経路ハイジャックと IPアドレス偽装移転 BBIX BGP meeting 編 般社団法 本ネットワークインフォメーションセンター技術部岡 雅之 Copyright 2018 Japan Network Information Center
JPNIC について https://www.nic.ad.jp/ 名称 設 : 般社団法 本ネットワークインフォメーションセンター :1997 年 3 31 理事 : 後藤滋樹 ( 早稲 学理 学術院基幹理 学部情報理 学科教授 ) 会員数 :188 (2018 年 4 9 時点 ) 活動理念 : インターネットの円滑な運 のために各種の活動を通じて その基盤を え 豊かで安定したインターネット社会の実現を 指す IPアドレス AS 番号維持料で運営 事業内容 :IP アドレス事業 ( インターネットレジストリ ) - IPv4 アドレス IPv6 アドレス AS 番号の登録管理業務 インターネット基盤整備事業 JPNIC 会員からの会費で運営 - メールマガジン 会報誌 Web による各種情報提供業務 - Internet Week セミナーの開催による普及 啓発業務 1
時は遡り 2011 年 2 3 Copyright 2018 Japan Network Information Center BBIX BGP Meeting 2
IANA の IPv4 在庫枯渇 アジア 103/8 アフリカ 102/8 南 179/8 欧州 185/8 北 104/8 各地域ごとに /8( 約 1600 万アドレス ) の割り振りが われ IANA の在庫が枯渇しました ICANN+NRO の flickr ページから https://www.flickr.com/photos/58961438@n03/ 3
IANA 枯渇から 7 年 2011/02 に枯渇 2015/09 2012/09 2011/04 2014/06 組織により在庫量はまちまち 4
今 お話しすること IPv4 移転に伴うコワイお話 WHOIS の情報が適当であると 経路ハイジャックの対策ではまったお話 RPKI や IRR の登録情報に誤りがあると 登録情報は正確に! 5
今 お伝えしたいこと Ø IPv4アドレスの割り振りはまだ可能です Ø IP 指定事業者の皆さんへの割り振りは /22を2 個 Ø APNICが管理する在庫 (103/8) から /22 Ø JPNICが管理する在庫から /22 Ø WHOIS/IRR/RPKI など登録情報は正確に! /8 相当の最後の APNIC における IPv4 未割り振り在庫 からの割り振り ( 上限 :/22) 2011 年 4 より実施中 JPNIC に返却済み IPv4 アドレス在庫 からの割り振り ( 上限 :/22) 2014 年 7 より実施中 度の申請でそれぞれの在庫から割り振りを受けることも可能 IP 指定事業者 6
おさらい編 IP アドレスの分配を 取り巻く状況 Copyright 2018 Japan Network Information Center BBIX BGP Meeting 7
各 RIR での IPv4 アドレス枯渇対応状況 APNIC RIPE NCC LACNIC ARIN AFRINIC 在庫枯渇定義 /8 /8 /10 /10 /11 現在の在庫量 (2018/04/09) 0.3088*/8 0.5528 0.1450 0.0000 0.6657 在庫枯渇時期 2011-04-19 2012-09-14 2014-06-10 2015-09-24 2019-02-28 (/11 の到達時期 ) 在庫枯渇後の割り振りサイズ 1 組織あたり最 /21 1 組織あたり最 /22 /22 /28 /24 (IPv6 対応 に 途を限定 ) /22 IPv4 アドレス移転 レジストリ間 IPv4 アドレス移転 議論中 議論中 http://www.potaroo.net/tools/ipv4/ https://www.nro.net/rir-comparative-policy-overview-2017-04/ より作成 Copyright 2018 Japan Network Information Center BBIX BGP Meeting 8
JPNIC での IPv4 アドレス分配状況 (2017/04-2018/03) 9 8 7 6 5 4 3 2 1 0 103/8 在庫 JPNIC 返却在庫 外側 :JPNIC 返却在庫 割振済 15% 割り振り件数 (2017/04~2018/03) 割り振り件数が増えない理由 (JPNIC の予想 ) アドレスはまだ不 していない - 利 率を満たしていない,etc... 最後の最後のために取り置きをしている /22*2 では到底 りない そもそも割り振りを受けられることを知らない 未割振 54% 46% 内側 :103/8 85% N=426 (2018/03/31 時点 ) 103/8 JPNIC 返却在庫から割り振りを受けている IP 指定事業者の割合 IP アドレスに関する統計 :https://www.nic.ad.jp/ja/stat/ip/ 9
最後の /8 在庫からの IPv4 アドレス配布 Ø APNIC45 での発表 Ø Geoff Huston (APNIC) は 2021 年 2 には APNIC の在庫が枯渇するとの予測 APNIC45 での発表資料から https://www.apnic.net/community/ipv4-exhaustion/graphical-information 10
IANA 返却アドレスの再割り振り (1) Ø IANA(PTI) からの再割り振りアドレスの配布 Ø 現在は各 RIR に半年 1 回割り振り (/21:2018 年 3 ) Ø これまでに9 回に分けて1RIRあたり63*/16を割り振り済 Ø 2018 年 9 に /22 2019 年 3 に /23を配布して終了 Ø JPNIC では上記と別の在庫から割り振り Ø APNIC 枯渇時の対応 針はAPNICに合わせる予定 Ø 申請はお早めに https://conference.apnic.net/data/41/iana-services_apnic_february-2016_1456169382.pdf 11
今後の IPv4 アドレスの分配 法 Ø APNIC45 でのポリシー提案 Ø 最後の /8 在庫枯渇後の IPv4 アドレスの分配 法 Ø https://www.apnic.net/community/policy/proposals/prop-120/ Ø 現 の運 法を明 化するための提案 のはずが... Ø 分配 法や最 割り振りサイズ変更の話に び??? Ø もしかしたら /22*2 /22 や /24 に変更になるかも??? Ø 今後の議論は要注 です Copyright 2018 Japan Network Information Center BBIX BGP Meeting 12
IPv4 アドレス移転の 現状 Copyright 2018 Japan Network Information Center BBIX BGP Meeting 13
枯渇後の IPv4 アドレス 法 最後の APNIC における IPv4 未割り振り在庫からの割り振り ( 上限 :/22) APNIC( または JPNIC) に返却済み IPv4 アドレス在庫からの割り振り ( 上限 :/22) IPv4 アドレスの有効利 ( 構成の 直しやプライベートアドレスへの変更など ) IP 指定事業者 未利 のアドレスの分配先を変更する (IPv4 アドレス移転 ) IP 指定事業者 歴史的 PI 割り当て先組織など 14
譲ってもらう ( 移転 ) という 段 申請 データベースの名義変更 申請 JPNIC における移転実績 2011 年 7 の開始から現在まで 306 件の移転を実施国際移転も 60 件実施 移転先 移転元 /21 以上のアドレスが複数回 可能 本国内に限らず アジア太平洋地域 北 欧州の組織も対象 譲ってくれる移転元を探す 間がかかる 仲介する業者を経由するケースも多い 譲渡のための対価 数料等のコストがかかる Copyright 2018 Japan Network Information Center BBIX BGP Meeting 15
IPv4 アドレス移転の 続き https://www.nic.ad.jp/ja/ip/transfer/basic.html Ø 申請に必要な書類 移転申請書印鑑証明書 ( 移転元組織 ) 印鑑証明書 ( 移転先組織 ) Ø 続きの流れ - ( 部ケースのみ ) 事前承認 - 申請書提出 - 申請受理 - 申請内容確認 - 移転後のアドレス管理に必要な 続き - ( 部ケースのみ ) 数料 払 - 移転予定 の通知 - 移転申請承諾 登録情報変更 - 移転完了通知 移転先が必要な 続き移転元または移転先が必要な 続き JPNIC での 続き Copyright 2018 Japan Network Information Center BBIX BGP Meeting
IPv4 アドレス移転履歴 Ø APNIC での移転履歴 Ø JPNIC での移転履歴 https://www.apnic.net/manage-ip/manageresources/transfer-resources/transfer-logs/ https://www.nic.ad.jp/ja/ip/transfer/ ipv4-log.html Copyright 2018 Japan Network Information Center BBIX BGP Meeting
IPv4 アドレス移転件数の推移 1 35000000 30000000 APNIC 996 件 :23,487,828IP (=358*/16) 1200 1000 25000000 800 20000000 15000000 10000000 5000000 0 APNI C 初の移転 JPNI C 初の移転 APNIC 初の Inter-RIR 移転 JPNIC 初の Inter-RIR 移転 JPNIC 306 件 : 8,138,929IP(=124*/16) 600 400 200 0 移転アドレス数 JPNIC 移転アドレス数 APNIC 移転件数 JPNIC( 右 盛り ) 移転件数 APNIC( 右 盛り ) ftp://ftp.apnic.net/public/transfers/apnic/ https://www.nic.ad.jp/ja/ip/transfer/ipv4-log.html より作成 Copyright 2018 Japan Network Information Center BBIX BGP Meeting 18
移転件数 (2017/04-2018/03) 10 9 8 7 6 (v4)jpnic 内 (v4) 他レジストリ JPNIC (v4)jpnic 他レジストリ (AS)JPNIC 内 5 4 3 2 1 0 Apr-17 May-17 Jun-17 Jul-17 Aug-17 Sep-17 Oct-17 Nov-17 Dec-17 Jan-18 Feb-18 Mar-18 Copyright 2018 Japan Network Information Center BBIX BGP Meeting
IPv4 アドレス移転の世界動向 (2018 年 3 末 時点 ) RIPE-ARIN 間の移転 :267 件 2008 年 12 から開始移転実績 :4573 件 2009 年 6 から開始移転実績 :2870 件 RIPE-APNIC 間の移転 :24 件 2011 年 8 から開始移転実績 :306 件 ( 他レジストリとの移転 (60 件 ) を含む ) ARIN-APNIC 間の移転 :232 件 2018 年 2 開始 (New!) 2010 年 2 から開始移転実績 :996 件 (JPNIC 内の移転は除く ) 2015 年 12 から開始移転実績 :15 件 Copyright 2018 Japan Network Information Center BBIX BGP Meeting 20
AFRINIC からの注意喚起 (2016/02/02) http://www.afrinic.net/en/library/news/1577-use-of-afrinic-logo-inmessages-about-address-sale-or-lease 21
登録情報は正確に! 経路ハイジャック対策 ではまったお話 Copyright 2018 Japan Network Information Center BBIX BGP Meeting 22
JPNIC のルーティングセキュリティの取組み JPIRR の運営 経路情報のデータベース JPNIC 経路奉 によるあやしい経路の検出と通知 RPKI の取組み PKI によるリソース (=IP アドレス AS 番号 ) の正当性の担保 :RPKI RPKI によるルーティング ルータでの IP アドレスと Origin AS の識別など 23
IRR と RPKI( と ROA) IRR 申告による IP アドレスと AS 番号の DB RPKI PKI を使って登録内容の正しさを担保 24
IRR/RPKI と経路情報の 較 IRR/RPKI の内容と経路情報に 盾が無い =Valid な状態 IRR/RPKI の内容と経路情報に 盾 =Invalid な状態 IRR/RPKI の登録が無い =Not Found な状態 Valid,Not Found な状態の取り扱いは優先度操作等 緩やかなオペレータの合意はあるが Invalid はどうすればいいのか? RIB に入れていいのか? 落とすのか? 議論中 25
2018 年初頭 RPKI の登録が原因で ある AS との接続に問題が出た RPKI の登録を削除したい との相談があり え? そんなことありえるの? 10 年後の未来から来たの? 26
その AS へヒアリング 1. あるエンドユーザ ( 外国人の方 ) からドイツの NW(IPv4) に繋がらない 2.v6 なら繋がるからしばらくそれで回避するけど 3. 該当のドイツの NW に何度も確認するけど 4. 回答 : あなたの AS の JPNIC への RPKI 登録が間違って Invalid だから RIB から落ちてるよ 27
その組織の Looking Glass Valid なケース JPNIC の RPKI の登録状況 28
その組織の Looking Glass Valid なケース LookingGlass の状況 29
その組織の Looking Glass Invalid なケース 30
その組織の Looking Glass Invalid なケース RPKI Invalidはルーティングテーブルにない = 戻りの経路がその組織には存在しない 31
ご清聴ありがとうございました! JPNIC ブログ : 聞けそうで聞けない IP アドレスと AS 番号の話 よくあるお問い合わせから https://blog.nic.ad.jp/blog/inquiry-ipas/ 32