ニュースレターNo.38/2008年3月発行

APNICにおけるリソース証明書の動向～第24回APNICオープンポリシーミーティングでの議論

概要

第24回APNICミーティングは、SANOG（South Asian Network Operators Group）と合同で行われました。そのためか、APNICミーティングにおけるAPOPS（Asia Pacific Operators forum）の話題が充実しており、一部では技術的な議論に特化したNANOG（North American Network Operators' Group）での議論を思い起こさせる場面もありました。

本稿では、リソース証明書とルーティングのセキュリティに関する話題について報告いたします。

APNICにおけるリソース証明書のサービス化に関して

今回のAPNICミーティングでは、NIRにおいてIPアドレス管理業務を行っている担当者を対象とした、NIR Hostmaster Workshopというワークショップが開かれました。今回の主な議題は、APNICにおけるリソース証明書の提供についてです。JPNIC、KRNIC、TWNICから各々1、2名の参加者があり、小さな会議のような形のワークショップとなりました。

APNICでは、2006年度初頭から、リソース証明書の開発に取り組んでいます。APNICにおけるWeb申請システムであるMyAPNICを通じて、2007年度末にサービス化が行われる計画があります。今回のワークショップは、リソース証明書のサービス化に先立って、リソース証明書の提供方法に関する意見をNIRから集めるという趣旨であったようです。

AP地域にはNIRが多く存在しているため、リソース証明書を提供する形態が、他のRIRよりも若干複雑になると考えられます。方式を大きく分類すると2種類あり、一つはAPNICが集中的に証明書を管理する方式で、もう一つは各NIRが証明書の管理を行う方式です。リソース証明書の技術には、他に利用可能性等の課題がありますが、こちらについてはアジェンダになく、議論されませんでした。

今回のWorkshopでわかってきたことは、まずAPNICでは、リソース証明書に関して、2007年度末のサービス化を、変更する余地のない計画だと考えている点です。IPv4アドレスプールの枯渇期において、IPアドレスの不正利用対策としては、リソース証明書が唯一の手段であるように捉えられているようで、サービス開始を急ぎたい様子でした。ただし、APNICにおけるリソース証明書の提供には、次に述べるような利用可能性等に関する課題があります。

サービス化に先立って存在する利用可能性の課題

APNIC側が考えるリソース証明書の用途は二つあります。一つは、IPアドレスの割り振りを通じた正当な利用権利を示すデータです。もう一つは、IETF SIDR WGで議論されている、セキュアなドメイン間ルーティングです。

リソースに対する電子証明書がいくら発行されても、それが本来の目的を達せなければ意味がありません。ここでいう本来の目的とは、リソースの不正利用を排除したり、レジストリの登録情報に基づいてルーティングの安全性向上が図れるか、といったことです。つまり、サービス化の前に、以下に挙げる課題をクリアしている必要があります。

○サービス化に先立つ、リソース証明書に関する利用可能性の課題

リソースの不正利用があったときに、それを回避する／拒否する手法を確立すること
IETF SIDR WGで提案されているように、S-BGP等で利用し、ルーティングの安全性への利用ができること

前述の通り、今回のワークショップではこれらの課題に関する議論はできず、単にAPNICがサービス化する意思をNIRに伝える場になってしまいました。

リソース証明書に関するNIRの動向

ワークショップの終了後、ワークショップに参加していたNIRの各担当者の方々がほぼ全員残る形で、リソース証明書に関する情報交換が行われました。

KRNICやTWNICの方は、そもそもリソース証明書に関する技術的な情報が足りていない状況があり^※1、懸念点がわからないという感想を持ったようです。今回のワークショップについては、以下のような意見が挙げられました。

○KRNICやTWNICの意見

リソース証明書の技術的な必要性が理解できていない。費用がかかる大きなプロジェクトだがその理由付けが少なすぎる。
実験的な利用開始はよいが、サービス化は改めて検討が必要。
- ルーティングの安全性向上はLIRに求められていることではある。
- 投資の検討は必要だと考えられる。

今回のWorkshopは、APNICからの情報伝達に近いものがありましたが、今後アジア太平洋地域での適切な普及を図るには、まずNIRの理解を図ることから始める必要があると考えられます。

なお、RIPE NCCでは、リソース証明書に関するLIRの理解を図ったり、RIPE NCCにおける業務を検討するプロジェクトが2006年末頃から行われてきており、次回（第56回）のRIPEミーティングで報告される予定です。

APOPSにおけるルーティングセキュリティの話題

APNICミーティング中のAPOPSで、ルーティングセキュリティに関する興味深い発表があったので報告いたします。

この発表は、IIT（Indian Institutes of Technology - インド工科大学）の学生による修士論文の内容で、APOPSに割り当てられた時間の最初に行われました。発表によると、BGPルータでprefix hijack（本来の持ち主ではない第三者による経路の乗っ取り）を検知できるシステムを実装し、実験環境で実測、その有効性を検証したとのことです。

この研究では、prefix hijackの判別に、ルータ自身が蓄積した過去の経路情報を用いており、この過去のデータがprefix hijackの検知に役立つかどうかを検証する目的で計測が行われました。

計測の結果、prefix hijack検知の一環として、prefixが問題ない状態で行われる変更を検知するために、過去のデータが役立つ、という点が確認されたそうです。また、ルータにおけるホールディングタイムの変化や、パス長の変化などは、MOAS（Multiple Origin AS）における、不正な経路のフィルタリングに役立つことがわかってきました。

今回の研究における計測は、実験環境で行われ、実際のインターネットで流れている経路情報を対象としたものではないそうです。しかし本研究において興味深い結果が出ているため、会場からは、

インド内でのISPで実際にデータを収集してみてはどうか
NANOG等、他のオペレーターコミュニティで発表してはどうか

などのアドバイスが出ました。

ニューデリーでは、車で移動することが多かったのですが、空港とニューデリー市内を車で往復する間、ほぼ絶え間なくクラクションの音が聞こえました。鳴らされている理由はわかりませんでしたが、追い越すときにはほぼ必ず、互いにクラクションを鳴らしているようです。また、車間距離が日本のタクシーに劣らない程狭く、各々の車が我先にと急いでいる意気込みが感じられました。

APNICミーティング会場では、インドにあるLIRの方が力強い声で発言しているのを聞いていましたが、市内からはよりパワフルな、多くの人々から発せられるエネルギーを垣間見たような気がします。

次回のAPNICミーティングは、2008年2月25日から29日、台湾の台北で行われる予定です。