インターネットレジストリにおけるレジストリデータの保護と応用

Size: px

Start display at page:

Download "インターネットレジストリにおけるレジストリデータの保護と応用"

こうきおなか
4 years ago
Views:

1 JPOPM 年 11 月 27 日秋葉原コンベンションホール RIR/JPNIC における電子認証技術とインターネット経路制御のセキュリティ向上に関する動向木村泰司

3 RIR/JPNIC における電子認証技術 IP アドレスハイジャックを防げ

IP アドレスハイジャック Copyright 2001-2004 Completewhois Project

5 RIR と JPNIC における電子認証 ( ユーザ認証 ) Mail-from はほぼ使われていない CRYPT-PW はなくなりつつある JPNIC APNIC ARIN RIPE NCC AfriNIC LACNIC ユーザ認証の方式パスワード電子証明書 ( X.509) パスワード PGP X.509 (Mail-from) PGP X.509 MD5-PW PGPKEY X.509 CRYPT-PW MD5-PW PGPKEY パスワード X.509 申請方式電子メール Web 電子メール Web 電子メール電子メール Web 電子メール Web Web JPNIC ではパスワードも廃止予定 2008 年 11 月現在 Copyright 2008 Japan Network Information Center 5

7 RIR と JPNIC における認証局の構築 RIR/JPNIC が認証局を運用 JPNIC APNIC ARIN RIPE NCC AfriNIC LACNIC 認証局の運用ユーザ認証用電子証明書 /9 2002/9 2004/4 2003/5 2005/2 - 利用用途 TLS client TLS client S/MIME TLS client, S/MIME TLS client, S/MIME - TLS もしくは S/MIME で利用 2008 年 11 月現在 Copyright 2008 Japan Network Information Center 7

10 インターネット経路制御のセキュリティ向上に向けた取り組み経路ハイジャックの被害を減らすためにできること

11 YouTube の AS に対する経路ハイジャック 2008 年 2 月 24 日 18:47~21:03 UTC 別の Origin AS による経路広告 more specific route(/24) 経路広告が止まるまで復旧せず RIPE NCC における分析 YouTube Hijacking: A RIPE NCC RIS case study BGPPlay and The Youtube Incident - As Seen Through RIS (RIPE-56) ROUTE FILTERING Copyright 2008 Japan Network Information Center 11

13 Internet Routing Registry 経路制御ポリシーを登録するためのレジストリシステム目的自組織や他組織のオペレーターと経路制御ポリシーを共有すること主な用途自 AS の経路制御ポリシーを登録しておき他の AS の経路フィルターなどの設定変更の時に参照してもらう IXP やトランジットプロバイダー経路フィルターを設定している AS Copyright 2008 Japan Network Information Center 13

14 Internet Routing Registry ISP や任意団体によって運用されている IRR/RR RADb Level3 OCNIRR IIJ など RIR/JPNIC において運用されている IRR RIPE NCC RIPE whoisd APNIC IRR ARIN IRR JPIRR 2002 年以降 RIR における IRR の運用が開始してきた (RIPE NCC は whoisd において統合されており運用されてきた ) Copyright 2008 Japan Network Information Center 14

16 RPKI Resource PKI (Public-Key Infrastructure) IP アドレスや AS 番号といったアドレス資源 ( Resource) の割り振りや割り当てを表現するための PKI リソース証明書アドレス資源の利用権利を示す電子証明書 IP アドレスや AS 番号が記載される Copyright 2008 Japan Network Information Center 16

リソース証明書 WHOIS データベース ICANN/IANA IP アドレス割り振り AfriNIC RIPE NCC APNIC ARIN LACNIC RIR: Regional Internet Registry CNNIC KRNIC TWNIC NIR: National Internet

17 リソース証明書 WHOIS データベース ICANN/IANA IP アドレス割り振り AfriNIC RIPE NCC APNIC ARIN LACNIC RIR: Regional Internet Registry CNNIC KRNIC TWNIC NIR: National Internet Registry ISP 事業者 LIR: Local Internet Registry ユーザ組織 ISP 事業者割り振り割り振り割り当てリソース証明書 IP アドレスの一意性を保証し経路制御の適応性を向上させる仕組み Copyright 2008 Japan Network Information Center 17

19 RPKI の動向 RIR s scope RFC3779 sidr-res-cert-14 sidr-repos-struct-01 sidrrescerts-provisioning-03 sidr-roa-format-04 sidr-bogons-02 sidr-roa-validation-01 Pmohapat-sidr-pfxvalidate-00 Any discussions? Issue Resource Cert. ROA Allocation database Resource CA CRL etc Issue BOA store CA in LIR Verification of ROA/BOA Decisions on prefixes Prototype/beta system in APINC, RIPE NCC, ARIN? Protocols: RIR-LIR, RIR-RIR retrieve repository routers Well managed routing table Kisteleki-sidr-rpsl-sig-00 RIPE Route obj. in IRR IRR tools Digital sign. in IRR JPNIC (1) ROA approach (2) IRR approaches Prefix hijacking detection Copyright Copyright Japan Japan Network Network Information Information Center Center 19 19

20 ここまでのまとめ RIR と JPNIC における電子認証技術 RIR と JPNIC において認証局を構築申請業務で電子証明書を用いたユーザ認証を導入インターネット経路制御のセキュリティ向上に向けた取り組み RIR や JPNIC において RR を運用新しい認証基盤として Resource PKI の策定 / 開発リソース証明書は目下策定中課題もある Copyright 2008 Japan Network Information Center 20

21 JPNIC で取り組んでいること

23 経路ハイジャック情報通知実験目的概要 JPIRR 登録者に経路ハイジャック情報を通知することで登録情報更新を促し JPIRR 登録情報の正確性向上 JPIRR の登録情報と異なる経路情報を経路ハイジャックが疑われる状況として検出その検知結果を希望する JPIRR 登録者へ通知実験期間 2008 年 5 月 21 日 ( 水 ) ~ 2009 年 3 月 31 日 ( 火 ) 実験に参加頂ける方情報 JPIRR にメンテナーオブジェクトを登録いただいている方 Copyright 2008 Japan Network Information Center 23

許可リスト割り振り先組織 (IP 指定事業者 ) がメンテナーを指定する IP アドレスの割り振り先が IRR に登録される

route オブジェクトの登録制限指定された prefix だけが route オブジェクトとして登録可能正しい IP アドレスと AS

29 まとめ RIR と JPNIC における電子認証技術 RIR と JPNIC において認証局を構築申請業務で電子証明書を用いたユーザ認証を導入インターネット経路制御のセキュリティ向上に向けた取り組み RIR や JPNIC において RR を運用新しい認証基盤として Resource PKI の策定 / 開発 JPNIC における取り組み経路奉行を用いた経路ハイジャック検知 JPIRR に不適切な prefix が登録されることを防ぐ経路情報の登録認可機構 Copyright 2008 Japan Network Information Center 29

30 参照経路情報の登録認可機構 IRRd Internet Routing Registry Toolset Project (AfriNIC) supporting documents (RIPE NCC) RIPE Database Update Reference Manual (RIPE NCC) Routing Registry Training Courses Material Copyright 2008 Japan Network Information Center 30

RPKIとインターネットルーティングセキュリティ

RPKIとインターネットルーティングセキュリティ RPKI とインターネットルーティングセキュリティ ~ ルーティングセキュリティの未来 ~ セキュリティ事業担当木村泰司内容 1. リソース証明書と RPKI 2. 国際的な動きと標準化動向 3. ディスカッションのポイント 2 1 リソース証明書と RPKI リソース証明書とは ~ アドレス資源の正しさ ~ イ ) これは正しいアドレスだ whois $ whois h whois.nic.ad.jp

インターネットレジストリにおける レジストリデータの保護と応用

インターネットレジストリにおけるレジストリデータの保護と応用