ｽﾗｲﾄﾞﾀｲﾄﾙなし

IPv6 サミット 2010 2010 年 10 月 8 日 IPv6 とセキュリティ東京電機大学教授内閣官房情報セキュリティセンター情報セキュリティ補佐官佐々木良一 sasaki@im.dendai.ac.jp 1

IPv4 の IP アドレス枯渇問題 The Internet Assigned Numbers Authority (IANA) The Regional Internet Registries 何度も叫ばれてきたがいよいよ現実の問題に ipad の普及もこれに拍車を 2

米国連邦政府の動き米国 Federal Chief Information Officer Kundra のメモ (9 月 28 日 ) http://www.cio.gov/documents/ipv6memofinal.pdf < 対応指示 > 2012 年度末までに連邦政府の外部サービス (web メール DNS ISP 等 ) をnative IPv6 対応にすること 2014 年度末までにクライアントアプリ ( 外部サービスにつながるもの ) をnative IPv6 対応にすること 2010 年 10 月 30 日までに各省は IPv6 移行責任者を定め米国行政管理予算局に提出すること 3

IPv6 の IPv4 に勝るメリットは? 1. 膨大なアドレス数 2. すべての機器にグローバルアドレスを割り当てることが可能なので NAT が不要 3. IPSec が標準実装されたことによりセキュリティが向上 4. フラグアンドプレイにより設定不要でネットワークに繋がること 5. ヘッダが固定長なので通信が高速 4

IPv6 の登場 IPv6 は IPSec が標準実装されたことによりセキュリティが向上するといわれているが IPSec で実現できるのは主に通信路暗号の機能だけセキュリティを守るためにはこれだけでは不十分 DDoS 攻撃などは IPSec があっても防止できないしかも IPv4 と IPv6 共存状態ではセキュリティ上ディペンダビリティ上のいろいろな問題が 5

IPv6 におけるセキュリティ課題の整理攻撃手段 DoS 侵入不正アクセスなりすまし通信傍受影響対象ネットワークアプリケーションノード ( サーバ / 端末 ) (1) 仕様上の問題実装上の問題 (2)IPv6 単体での問題 IPv4,v6 共存下における問題 (3) セキュリティ固有の問題ディペンダビリティと関連する問題下線がより重要になる問題 6

IPv6 におけるセキュリティ課題の整理攻撃手段 DoS 侵入不正アクセスなりすまし通信傍受影響対象ネットワークアプリケーションノード ( サーバ / 端末 ) (1) 仕様上の問題実装上の問題 (2)IPv6 単体での問題 IPv4,v6 共存下における問題 (3) セキュリティ固有の問題ディペンダビリティと関連する問題 7

IPv6 単体での問題の一例不正 RA 正規のルータへの成りすまし攻撃者 PC 不正 RA 3 1 正規の RA 正規ルータ不正な RA 応答 4 被害者 PC 2 応答 1 によるアドレス生成 3 によるアドレス生成 RA:Router Advertisement <IPv6 では 1 つの PC で複数のアドレスを用いうる > 8

東京電機大学での実験 (1) 正規の送信先 V6 対応ルータ会社の建屋インターネット攻撃者 PC 無線 LAN 課題不正者が無線 LAN にアクセスし不正 RA の機能を利用して Man in the Middle 攻撃などに簡単に成功してしまうのではないか WEP を使っていれば無線 LAN へのアクセスは容易不正 RA は? 正規の利用者の PC RA:Router Advertisement WEP: Wired Equivalent Privacy 9

東京電機大学での実験 (2) < 不正 RA 実験の実施 > 正規の送信先本来のルート会社の建屋 V6 対応ルータ ( 正規ルータ ) インターネット攻撃者 PC 無線 LAN IPv6 をほとんど知らなかった B4 の学生が 1 月程度で実現 (Wireshark により攻撃者 PC にパケットが送られていることを確認 ) 不正 RA を利用した不正なルート被害者 PC RA:Router Advertisement 10

東京電機大学での実験 (3) こちらに優先的に送付攻撃者 PC {P2, Y} 3 1{P1, X} 正規ルータ (RTX1200) 優先度 :High 4 被害者 PC 2 優先度 :Middle P1 によるアドレス生成 P2 によるアドレス生成 RA:Router Advertisement <V6では1つのPCで複数のアドレスを用いうる> IPv4の不正 DHCP 攻撃と同じ結果になるが難しいタイミングアタックを使わなくても優先度を使うことにより比較的容 11 易に実現可能であることが判明

IPv4 と v6 の共存 IPv4 と v6 の両方の機能を有する状態をデュアルスタックというデュアルスタックにはネットワークのデュアルスタックとサーバや PC のデュアルスタックがある WINDOWS/Vista や WINDIWS/7 はすでに v6 対応機能も実装されているネットワークのデュアルスタックは V4/v6 トランスレータを用いる方式と v4 ネットワークに v6 をトンネリングさせる方式 v6 ネットワークに v4 をトンネリングさせる方式がありうるネットワークのデュアルスタックは 2011 年 3 月の NGN の IPv6 サービスの開始により発生すると言われている 13

デュアルスタックの問題の分類 < デュアルスタック下ではいろいろな問題が生じうる > (1) デュアルスタックにすることによりうまく機能しなくなる問題 ( 例 ) サーバ上のアプリが v4 くくりつけのプログラムになっていて v6 で動かそうとしてもうまく動かない (2) デュアルスタックで動くが v4 用のセキュリティ対策をうとうとすると v6 で機能障害が起こる問題 ( 例 )IPv4 のセキュリティ用に ICMP のフィルタリングをすると IPv6 が動かなくなる 14

共存環境下でのクリティカルな問題 1. セキュリティ問題の本質はあまり変化しないだろう 2. しかし運用の要請と作業量は IPv4,v6 の 2 倍ではなく場合によっては IPv4->v6,IPv6->v4 を含め 4 倍まで膨らむだろう 3. この状態でディペンダビリティが失われると障害きりわけに 4 倍の知識が必要となりコミュニケーションロスなどにより再立ち上げに膨大な時間がかかる可能性がある 4. このディペンダビリティを失わせるセキュリティ攻撃が巧妙に行われるとサイバーテロともいうべき状態を発生させうるので国としても早めの対応が必要 15

IPv6 セキュリティ問題を検討中の組織 IPv4 アドレス枯渇対応タスクフォース ( 総務省 IPv6 普及高度化推進委員会インターネット協会 JNSA,WIDE などが加盟 ) 日本セキュリティ事業者連絡協議会 (ISOG-J ) IPv6 技術検証協議会 NTT などのプロバイダーほか < ネットワーク系企業の対応は進んでいるがコンピュータ系企業の検討が十分進み知識や技術が共有されているのだろうかまた各省庁や地方自治体は対応できるのか > 16

END 17

興味を持つきっかけ 2010 年 1 月 27 日に行われた NSF2009 に出席し IPv6 導入でセキュリティはどう変わるかをみて IPv6 セキュリティ対応の必要性を認識 1. 大元隆志著 IPv4アドレス枯渇対策とIPv6 導入リックテレコム 2009 2. 佐藤友治 IPv6 導入でセキュリティはどう変わるか NSF2009(JNSA) 3. 北口善明 IPv6のセキュリティ NSF2009( JNSA ) 4. 許先明 security 事業者とIPv6 対応 NSF2009( JNSA ) 5. 宮川晋大規模 NAT 技術とIPv6 電子情報通信学会誌,Vol.93,No.2,pp145-150(2010 年 2 月 ) 他 18

米国連邦政府の動き米国 Federal Chief Information Officer Kundra のメモ (9 月 28 日 ) http://www.cio.gov/documents/ipv6memofinal.pdf < 目的 > クラウドスマートグリッド等による連邦政府 IT システムの近代化 NAT 依存による複雑さの低減と透明性の確保 end-to-end におけるユビキタスでセキュアなシステムの実現将来のインターネットサービスの拡張性の確保 < 対応 > 2012 年度末までに連邦政府の外部サービス (web メール DNS ISP 等 ) をnative IPv6 対応にすること 2014 年度末までにクライアントアプリ ( 外部サービスにつながるもの ) を native IPv6 対応にすること 2010 年 10 月 30 日までに各省はIPv6 移行責任者を定め米国行政管理予算局に提出すること 19

ｽﾗｲﾄﾞ ﾀｲﾄﾙなし