ストリーミングのTLS化.pptx

Transcription

1 ストリーミングの TLS(SSL) 化 JANOG 年年 4 月 17 日 鍋島公章 株式会社 J ストリーム Rev9: J- Stream Inc. All Rights Reserved. 1

2 自 己紹介 鍋島 公章 配信屋 (CDN のみならずライブチャットからデジタルシネマまで ) 株式会社 J ストリーム ( 国産 CDN を作っています ) 過去の JANOG プレゼンテーション JANOG 1 大規模 WWW キャッシュサーバについて JANOG 3 Proxy Cache を透かして 見見た 風景 ~透過型 Proxy Cache による影響 ~ JANOG 30 スマートフォン時代のコンテンツ配信とトラフィック取引 2015 J- Stream Inc. All Rights Reserved. 2

3 はじめに ビデオストリーミング 2018 年年には全トラフィックの 75% を占めると予想される 出典 :Cisco VNI Service Adoption Forecast White Paper 現在 HTTP 化さらには TLS 化が進 行行中 ネットワークオペレータにも影響あるはず 発表の動機 目次 復復習 :TLS ストリーミングの HTTP 化 ストリーミングの TLS 化 影響の考察 2015 J- Stream Inc. All Rights Reserved. 3

4 復復習 :TLS へのニーズ ( サイトのなりすまし ) モバイル (Wifi) 環境は危険 サイトのなりすまし 盗聴 中間者攻撃 (ARP Poisoning, ICMP Redirect) クライアント Wifi 正規サイト なりすましサイト 2015 J- Stream Inc. All Rights Reserved. 4

5 復復習 : 企画屋 マーケター視点の動向 主要サイト ( 既に常時 SSL 化済 ) からのリファラ取得不不可 HTTP の規定 (HTTPS サイトから HTTP サイトに移動した時にはリファラを付けない ) 2014 年年 8 月 :Google 検索索のランクダウン 2014 年年 9 月 : 無料料 SSL CDN の登場 制約あり (SNI+ECC) 2015 年年 1 月 :Chrome ベータ版 非 HTTPS サイトを危険なサイトとして表 示するオプションを追加 2015 年年 :SSL 証明書の無料料化 ( 現状でも数千円 / 年年程度度 ) 2015 年年中には無料料発 行行組織が発 足 2015 J- Stream Inc. All Rights Reserved. 5

6 復復習 : 技術屋志向の動向 HTTP/2 では TLS 必須に ( 実装上 ) ~ のブラウザ実装は未定 プロトコル選択 ブラウザ実装 ~ HTTP/1.1 Upgrade?( 実装されるか未定 ) ~ TLS 拡張 (NPN ALPN) TLS 運 用は 大変 安全でない環境の切切捨て判断 IP アドレスの不不 足 サーバ負荷の増加 脆弱性への対応 Chrome 40, Firefox 36, IE11 on Windows J- Stream Inc. All Rights Reserved. 6

7 復復習 :TLS 比の動向 常時 SSL HTTP サイトを閉鎖 (HTTPS へのリダイレクトのみ許可 )HTTPS のみとする Google Facebook 米国主要銀 行行等 普及率率率 指標 状況 SSL サイト率率率 ( グローバル ) 約 13%( 過去 2 年年間で 2.6 倍 ) 上位 5 銀 行行 米国 ( すべて常時 SSL 化済み ) 日本 (4 社が SSL エラー ) 日本の TOP20 サイト約半分は SSL エラー ( 未対応 ) SSL サイト率率率出典 :hwp://hwparchive.org 2015 J- Stream Inc. All Rights Reserved. 7

8 ここから本題 TLS トラフィック 比率率率 ( 流流量量ベース ) 北北 米 固定 19% モバイル 26%+α ( 鍋島調べ 詳細は後で ) 国内 公表されている資料料なし (JANOG な 方には既知でしょうが ) たぶん北北 米と同じぐらい? 非公式な場所では いろいろ聞きます HTTP トラフィックの半分ぐらいが TLS? TLS トラフィック 比率率率 30%? TLS トラフィックの急激な増加は ストリーミングの TLS 化が原因 ストリーミング屋として この背景を説明します ただし 国内ではまだストリーミングの TLS 化は始まっていません 国内ストリーミング屋のグローバルな動向に対する考察です 2015 J- Stream Inc. All Rights Reserved. 8

9 動画の HTTP 化 専 用プロトコルは先細り 方式 状況 補 足 Real Media サーバビジネスから撤退 (2015 年年 ) Windows Meida (mms) SilverLight へ移 行行 WMT DRM (WS2003) 終了了 Flash Media (rtmp) PC 向けでは全盛だが Android iosでflash Playerは動かない HTTP への移 行行 専 用プロトコル Apple HLS Microsoft Smooth Streaming (SilverLight) Adobe HDS 標準プロトコル (Apple 除く ) MPEG- DASH 2015 J- Stream Inc. All Rights Reserved. 9

10 ブラウザの対応状況 対応状況 (2015 年年 4 月暫定版 ) OS ブラウザ Apple HLS MPEG- DASH IE Windows 7 Chrome Firefox IE Windows 8.1 Chrome Firefox Safari MacX Chrome Firefox ios Safari Android4.4 Chrome 2015 J- Stream Inc. All Rights Reserved. 10

11 MPEG- DASH Dynamic Adaptive Streaming over HTTP 特徴 旧来のアドホックな HTTP クローキング プログレッシブダウンロードでなない HTTP できちんとストリーミング クライアント側でいろいろ操作 機能 オンデマンド ライブ タイムシフト アダプティブビットレート 映像 音声トラックの動的切切り替え ( 例例 : 英語 日本語切切替 ) 広告挿 入 字幕対応 2015 J- Stream Inc. All Rights Reserved. 11

12 MPEG- DASH ライブ 変換 MPD ファイル クライアント オンデマンド HTTP サーバ mp4 mp4a ファイル メディアソース HTTP Range or パラメータ 変換 クライアント MPDファイル HTTPサーバ メディアファイル mp4 mp4aファイル 2015 J- Stream Inc. All Rights Reserved. 12

13 MPEG- DASH 配信へのインパクト 普通の Web サーバで動画配信可能 サーバライセンス不不要 ストリーミングサーバより 高性能 ( 負荷対策は Web 用 CDN) サーバ 1 台で X ~ X0Gbps 程度度は配信 MPD mp4 ファイルは HTTP キャッシュ可能 付加機能 ライブのスプリット ライブのタイムシフト再 生 ライブスプリッタの展開が容易易に オンデマンドサーバの X 倍のパフォーマンス オンメモリキャッシュ 2015 J- Stream Inc. All Rights Reserved. 13

14 MPEG- DASH CP 側の組織内 ( 含む ISP) キャッシュへの対応 組織内キャッシュで複製されるのは CP 配信屋としては困る 項 目 高付加価値の無償提供 売り上げ減 ( 配信屋 ) タイムシフト再 生 配信量量の減少 CP の CDN キャッシュ展開を阻害コンテンツ コントロール権の維持 補 足 CP 側のキャッシュ不不可指定 ワンタイム URL Cache- Control でキャッシュを禁 止 2015 J- Stream Inc. All Rights Reserved. 14

15 復復習 :HTTP プロトコル (RFC2616) Cache Control Public MAY be cached by any cache Private MUST NOT be cached by a shared cache No- Cache MUST NOT use the response to satisfy a subsequent request without successful revalidation No- store MUST NOT store any part of either this response or the request 2015 J- Stream Inc. All Rights Reserved. 15

16 参考 : 著作権法 ( 文化庁 文部科学省省 ) H21 年年の改正 ( 複製してよい範囲を拡 大 ) 第 47 条の 5: 送信の障害の防 止等のための複製 配信側におけるミラー バックアップ CDN 化等 明 示的に許可 ISP 側における複製 ( キャッシュサーバ ) 法 文の解釈として許可 HTTP Cache- Control を無視するような ISP キャッシュ 著作権侵害だと思われる ( 鍋島意 見見 ) ISP 側におけるコンテンツ改変 著作権侵害だと思われる ( 鍋島意 見見 ) 2015 J- Stream Inc. All Rights Reserved. 16

17 動画の TLS 化 背景 HTML5 動画再 生もブラウザ単体で完結 HTTPS サイトにおいて動画コンテンツを HTTP( 非 HTTPS) で配信するとワーニング表 示 トップページ 再 生ページ TLS 化のニーズ 前記ワーニングの解消 コンテンツ保護は別のストーリー ( ブラウザの Encrypted Media Extensions) TLS 化されていても各種ツールで動画のダウンロード可能 組織内キャッシュ等によるコピー回避は可能 2015 J- Stream Inc. All Rights Reserved. 17

18 動画の TLS 化 ストリーミングの TLS サーバ運 用 基本的に 通常サイト 用の TLS CDN と同じく各種負荷が増加 サーバ負荷の 目安 対象 通常配信 ( ショートコンテンツ ) ストリーミング配信 普通のチューニング カーネル改造 ポイント ECC ( かつ動画は 1 セッションが 長いので楽 ) AES NI (CPU の AES 用命令令セット ) Kernel Sendfile が使えないのは痛い 負荷増加 10 倍 数倍ぐらい 1.2 倍? 2015 J- Stream Inc. All Rights Reserved. 18

19 ストリーミングの HTTP HTTPS 化の状況 米国の状況 代表的な常時 SSL サイトの動画配信 方式 サイト PC 向け モバイル向け (Nexsus7+Wifi+Yahoo! ADSL) ブラウザ ブラウザ アプリ Youtube HTML5 + HTTPS HTML5 + HTTP HTTPS Facebook Flash +?+HTTPS HTML5 + HTTPS HTTPS Yahoo! Flash +?+HTTPS HTML5 + HTTPS 非検証 注意点 一般的にCPは モバイル向け配信において 端末 ISPにより 方式を変える 遅いCPU 遅いISP 軽いコーデック 意図的なHTTP 配信 2015 J- Stream Inc. All Rights Reserved. 19

20 TLS 比率率率 : 北北 米 TLSトラフィック 比率率率 ( 北北 米2014 年年下期 ) 固定 :19.16% モバイル :26.15% Neelix Youtube Youtube Facebook その他 HTTP 8.62 その他 HTTP Facebook 2.98 その他 MPEG 6.32 BitTorrent 2.80 Neelix 4.51 itunes 2.77 Instagram 4.49 MPEGその他 2.66 SSL 4.03 Amazon Video 2.58 itunes 3.20 SSL 2.14 Google Cloud 3.07 Hulu 1.41 Pandora Radio 2.72 出展 トラフィック 比率率率 :Sandvineʼ s Global Internet Phenomena Report 2H internet- phenomena/ 黄 色枠がけ TLS トラフィック 比率率率算出 : 鍋島 2015 J- Stream Inc. All Rights Reserved. 20

21 影響 事業者別 動画配信事業者 TLS CDN に本気 機能別 強制 ( トランスペアレント ) キャッシュ 終了了 強制トランスコード 終了了 帯域制御 不不可能ではないが困難 いろいろ制限が付く TCP Proxy 型による制御 影響なし ビデオペーシング 終了了 or 高度度な処理理が必要 2015 J- Stream Inc. All Rights Reserved. 21

22 影響 : 帯域制御 アプリケーション別 ( ストリーミング P2P 通常 Web 等 ) プロトコルによる識識別は不不可能 セッションの振舞い ( 流流量量 使 用帯域 頻度度 ) 識識別のみ可能 IP アドレス or SNI ホスト別 リスト管理理は結構 大変 方式 IP アドレス かなり困難 (CDN 屋は多くの IP アドレスを変更更しながら使 用,CP 側のマルチ CDN( 複数 CDN の切切り替え使 用 ) 利利 用も進む ) SNI ホスト名特定の CP のみなら可能 TLS1.3 からは取得不不可 ( ドラフト ) 利利 用の公平 (ISP が特定の CP のみ帯域を制御する ) 問題 アプリケーション単位での制御は問題とならないが 特定 CP となると電気通信事業者法に抵触すると思われる ( 鍋島意 見見 ) 2015 J- Stream Inc. All Rights Reserved. 22

23 参考 : 電気通信事業法 ( 総務省省 ) 第六六条 : 利利 用の公平 電気通信事業者は 電気通信役務の提供について 不不当な差別的取扱いをしてはならない 帯域制御の運 用基準に関するガイドライン 日本インターネットプロバイダー協会 電気通信事業者協会 テレコムサービス協会 日本ケーブルテレビ連盟 MVNO 協議会 帯域制御の対象 特定のアプリケーション 特定のユーザ 課題 特定の CP( ドメイン IP アドレス ) に対する帯域制御 2015 J- Stream Inc. All Rights Reserved. 23

24 影響 :TCP Proxy による制御 TCP Proxy (3) バッファリング 中継 (1)TCP 終端 (2) 新 TCP 開始 クライアント 動画サーバ TCP Proxy の振舞い (1) クライアントからの TCP セッションを終端 (2) 動画サーバに新規に TCP セッションを開始 (3)TCP ペイロードをバッファリング 中継 影響 TCP ペイロード (TLS 通信 ) への影響なし クライアントに対してはモバイル網向けの TCP アルゴリズム 帯域制御を使 用できる TCP Fast Open は未対応? 2015 J- Stream Inc. All Rights Reserved. 24

25 影響 : ビデオペーシング ( 概要 ) ビデオストリーミングに対する網側の帯域制御 最初 : 無制限 一定時間後 : 帯域制限 ( 動画のビットレートに合わせた処理理 ) 効果 流流量量 ( 使 用帯域帯域 ) の ( 網の状態に合わせた最適な ) 削減 多くのビデオは最後まで 見見られない 無駄な流流量量の排除 課題 クライアント側リクエスト処理理とのバッティング 最初 : 大 目 ( 映像ビットレートの X 倍 ) にビデオ取得 一定時間後 : 映像ビットレート +α でビデオ取得 アダプティブビットレート : ビデオ取得ができないとビットレートを下げる クライアントより 高度度な処理理ができないと視聴に影響 2015 J- Stream Inc. All Rights Reserved. 25

26 影響 : ビデオペーシング (TLS 化の影響 ) アプローチ 1 TLS ストリーミングに対してはビデオペーシングを諦める 動画のビットレートを取得できない 適正な適 用は困難 アプローチ 2 無理理やり適応 ( 流流量量の多いセッションをビデオと仮定し 全適 用する ) 非ビデオ ( 例例 : ゲーム アプリ ) に対するビデオペーシング適 用の可能性 ダウンロードに時間がかかる もともと難しい帯域管理理がより困難に 適正な帯域の決定は無理理 視聴に悪影響を与える 2015 J- Stream Inc. All Rights Reserved. 26

27 影響 : 偽証明書 概要 Squid 用語 :SSL Peek and Splice SSL Bump 偽証明書 (3) キャッシング 帯域制御 クライアント側 エラー表 示 クライアント (1)TLS 終端 (2) 新 TLS 開始 動画サーバ 2015 J- Stream Inc. All Rights Reserved. 27

28 影響 : 偽証明書 偽証明書の利利 用 状況 用途 実装 状況 企業 用途 (FW 等 ) きちんと ( 専 用ルート証明書の配布 ) 実施 すでに 一般化 PC 用ウィルススキャンオプション扱いで実装 これから普及 飛 行行機内 Wifi ISP 等こっそり実施 顧客からクレーム ストリーミング配信における可能性 配信側ときちんと握ること (TLS 証明書の貸与等 ) 顧客側ときちんと握ること ( 専 用のルート証明書 ) 関連法規 不不正競争防 止法 ( 経産省省 ) 2015 J- Stream Inc. All Rights Reserved. 28

29 まとめ ストリーミングの HTTP 化 Everything on HTTP の 一環 HTTP サーバの 高性能性を享受 ブラウザだけで動画再 生 ( プラグイン排除 ) ストリーミングの TLS 化 URL バーのワーニング対策 コンテンツの濫濫 用 ( 勝 手キャッシュ 勝 手スプリット ) 対策 コンテンツの改変対策 社会的な要請への対応 ( プライバシー保護 ) 影響 コンテンツ操作 ( キャッシュ トランスコード ) 終了了 帯域制御 アプリケーション別 振舞い認識識型 ( ただし課題多数 ) を除き終了了 IP アドレス SNI ベース 電気通信事業者法が課題 TCP Proxy 影響なし ビデオペーシング ( 基本 ) 終了了 偽証明書 きちんとした握りが必要 2015 J- Stream Inc. All Rights Reserved. 29

30 おわりに CP と ISP キャリアとの うまい にぎり がより重要に ただし ISP Cache なアプローチではなく Open Reverse Cache が本命 2015 J- Stream Inc. All Rights Reserved. 30

31 補 足 事前資料料および追記資料料 J- Stream CDN 情報サイト J- Stream Inc. All Rights Reserved. 31

32 補 足 : ネットワークの中 立立性議論論 単純な定義 すべてのトラフィックを平等に扱うべきかという議論論 政策的 経済学的な定義 キャリア ISP がトラフィックの差別的扱いにより 隣隣接業界 (CP 等 ) に影響を与えることを許すべきか ( それにより産業全体のプラスになるか ) という議論論 現実的な定義 by 鍋島 CP vs キャリア ISP のパワーゲーム and 国策 産業規模 米国 :CP 産業規模 > キャリア ISP 産業規模 日本 :CP 産業規模 < キャリア ISP 産業規模 各国における産業政策 経産省省 vs 総務省省 2015 J- Stream Inc. All Rights Reserved. 32