyright � 2001- 2004 Completewhois Project

手続きを含めて登録者認証は重要
Copyright © 2008 Japan Network Information Center

4

RIRとJPNICにおける電子認証（ユーザ認証）
Mail-fromはほぼ使われていない

CRYPT-PWはなくなりつつある

JPNIC

APNIC

ARIN

RIPE
NCC

AfriNICLACNIC

ユーザ認
証の方式

パスワード
電子証明書（X.509）

パスワード
PGP
X.509

(Mail-from)
PGP
X.509

MD5-PW
PGPKEY
X.509

CRYPT-PW
MD5-PW
PGPKEY
X.509

パスワー
ド申請方式

電子メール
Web

電子メール
Web

電子メール

電子メール
Web

電子メール
WebWeb

2008年11月現在
JPNICではパスワードも廃止予定

Copyright © 2008 Japan Network Information Center

5IPアドレスに関わる申請業務の形態（メールとWeb）

TLS/SSLパスワード
GPG/MIME
S/MIME

Copyright © 2008 Japan Network Information Center

6

RIRとJPNICにおける認証局の構築
RIR/JPNICが認証局を運用
JPNIC

APNIC

ARIN

RIPE
NCC

AfriNICLACNIC○○○○－－

ユーザ認証 2005/9
用電子証明書2002/92004/4

2003/5

2005/2－TLS
client,S/MIME

TLS
client,S/MIME－

認証局の運用

利用用途

TLS client TLS client S/MIME

TLSもしくはS/MIMEで利用

Copyright © 2008 Japan Network Information Center2008年11月現在

7

JPNICにおける電子証明書を用いたユーザ認証
資源申請者
資源管理者

Web申請システム

JPNIC

指定事業者契約に基づく「資源管理カード」

電子メールとオフライン確認に基づく電子証明書

証明書認証IDの有効性

Copyright © 2008 Japan Network Information Center

8

JPNICにおける電子証明書を用いた
ユーザ認証

Copyright © 2008 Japan Network Information Center9インターネット経路制御のセキュリティ向上に向けた取り組み
経路ハイジャックの被害を減らすためにできること

YouTubeのASに対する経路ハイジャック••••

2008年2月24日18:47～21:03 UTC
別のOrigin ASによる経路広告
more specific route(/24)
経路広告が止まるまで復旧せず• RIPE NCCにおける分析– 「YouTube Hijacking: A RIPE NCC RIS case study」
http://www.ripe.net/news/study-youtube-hijacking.html– 「BGPPlay and „The Youtube Incident‟ - As Seen Through RIS」
（RIPE-56）– “ROUTE FILTERING”

Copyright © 2008 Japan Network Information Center11

インターネット経路制御のセキュリティ向上に向けた取り組み• Internet Routing Registry• Resource PKI

Copyright © 2008 Japan Network Information Center

12Internet Routing Registry• 経路制御ポリシーを登録するためのレジストリ
システム
– 目的
• 自組織や他組織のオペレーターと経路制御ポリシーを共有すること– 主な用途• 自ASの経路制御ポリシーを登録しておき、他のASの経路フィルターなどの設定変更の時に参照してもらう– IXPやトランジットプロバイダー– 経路フィルターを設定しているAS

Copyright © 2008 Japan Network Information Center13

Internet Routing Registry• ISPや任意団体によって運用されているIRR/RR– RADb、Level3、OCNIRR、IIJなど、、• RIR/JPNICにおいて運用されているIRR– RIPE NCC – RIPE whoisd– APNIC IRR– ARIN IRR
2002年以降、RIRにおけるIRRの運– JPIRR用が開始してきた（RIPE NCCはwhoisdにおいて統合されており運用されてきた）

Copyright © 2008 Japan Network Information Center14

Internet Routing Registry – トピック
• RIPE NCC– MyASN– Proposal 2008-04– draft-kisteleki-sidr-rpsl-sig-00• APNIC– RPKIと連携？

• JPIRR– 経路ハイジャック情報通知実験– 経路情報の登録認可機構 利用実験
Copyright © 2008 Japan Network Information Center15

RPKI• Resource PKI (Public-Key Infrastructure)– IPアドレスやAS番号といったアドレス資源（Resource）の割り振りや割り当てを表現するためのPKI• リソース証明書– アドレス資源の利用権利を示す電子証明書• IPアドレスやAS番号が記載される

Copyright © 2008 Japan Network Information Center16

リソース証明書
ICANN/IANA

WHOISデータベース

IPアドレス
割り振り

AfriNICRIPE NCC

APNIC

ARIN

LACNIC

RIR: Regional Internet Registry
割り振り
CNNIC

KRNIC

TWNIC

NIR: National Internet Registry

ISP事業者

割り振り

リソース
証明書

ISP事業者

LIR: Local Internet Registry

割り当て

ユーザ組織
IPアドレスの一意性を保証し経路制御の適応性を向上させる仕組み

Copyright © 2008 Japan Network Information Center

17

RPKIの役割• IPアドレスの利用権利を確認するための認証基盤（RPKI）• セキュアなインターネット経路制御（将来的に）Copyright © 2008 Japan Network Information Center18

RPKIの動向
Allocation
database

RIR’s scope

RFC3779
sidr-res-cert-14
sidr-repos-struct-01
sidrrescerts-provisioning-03

ResourceCAIssue

sidr-bogons-02

Protocols: RIR-LIR, RIR-RIR
CA in LIR

Issue
Kisteleki-sidr-rpsl-sig-00

Resource Cert.
CRL etc…

sidr-roa-format-04

Prototype/beta system
in APINC, RIPE NCC, ARIN?

store

repository

RIPE 2008-04
ROA

BOA

Route obj.
in IRR

retrieve

Digital sign.
in IRR

Verification of ROA/BOA
sidr-roa-validation-01
Pmohapat-sidr-pfxvalidate-00
Any discussions?

Decisions on prefixes

IRR tools

routers

Well managed routing table(1) ROA approach

JPNIC
Prefix hijacking
detection(2) IRR approaches
Copyright© 2008Japan
NetworkInformation
Center19 19
Copyright© 2008JapanNetworkInformation
Centerここまでのまとめ• RIRとJPNICにおける電子認証技術– RIRとJPNICにおいて認証局を構築– 申請業務で電子証明書を用いたユーザ認証を導入• インターネット経路制御のセキュリティ向上に向けた取り組み– RIRやJPNICにおいてRRを運用– 新しい認証基盤としてResource PKIの策定/開発– リソース証明書は目下策定中、課題もある

Copyright © 2008 Japan Network Information Center

20

JPNICで取り組んでいること

JPNICで取り組んでいること• 経路ハイジャック情報通知実験• 経路情報の登録認可機構

Copyright © 2008 Japan Network Information Center

22経路ハイジャック情報通知実験• 目的– JPIRR登録者に経路ハイジャック情報を通知することで、 登録情報更新を促し、JPIRR登録情報の正確性向上• 概要– JPIRRの登録情報と異なる経路情報を「経路ハイジャックが疑われる状況」 として検出– その検知結果を希望するJPIRR登録者へ通知• 実験期間– 2008年5月21日(水) ～ 2009年3月31日(火)• 実験に参加頂ける方– JPIRRにメンテナーオブジェクトを登録いただいている方• 情報– http://jpirr.nic.ad.jp/
Copyright © 2008 Japan Network Information Center23

経路情報の登録認可機構• JPIRRに不適切なprefixが登録されることを防ぐ。

Copyright © 2008 Japan Network Information Center24

開発の背景IRRには不適切なprefixが登録される可能性がある。
不適切なIPアドレス： 他のISPのprefix、未割り振りのprefix⇒ これでは、登録しさえすれば「使える」

IPレジストリシステム

IPアドレスの照合は行われていない

Copyright © 2008 Japan Network Information CenterIRR25

許可リスト

割り振り先組織（IP指定事業者）がメンテナーを指定する

IPアドレスの割り振り先が、IRRに登録されるIPアドレスを管理できる

Copyright © 2008 Japan Network Information Center26

routeオブジェクトの登録制限指定されたprefixだけが、routeオブジェクトとして登録可能
正しいIPアドレスとAS番号の組み合わせがIRRに蓄積される
Copyright © 2008 Japan Network Information Center27

導入の意義• 経路広告を意識したIPアドレス管理業務– IPアドレスハイジャックや経路ハイジャックの被害を減らすために役立つよう、登録情報を整える– 「許可リスト」でIPアドレスとASの管理者とを結びつける• RPKI

Copyright © 2008 Japan Network Information Center28

まとめ• RIRとJPNICにおける電子認証技術– RIRとJPNICにおいて認証局を構築– 申請業務で電子証明書を用いたユーザ認証を導入• インターネット経路制御のセキュリティ向上に向けた取り組み– RIRやJPNICにおいてRRを運用– 新しい認証基盤としてResource PKIの策定/開発• JPNICにおける取り組み– 経路奉行を用いた経路ハイジャック検知– JPIRRに不適切なprefixが登録されることを防ぐ「経路情報の登録認可機構」

Copyright © 2008 Japan Network Information Center29

参照••

経路情報の登録認可機構– http://www.nic.ad.jp/ja/research/ca/routereg-outline/IRRd– http://www.irrd.net/•

Internet Routing Registry Toolset Project– https://www.isc.org/software/IRRtoolset•(AfriNIC) supporting documents– http://www.afrinic.net/documents.htm#supporting•(RIPE NCC) RIPE Database Update Reference Manual– http://www.ripe.net/db/support/update-reference-manual.pdf•(RIPE NCC) Routing Registry Training Courses Material– http://www.ripe.net/training/rr/material/

Copyright © 2008 Japan Network Information Center30