必修・IPv6セキュリティ～未対応で大丈夫ですか？～

Size: px

Start display at page:

Download "必修・IPv6セキュリティ～未対応で大丈夫ですか？～"

しのぶなつ
4 years ago
Views:

1 必修 IPv6 セキュリティ ~ 未対応で大丈夫ですか?~ NTT ネットワーク基盤技術研究所藤崎智宏

5 IPv6 の普及状況概況世界的に,IPv4 のアドレス在庫不足が深刻化,IPv6 普及に拍車がかかっている年は, 国内外的に IPv6 的に大きなマイルストーンとなった年 IPv6 標準仕様がインターネット標準となる. 国内大手携帯三社が,IPv6 サービスを本格的に開始国内大手 ISP の IPv6 対応が進展 Copyright 2017 NTT corp. All Rights Reserved. 4

Standard Internet Standard Historic Standard Track Internet

6 IPv6 標準仕様のインターネット標準化 RFC の変遷 Experimental IETFにおける標準化プロセス Internet Draft Best Current Practice Informational Proposed Standard Internet Standard Historic Standard Track Internet Standard RFC は全 RFC(8,169) 中 112 個. Copyright 2017 NTT corp. All Rights Reserved. 5

7 IPv6 標準仕様のインターネット標準化 IPv6 の仕様が最高段階の標準に STD0086: Internet Protocol, Version 6 (IPv6) Specification (RFC 8200) STD0087: Path MTU Discovery for IP version 6 (RFC 8201) STD0088: DNS Extensions to Support IP Version 6 (RFC3596) STD0089: Internet Control Message Protocol (ICMPv6) for the Internet Protocol Version 6 (IPv6) Specification (RFC4443) Copyright 2017 NTT corp. All Rights Reserved. 6

9 国内固定系 ISP の IPv6 導入状況フレッツから 1K 10,000 Number of NTT's IPv6 service user Persentage of IPv6 user 36.5% 39.2% 5,797 7,695 7, % 40.0% 5, % 8.8% 0.8% 2.7% 3.2% 5.3% 1.4% 2.0% 2.5% 3.1% 3.9% '12.12 '13.03 '13.06 '13.09 '13.12 '14.03 ' '14.09 '14.12 ' ,282 3,813 3,208 2,590 2, % 1, % 1,474 '15.06 ' % 12.6% '15.12 '16.03 ' % 22.9% 20.8% 20.0% 0.0% のデータより作成 ( ) Copyright 2017 NTT corp. All Rights Reserved. 8 '16.09 '16.12 '17.03 '17.06 '17.09

IPv6 の世界的な状況世界的に普及が進んでいます. 2017 年 11 月 14 日現在 IPv6 の普及度 https://stats.labs.apnic.

10 IPv6 の世界的な状況世界的に普及が進んでいます年 11 月 14 日現在 IPv6 の普及度 Google サーバへの通信の割合 9

13 IPv6 セキュリティ対策の必要性機器は IPv6 対応済み機器は, ユーザ管理者が知らないうちに IPv6 で通信しているリンクローカルアドレスは自動的に付与 IPv6 を導入していなくても,IPv6 を意識したセキュリティ管理が必要 IPv6 が広く利用されるようになって来た多くのセキュリティ報告が上がっており, IPv4 と同等の対応が必要 Copyright 2017 NTT corp. All Rights Reserved. Windows XPの例 12

14 IPv6 に関するセキュリティ報告申告件数脆弱性情報データベース CVE からのデータ ( 現在 ) LOW MIDIUM HIGH IPv6 IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 IPv4 IPv6 IPv Copyright 2017 NTT corp. All Rights Reserved. 13

18 IPv6 と IPv4 運用する立場より, セキュリティの観点から見た,IPv6 と IPv4 の違い ICMPv6 と ICMP ファイアウォールの設定 ND (Neighbor Discovery) と ARP LAN 管理アドレス種別, 割当方法 IPv6 アドレス管理リンクローカルアドレスの扱い使用するアドレスの選択ルータルーティングに関わるセキュリティルータ管理 Copyright 2017 NTT corp. All Rights Reserved. 17

20 IPv6 におけるファイアウォールの設定 IPv4 と基本的な考え方は同じだが,ICMPv6 の重要性に留意 IPv6 では, 通信に重要な役割を果たすパス MTU 探索 (PMTUD: Path MTU Discovery) に ICMPv6 を利用している. IPv4 での ICMP のフィルタポリシによっては, 要注意 IPv6 の特徴の一つである, 拡張ヘッダの扱い Copyright 2017 NTT corp. All Rights Reserved. 19

21 IP とパケット断片化 ( フラグメンテーション ) IP では, 途中の経路で, 転送可能なパケット最大長 (MTU: Maximum Transmission Unit) が変わることがある IPv4 では, 経路途中でパケットの断片化が発生 IPv4 におけるパケット断片化 PPPoE 端末ブロードバンドルータ WWW サーバ MTU 1500 MTU 1492 (1454) MTU 1500 Copyright 2017 NTT corp. All Rights Reserved. 20

23 IPv6 におけるパス MTU 探索パス MTU 探索には ICMPv6 を利用 MTU 1500 MTU 1454 MTU 1500 MTU 1280 MTU 1500 PPPoE 端末 1500 ブロードバンドルータ WWW サーバ ICMP パケット過大 (MTU=1454) 1454 ICMP パケット過大 (MTU=1280) 1280 Copyright 2017 NTT corp. All Rights Reserved. 22

24 パス MTU 探索パス MTU 探索がうまくいかないと, 所謂パス MTU ブラックホールが発生ユーザは, 通信ができたり, 出来なかったりという状況になるシステム的にも, 届かないメールがある. サーバは,ping に返答する. サーバには,ssh 等ではログインできるファイルがたくさんあるディレクトリで ls すると固まる等といった, 原因がわかりにくい事象となる. Copyright 2017 NTT corp. All Rights Reserved. 23

ICMPv6 パケットの構成 1 8 16 24 31 バージョントラフィッククラスフローラベル

始点アドレス終点アドレスタイプコードチェックサムメッセージ本体タイプは 8bit 0 127 はエラー通知 128

25 ICMPv6 パケットの構成バージョントラフィッククラスフローラベルペイロード長次ヘッダ番号 (58) ホップ限界 IPv6 ヘッダ始点アドレス終点アドレスタイプコードチェックサムメッセージ本体タイプは 8bit はエラー通知はそれ以外コードは 8bit で,Type ごとに定義された値 ICMPv6 ヘッダ Copyright 2017 NTT corp. All Rights Reserved. 24

129) Router Solicitation(type 133) Router Advertisement(type 134) Neighbor Solicitation(type 135) Neighbor

26 ファイアウォール等での ICMPv6 フィルタ設定 ICMP Error Message(type 0~127) Destination Unreachable(type 1) Packet Too Big(type 2) Time Exceeded(type 3) Parameter Problem(type 4) ICMP Informational Message(type 128~255) Echo Request(type 128) Echo Reply(type 129) Router Solicitation(type 133) Router Advertisement(type 134) Neighbor Solicitation(type 135) Neighbor Advertisement(type 136) Redirect Message (type137) パス MTU 探索を動作させるには,Type 2 の ICMPv6 メッセージを通過させることが必要 Copyright 2017 NTT corp. All Rights Reserved. 25

27 ファイアウォール等での ICMPv6 フィルタ設定それ以外にも, 以下の ICMPv6 は通過させるべき Destination Unreachable(Type 1) TCP 等がタイムアウトするまで通信できないことがわからない IPv4 へのフォールバックが遅くなる Time Exceeded(type 3) TCP 等がタイムアウトするまで通信できないことがわからない Traceroute6 が利用不可 Parameter Problem(type 4) 障害解析が困難になる ( エラーの原因がわからない ) ネクストヘッダタイプ異常 (Code1) と IPv6 オプション異常 (Code2) 等 Copyright 2017 NTT corp. All Rights Reserved. 26

28 ICMPv6 と ICMP 参考 : ICMP と ICMPv6 の比較. タイプ ICMP タイプ ICMP6 0 Echo Reply 129 Echo Reply 3 Destination Unreachable 1 Destination Unreachable 4 Source Quench 5 Redirect 137 Redirect 8 Echo Request 128 Echo Request 9 Router Advertisement 134 Router Advertisement 10 Router Solicitation 133 Router Solicitation 11 Time Exceed 3 Time Exceed 12 Parameter Problem 4 Parameter Problem 13 Timestamp 2 Packet too Big Copyright 2017 NTT corp. All Rights Reserved. 27

29 パス MTU 探索問題 : サーバの観点サーバもパス MTU 探索を実施サーバを設置する際に, 入り口ルータのフィルタも同様に考える必要がある. MTU 1500 MTU 1454 PPPoE MTU 1500 端末ブロードバンドルータ 1500 WWW サーバ 1454 ICMP パケット過大 (MTU=1454) Copyright 2017 NTT corp. All Rights Reserved. 28

30 ファイアウォール設定 : 拡張ヘッダの扱い IPv6 は, プロトコル自体の機能拡張をしやすいように, 拡張ヘッダが定義されている. モバイル IP や,IPsec が拡張ヘッダを利用 IPv6 基本ヘッダ IPv6 拡張ヘッダ Payload Hop-by-Hop Options header Destination Options header (*1) Routing header Fragment header Authentication header Encapsulating Security Payload header Destination Options header (*2) Upper-layer header *1 Routing header にリストされたノードが処理 *2 エンドノードにて処理 Copyright 2017 NTT corp. All Rights Reserved. 29

31 拡張ヘッダのチェーン IPv6 ヘッダ TCP ヘッダアプリケーションデータ次のヘッダ = TCP IPv6 ヘッダルーティングヘッダ TCP ヘッダアプリケーションデータ次のヘッダ = ルーティング次のヘッダ = TCP IPv6 ヘッダルーティングヘッダフラグメントヘッダ TCP ヘッダアプリケーションデータ ( フラグメント ) 次のヘッダ = ルーティング次のヘッダ = フラグメント次のヘッダ = TCP Copyright 2017 NTT corp. All Rights Reserved. 30

33 拡張ヘッダ入りパケットの扱いの現状拡張ヘッダが付与されたパケットは, インターネット上でフィルタされる可能性あり. Alexa's Top 1M Sites Dataset: Packet Drop Rate for Different Destination Types That Were Dropped in a Different AS Destination Option Hop-by-hop option Fragment Web servers 10.91% 39.03% 28.26% Mail servers 11.54% 45.45% 35.68% Name servers 21.33% 54.12% 55.23% RFC7872 より抜粋 Copyright 2017 NTT corp. All Rights Reserved. 32

34 経路途中での拡張ヘッダの取り扱い経路途中で, 拡張ヘッダをどう扱うべきかの議論が進んでいる. Recommendations on the Filtering of IPv6 Packets Containing IPv6 Extension Headers 拡張ヘッダごとに, 推奨される扱い方, フィルタした場合の影響等を記述例 : IPsec EH (Protocol Number = 50) Specific Security Implications 宛先に対する DoS の手段として利用される可能性あり Operational and Interoperability Impact if Blocked IPsec の利用が出来なくなる Advice 中間システムでぇあ,EH パケットは通すべきドラフト段階! Copyright 2017 NTT corp. All Rights Reserved. 33

38 アドレス管理アドレシング ( どのようにアドレス設計をするか ) は, セキュリティ向上に関する大きなポイントリンクローカルアドレスによる通信プライバシに関する課題インタフェース ID(IID) に利用する値ネットワークスキャン耐性アドレス空間が広いため, スキャンは困難だと言われるが, 割当方法や利用方法により, 限定可能 IPv6 のアドレシングアーキテクチャを理解し, 場所目的にあったアドレス利用や, アドレス割当方法を推奨北口先生のアドレス管理のお話に注意! Copyright 2017 NTT corp. All Rights Reserved. 37

Plane) 転送プレーン (Forwarding Plane) 制御プレーンを守る!

40 昨今のルータアーキテークチャ DoS 等にやられやすい, 制御プレーンを守ることが重要. 経路計算, 管理等 ( 自分宛のパケットを処理. 汎用の CPU, ソフトウェアによる構成 ) パケット転送に特化 (ASIC による専用ハードウェア ) インターフェース X 制御プレーン (Control Plane) 転送プレーン (Forwarding Plane) 制御プレーンを守る! インターフェース Y Copyright 2017 NTT corp. All Rights Reserved. 39

41 制御プレーンの守り方制御プレーンには, 不正な制御パケットを渡さない ACL 等で, フィルタする制御プレーンの CPU の負荷を軽減するため, 制御パケットのレートリミット等を実施不正な OSPFv6 パケットにより余計な経路計算をさせるといった攻撃がある. 経路計算の回数を制御することも必要. 対象となる制御パケットの種類 1. 制御プロトコル : 経路制御プロトコル (OSPFv3, BGP 等 ), NDP, ICMP. 2. 管理プロトコル : SSH, SNMP, IPfix, 等 3. 例外パケット Copyright 2017 NTT corp. All Rights Reserved. 40

42 制御プロトコル対策対象 : 経路制御パケット (OSPFv3, BGP 等 ), NDP, ICMP 制御プレーン負荷軽減のため, 全ルータインタフェースの入力フィルタに以下を設定することを推奨リンクローカルアドレス以外からの,OSPFv6 パケット ( 次ヘッダ番号 89), RIPng パケット (UDP ポート 521) を落とす BGP の接続先以外からの BGP パケット (TCP ポート 179) を落とすすべての ICMP パケットを許可 ( 通過するもの, ルータのインタフェース宛のもの ) 注 : IPsec を利用した OSPFv3 を落とすことは不可能 (ACL では,IPsec の AH や ESP 拡張ヘッダを解釈できない ). 不正ないパケットも, レートリミットすべき. どの程度にするかは, 制御プレーンの CPU の性能に依存 Copyright 2017 NTT corp. All Rights Reserved. 41

43 管理プロトコル対策対象 : SSH, SNMP, syslog, NTP 等全ルータインタフェースの入力フィルタに以下を設定することを推奨利用しているプロトコル外の, ルータ宛のパケットを落とす ( 例 :SSH を利用している場合には,TCP のポート 22 を許可, 他を落とす ) セキュリティポリシに合致しない始点アドレスのパケットを落とす ( 例 :NOC のアドレス以外からの SSH を落とす, 等 ) 注 : 不正ないパケットも, レートリミットすべき. どの程度にするかは, 制御プレーンの CPU の性能に依存 Copyright 2017 NTT corp. All Rights Reserved. 42

44 例外パケット対応対象 : 制御プレーンでの処理を必要とする転送プレーン ( データプレーン ) のパケット例 : パケットが大きすぎて転送出来ず,ICMP パケット過大メッセージを生成する Hop-by-hop 拡張ヘッダの処理ルータの実装に依存する特定の処理 ( 拡張ヘッダチェーンが長すぎてハードウェアで処理できない等 ) このようなパケットに対しては, レートリミット以外の手はない. 注 : レートリミットをすると, パス MTU 探索に必要な処理が落ち, パス MTU ブラックホールを発生させる可能性がある. レートリミットは, 入力側だけでなく, 出力側 (ICMP 応答等 ) も必要 ( 出力処理軽減, パケット増幅攻撃を防ぐ ). Copyright 2017 NTT corp. All Rights Reserved. 43

46 近隣 / ピアの認証経路制御の重要な要素 : 近隣ノード ( ピア ) との関係確立近隣ノード ( ピア ) の認証 MD5 や HMAC を利用し, 経路制御を実施する前に相手を認証 OSPFv3: IPsec を利用可能だが,IPsec の実装は OSPFv3 的には必須ではない IPsec が使えない OSPFv3 実装の場合には別途手当が必要歴史的経緯による実装の差に注意 (AH の扱い等 ) ESP を使うことで, 経路情報自体も暗号化可能 Copyright 2017 NTT corp. All Rights Reserved. 45

48 経路のフィルタ経路フィルタポリシは, 目的や設定場所 ( 外部からの経路をフィルタしたいのか, 内部の経路なのか ) によって違うが, 基本的に IPv4 と考え方は同等. 例 : 内部経路や, グローバルに経路制御可能な IPv6 アドレス以外をエッジで落とす. 不正な経路,IANA 等での予約経路は受け取らない出さない JPIRR, RADB 等を参照し, 正しい経路オリジン, プレフィックス所有者以外の経路を落とす, 等 IPv6 での推奨フィルタ : IPv6 Router Setting Reference Copyright 2017 NTT corp. All Rights Reserved. 47

51 企業ネットワークにおけるセキュリティ考察外部との接続点におけるセキュリティファイアウォールにおけるフィルタポリシは,IPv4 のポリシから導出可能以下, 更に注意すべき点 : 内部で利用している IPv6 アドレスを外部に出さない不正な IPv6 アドレス, 予約されていない IPv6 アドレスからのパケットを内部に入れない ICMPv6 メッセージを適切に処理 (PMTUD, ND 等 ) 拡張ヘッダを適切に処理 (ESP, AH を通す, 等 ) 注 : 次ヘッダ番号でのフィルタの際, 上位プロトコルをフィルタしないよう注意 (TCP, UDP 等 ) 不正な IPv6 ヘッダチェーンをもつパケットをフィルタ ( 双方 ) 必要の無いサービスをフィルタ Anti-spoofing 機構, レートリミット, 制御プレーン制御機構を導入 Copyright 2017 NTT corp. All Rights Reserved. 50

52 企業ネットワークにおけるセキュリティ考察内部におけるセキュリティ IPv4 と同じポリシを適用可能以下,IPv4 との差分 : 近隣探索 (ND: Neighbor Discovery) の扱い IPv6 in IPv4 トンネルの扱いホストのファイアウォール ( パーソナルファイアウォール ) の実装 IPv4 と IPv6 を別に扱っておりポリシが違う,IPv6 サポートなし, など注 : ホストでは, 認証等のトランスポートに IPv4 を使っていることが多い (RADIUS, TACACS+, SYSLOG など ).IPv6 に関連する情報もこれら経由で通知されることがある. Copyright 2017 NTT corp. All Rights Reserved. 51

53 サービスプロバイダネットワークにおけるセキュリティ考察 BGP BGP におけるセキュリティ考慮ポイントは,IPv4 と同等. TCP セッションの認証 TTL セキュリティ (IPv6 ではホップ限界 ) プレフィックスフィルタ RTBH (Remote Triggered Black Hole Filtering) の IPv6 用アドレスも定義されている. 100::/64 (RFC6666) Copyright 2017 NTT corp. All Rights Reserved. 52

54 家庭ネットワークにおけるセキュリティ概論一般的に, 家庭ネットワークは管理者不在 IPv6 は既に多くのデバイス (PC, スマートフォン, アプライアンス等 ) で有効になっている IPv6 接続性がなくても,Terodo 等の IPv4 トンネルで接続する可能性あり家庭内は, リンクローカルアドレスで通信可能パーソナルファイアウォール等での,IPv6 対応 (IPv4 トンネル対応等も含む ) が進展することが期待される. Copyright 2017 NTT corp. All Rights Reserved. 53

55 家庭ネットワークにおけるセキュリティ概論 IPv6 インターネットへの接続性があり, 家庭用ゲートウェイ (RG: Residential Gateway) がある場合 RG でセキュリティの設定が可能現状, よく利用されているポリシ : 外向け通信のみ許可 : IPv4 の NAT と同等.IPv6 の利点である end-to-end 通信が出来ない In/Out フルオープン, 防御は各ノードで, という考え方もある. Swisscom などでは, フルオープン +α を利用しているとのこと基本,In/Out オープン,TCP/UDP の well-known ポートや, 悪用されるポートを閉じる今後のインターネット利用方法によって, 変わってくると考えられる. Copyright 2017 NTT corp. All Rights Reserved. 54

第１回ネットワークとは

第１回ネットワークとは第 6 回 IP 計算機ネットワークルーティング IP パケットの宛先に応じて次の転送先インターフェースを決定 D:192.168.30.5 パケット 192.168.10.0/24 fe0 192.168.20.0/24 fe1 fe3 fe2 192.168.30.0/24 ルーティングテーブル 192.168.40.0/24 192.168.10.0 direct fe0 192.168.20.0