(I) RPKI の動向 ~ 実装状況と IP アドレス利用や移転に関する RIPE での議論 ~ 社団法人日本ネットワークインフォメーションセンター木村泰司社団法人日本ネットワークインフォメーションセンター

Size: px

Start display at page:

Download "(I) RPKI の動向 ~ 実装状況と IP アドレス利用や移転に関する RIPE での議論 ~ 社団法人日本ネットワークインフォメーションセンター木村泰司社団法人日本ネットワークインフォメーションセンター"

えみつなかわ
4 years ago
Views:

1 (I) RPKI の動向 ~ 実装状況と IP アドレス利用や移転に関する RIPE での議論 ~ 社団法人日本ネットワークインフォメーションセンター木村泰司社団法人日本ネットワークインフォメーションセンター

2 内容 RPKI について RIR の中で最も先行する RIPE 地域の動向第 64 回 RIPE ミーティング (RIPE64) での話題どういう状況で何が課題となっているのか日本における RPKI の展望と課題 2

3 Resource PKI(RPKI) RIR で準備が進められているリソース証明書を提供する仕組み AfriNIC RIPE NCC APNIC ARIN LACNIC RIR: Regional Internet Registry CNNIC KRNIC NIR: National Internet Registry TWNIC PA 割当先 LIR: Local Internet Registry 指定事業者 APNIC member ユーザ組織 RPKI のイメージ 3

4 RIPE64 における RPKI の話題 RPKI チュートリアル初のチュートリアルポリシー WG での議論移転するアドレスの正当性を確認するためにリソース証明書と ROA を使うという考え方が WG 内にある一時検討されたがポリシー提案に至っていないプレナリーでの議論 RPKI のインターネット運用への影響 4

5 RPKI チュートリアル社団法人日本ネットワークインフォメーションセンター

6 チュートリアルの概要管理モデルは (1) メンバーで各自立ち上げて RIPE NCC を上位認証局 ( トラストアンカー ) とするか (2)RIPE NCC にホストしてもらうモデルの 2 つ ROA の管理とルータにおける解釈 VALID: ROA found, authorised announcement INVALID: ROA found, unauthorised announcement UNKNOWN: No ROA found (resource not yet signed) RPKI テストルーター Cisco Juniper 6

7 RPKI テストルーター Cisco rpki-rtr.ripe.net telnet username: ripe, no password sh ip bgp /24 (or your prefix), sh ip bgp rpki table, sh ip bgp ipv6 unicast rpki table, sh ip bgp rpki server Juniper , telnet username: rpki, password: testbed show validation session detail, show validation statistics, show validation database, show route protocol bgp validation-state valid 7

8 チュートリアルでの質疑応答 ( 主なもの ) 失効によって起こることは何か? origin の検証に失敗するが BGP ルーターでそれをどう扱うかはやり方による Loose モードでおこなうと失敗したことがわかるだけ秘密鍵を RIPE NCC に持たせることは不安ではないのか? 短期間では Web のツールはいいが長期的にはよくないのではその通りであるがいずれはユーザのチョイスであると思う 8

9 プレナリーでの議論社団法人日本ネットワークインフォメーションセンター

10 RPKI に関する発表プレナリー (4/17 第二部 ) ROA の検証と発行について, Randy Bush 氏 (IIJ) ルータにおける ROA のチェック方式の説明 prefix が長過ぎるものは無効とするプライベートアドレスのような経路広告されない IP アドレスへの対応方法 :AS0 などの紹介リソース証明 (RPKI) のセキュリティ ~ 耐性自律性 ~ Alex Band 氏 (RIPE NCC) ROA に入れる prefix をまとめて管理できる UI の紹介前回の第 63 回 RIPE ミーティングで指摘されたことへの対応として 10

11 前回の RIPE63 ミーティングで挙げられ今回議論された 3 つの懸案事項 1. AS 運用の自律性が失われる可能性法執行機関により RIR がリソース証明書の操作 ( 失効等 ) を行う可能性があること 2. RPKI システムのセキュリティ RPKI のシステムが不正に侵入されたりエラーが起きたりする可能性があること ( 経路制御に影響する可能性があるためセキュリティ対策が重要になる ) 3. RPKI システムの耐性 RPKI システムの動作不良が起きうることリソース証明書等のデータが取得できなくなることで経路制御に影響する可能性があること 11

12 会場での議論 (1/2) 1. AS 運用の自律性が失われる可能性インターネット経路制御が依存するところ ( すなわち政府 ( 法執行機関 ) がインターネットの経路制御に関与できるポイント ) をいかになくすか RIPE NCC があるオランダの法律は実際にルーターがあるオランダ外では関係なくこの提供者と運用者の状況の違いも考慮する必要があるルーターにおけるトラストアンカーの設定がルーティングオペレーターに委ねられていることで独立性を担保できると言えるかそこまでは言えない 12

13 会場での議論 (2/2) ホワイトリストとブラックリストの方式でうまくいくかスパムフィルターと同じで他人に登録されたらそれを直すのは結局人手で行わなければならないルーターや他の実装でも RIPE NCC のように行われるとは限らない結論のような意見 : アドレス管理が階層的に行われていることはもはや変えられないしインターネット経路制御に対する AS の独自性に影響するようなことは避けるように考えていこう 13

14 対応案トラストアンカーを設定するのはルーターのオペレーターであるという点を踏まえた上で... RIPE NCC のツール RPKI Validator の機能の改良 ( 案 ) RPKI の検証結果を無視する設定 White List (Apply RPKI status Valid ) Ignore Filter (Apply RPKI status Unknown ) 14

15 現在の White List 操作画面 Alex Band 氏の発表資料より 15

16 現在の Ignore Filter 操作画面 Alex Band 氏の発表資料より 16

17 改良案 Alex Band 氏の発表資料より 17

18 2, 3.RPKI システムのセキュリティとユーザ認証の強化耐性 SMS を併用した二要素認証 8,000 名以上 (72 ヶ国 ) で使える方式として独立した人員による認証局のコード評価障害と攻撃への対応 Hosted Certificate and ROA management LIR Portal Non-hosted Parent Certificate system up/down Data retrieval RIPE NCC ROA Repository 18

19 第 63 回 RIPE ミーティング ( 前回 ) の議論社団法人日本ネットワークインフォメーションセンター

20 RIPE63 の RIPE NCC 総会における決議事項 RIPE NCC は RPKI の取り組み ( 以下 2 点 ) を続けるリソース証明書はオプトインで提供 BGP の Origin Validation に関するプラットホームを提供 20

21 RIPE NCC として RIPE メンバーが賛同していると認識している事項 (3 点 ) アドレス資源の検証可能な証拠 ( リソース証明書 ) を提供するサービスを行うこと BGP Origin Validation に期待される活用方法 ( 以下 2 点 ) 経路ハイジャック ( 意図的でないものを含む ) を防ぐこと BGP のパス検証を行う BGPSEC への布石になることこれらのメリットが潜在的なリスク ( 以下 2 点 ) よりも重みを持つこと BGP による経路制御においてオペレーターのコントロール範囲を狭める RPKI のなんらかの障害によってネットワークが到達しなくなることがある 21

22 日本における RPKI の展望と課題社団法人日本ネットワークインフォメーションセンター

23 日本における現状と今後の見通し現状 RPKI testbed などの実装があり日本国内でもローカルで RPKI を試すことができるルーターにおける実装は進みつつあるが低価格のルーターで稼動させるには至っていない JPNIC でも検証環境を準備中今後の見通し実効性を持って導入される状況ではないが実装が増えていく見通し RPKI が運用可能であり効果を持つのかの検証がより重要になってくる 23

24 RPKI に関する課題 RPKI の運用と実効性リソース証明書を発行する認証局証明書などを配布するリポジトリ証明書を検証するルーターなどが RPKI 導入の効果を発揮できるように運用可能なのかの検証などルーティングの自律性や RPKI システム耐性リソース証明書がある状況で自律性をどう担保するかの検証と整理 RPKI システム ( 発行サイドと検証サイド ) に耐性をどう持たせるか枠組みの検討国内で検証を行っていく時期になってきたと考えられる 24

25 まとめ RPKI に関する論点 1. AS 運用の自律性 2. システムセキュリティ 3. RPKI の耐性 RIPE 地域では整理と対策の議論が進められている日本でも技術的な検証と共に上記の論点を踏まえた検討を行っていく必要がある 25

26 おわり社団法人日本ネットワークインフォメーションセンター

ルーティングの国際動向とRPKIの将来

ルーティングの国際動向とRPKIの将来ルーティングの国際動向と RPKI の将来 ~2013 年の国際動向と今後の課題 ~ 木村泰司 1 エクアドル (1/2) 2013 年 9 月 4 日 ~5 日に ROA の発行数が激増 IPv4 IPv6 共にカバー率が 90% ほどに上昇 http://www.iepg.org/2013-11-ietf88/rpki-ecuador-experience-v2b-1.pdf Copyright

(I) RPKI の動向 ~ 実装状況と IP アドレス利用や移 転に関する RIPE での議論 ~ 社団法人日本ネットワークインフォメーションセンター木村泰司 社団法人日本ネットワークインフォメーションセンター

(I) RPKI の動向 ~ 実装状況と IP アドレス利用や移転に関する RIPE での議論 ~ 社団法人日本ネットワークインフォメーションセンター木村泰司社団法人日本ネットワークインフォメーションセンター