RPKIとインターネットルーティングセキュリティ

Size: px

Start display at page:

Download "RPKIとインターネットルーティングセキュリティ"

かずしわたぬき
6 years ago
Views:

1 RPKI とインターネットルーティングセキュリティ ~ ルーティングセキュリティの未来 ~ セキュリティ事業担当木村泰司

2 内容 1. リソース証明書と RPKI 2. 国際的な動きと標準化動向 3. ディスカッションのポイント 2

3 1 リソース証明書と RPKI

4 リソース証明書とは ~ アドレス資源の正しさ ~ イ ) これは正しいアドレスだ whois $ whois h whois.nic.ad.jp ロ ) ハードディスク

5 リソース証明書と RPKI 正しいリソースとはレジストリに登録された通りに割り振りまたは割り当てが行われているリソースである AfriNIC RIPE NCC APNIC ARIN LACNIC リソース証明 CNNIC KRNIC TWNIC リソース証明書 RPKI のイメージ PA 割当先指定事業者ユーザ組織当該アドレスを利用する権利 5

リソース証明書の検証 IPアドレスの割り振りと割り当て IPアドレスの例リソース証明書 APNIC 192.168.0.0/16 APNIC 自身が発行 192.168.128.0/17 APNIC が発行 LIR (IP 指定事業者 ) 192.168.128.0/24 JPNICが発行 LIRがユーザ組織 192.

6 リソース証明書の検証 IPアドレスの割り振りと割り当て IPアドレスの例リソース証明書 APNIC /16 APNIC 自身が発行 /17 APNIC が発行 LIR (IP 指定事業者 ) /24 JPNICが発行 LIRがユーザ組織 / /25 発行チェックポイント IP アドレスが発行元の IP アドレスの範囲に入っていること元を辿っていくとレジストリの認証局にたどり着くこと 6

7 RPKI の用途 a. アドレス資源の管理 Whoisに代わる正しいアドレス資源を証明する基盤 b. 応用セキュアルーティングセキュアなインターネット経路制御の自動化 IX におけるアドレス確認業務の補強 7

8 RPKI RPKIを使ったセキュアなインターネット経路制御 AfriNIC RIPE NCC APNIC ARIN LACNIC CNNIC KRNIC TWNIC レジストリデータベース PA 割当先ユーザ組織指定事業者リポジトリリソース CA BGPメッセージをチェック ROAとリソース証明書の入手 ( オンライン ) 格納発行格納発行 BGP ルータ等 Route Origination Authorization (ROA) ( 経路広告の認可情報 ) リソース証明書 BGP オペレーター指定事業者 8

9 2 国際的な動きと標準化動向動向

10 RIR におけるリソース証明書 APNIC ARIN RIPE NCC LACNIC AfriNIC JPNIC リソース証明書提供中試験提供中提供中検討中 Resource Certificati on project 検討中調査と検討 APNIC RIPE NCC ではリソース証明書を既に提供中 ARIN は試験提供 10

11 時系列 2004 th Jun RFC3779 IETF APNIC 2006 年度 2007 年度 2008 年度 2009 年度 Mar I-D ROA Mar 1 st SIDR BoF Apr I-D profile Aprp SIDR WG 結成 Jul I-D architecture リソース証明書エンジン部分の開発 I/F 等の開発 Dec I-D rpsl-sig Sep MyAPNIC での正式提供開始 Feb I-D trust anchor ARIN 開発への参加システム設計開始レジストリ連携の開発 Jul 試験提供開始 RIPE NCC JPNIC Oct CATF 結成 CertPROTO 開発への参加業務の検証開発 RIR 検討への参加 / リソースセキュリティの調査経路情報の登録機構開発利用実験 Oct ベータテスト Oct ポリシー提案 Jul 正式提供開始経路ハイジャックに関する情報提供 11

12 IETF における標準化動向 RFC X.509 Extensions for IP Addresses and AS Identifiers (RFC3779) X.509 証明書にIPアドレスとAS 番号を入れられるようにする拡張 Internet-Draft An Infrastructure to Support Secure Internet Routing (draft-ietf-sidrarch-09.txt) リソース証明書や ROA の説明 RPKI の構造やレジストリにおける CA の役割など A Profile for Route Origin Authorizations (ROAs) (draft-ietf-sidr-roa- format-06.txt) txt) IPアドレスのholderがASに経路広告を認可するというROAを定義 A Profile for X.509 PKIX Resource Certificates (draft-ietf-sidr-res- certs-17.txt) txt) リソース証明書の意味 right-to-use やリソース証明書の記載内容( プロファイル ) を定義 12

13 RPKI の主要オブジェクト Resource Certificate( リソース証明書 ) IPアドレスやAS 番号の利用権利 (right-of-use) を示す電子証明書 Route Origination Authorizations(ROA) IPアドレスの割り振り先 ( または割り当て先 ) が ASに対してIPアドレスの経路広告を認可 (authorization) したことを示す電子署名付きのデータ Manifest RPKIにおける認証局が発行したリソース証明書 ROA CRLのリストに電子署名を付けたデータリソース証明書 ROA CRLなどの一部を消して再配布するような不正行為対策のデータ 13

14 3 ディスカッションのポイント

15 ディスカッションのポイント 1 リソース証明書の内容は正しいのかレジストリデータベースと変わらないスと変わらない 2 RPKIを使ってみるには何がいるのかレジストリから発行されたリソース証明書 ( もしくは ) リソース証明書やROAを発行するプログラムリソース証明書やROAを検証するプログラム (OpenSSL-0.9.8e 頃より表示が可能になっている ) 3 Route Origination Authorization アドレスの利用権利を持つものが経路制御を決める 4 RPKIを使わないといけなくなるのか ARIN RIPE NCC ARINは提供開始使わないといけないわけではない 5 日本はどうするのか? JPNIC リソース証明書について継続的に調査中セキュアな経路制御の為に経路情報の登録認可機構を含めて検討中 15

16 RPKI と JPNIC の活動 (1) JPNICの電子証明書を用いた認証ユーザ認証です資源申請者 JPNIC 資源管理者 Web 申請システム指定事業者契約に電子メールと基づく資源管理カードオフライン確認に基づく電子証明書認証 ID の有効性 16

17 RPKI と JPNIC の活動 (2) 経路情報の登録認可機構 IPアドレスの割り振り先 ( 指定事業者 ) がIRRへの登録条件を設定 ROAの考え方 ROA 管理インターフェースを視野 Whoisを使って想定される登録情報を参照利用方法設定レジストリデータベース実験用 IRR Route オブジェクトの登録経路情報の登録認可機構 IRR への登録条件を設定 BGP ルータ等 BGPオペレーター指定事業者 17

18 情報源 IETF Secure Inter-Domain Routing g( (sidr) APNIC Resource Certification net/services/services-apnicprovides/resource-certification Resource Certification (RIPE NCC) Resource Certification (ARIN) 18

19 おわり

経路奉行・RPKIの最新動向

経路奉行・RPKIの最新動向経路奉行 RPKI の最新動向木村泰司 2015 年 11 月 18 日 ( 水 ) 発表者名前木村泰司 ( きむらたいじ ) 所属一般社団法人日本ネットワークインフォメーションセンター (JPNIC) CA / RPKI / DNSSEC / セキュリティ情報 : 調査 ( 執筆 ) セミナー企画開発運用ユーザサポート業務分野電子証明書 / RPKI / DNSSEC (DPS/