リソースPKIとは
リソースPKIとは、IPアドレスやAS番号といった、 アドレス資源の割り振りや割り当てを証明するためのPKI (Public-Key Infrastructure:公開鍵基盤)です。 リソースPKIの基本的なデザインは、1998年頃、 米国BBN Technology社のStephen Kent氏らによって、 インターネット経路制御の安全性向上のために考案されました。
リソースPKIは、リソース証明書(Resource Certificate)と呼ばれる電子証明書を発行するために使われます。 リソース証明書は、 アドレス資源の割り振りや割り当てを行う主体によって発行されます。 従って、リソースPKIを構成する認証局のツリー構造は、 インターネットレジストリのツリー構造と基本的に同じになります。
リソースPKIには、二つの用途があると言われています。 「セキュア・ルーティングを目的とした経路情報の確認」と「アドレス資源の利用権利の確認」です。
一つ目の用途は、不正なインターネット経路制御を回避し、 セキュアなインターネット経路制御を実現するための使い方です。 BGP (Border Gateway Protocol)(*1)を使ったインターネット経路制御では、 IPアドレスとそのアドレスを使うネットワークのAS番号が情報交換されます。 リソースPKIは、 その組み合わせが入ったROA (Route Origination Authorization)と呼ばれるデータを生成するために利用することが可能です。 ISPなどでインターネット経路制御を行っているルータなどの機器は、 インターネットから得た経路情報と、 そのROAを比較することにより、 そこに含まれるIPアドレスとAS番号が正しいかどうか等を確認することができます。 それにより、 もし別のネットワークが本来使うべきでないIPアドレスを使っていた場合には、 その経路情報を無視し、 不正な経路情報の影響を広がらないようにすることが可能です。
二つ目の用途は、 IPアドレスが正しく割り振られたものであるかどうかを確認する使い方です。 アドレスホルダー(アドレスの割り振りを受けたもの)の間で、 IPアドレスの移転が行われるようになると、 そのIPアドレスが、アドレスを譲渡する側に、 正しく割り当てられたものであるかどうかを確認する手段が必要になると言われています。 リソースPKIを使ってリソース証明書を検証すると、 記載されたIPアドレスがインターネットレジストリ経由で、 正しく割り振られたものであることが確認でき、 不正な移転を防いだり、 移転の手続きを確実にできたりすると考えられます。 この二つ目の用途は、 一つ目のセキュアなインターネット経路制御の実現のために必ず必要になると言えます。
リソースPKIのアーキテクチャと詳しい仕様は、 APNICならびにRIPE NCCを中心とした複数のRIRと、 IETFのSIDR WGで検討されています。
- The APNIC Resource Certification page
- http://mirin.apnic.net/resourcecerts/
- RIPE Certification Task Force
- http://www.ripe.net/ripe/tf/certification/
- Secure Inter-Domain Routing (sidr)
- http://www.ietf.org/html.charters/sidr-charter.html
(*1) http://www.nic.ad.jp/ja/basics/terms/bgp.html
http://www.nic.ad.jp/ja/newsletter/No35/0800.html
