ニュースレターNo.39/2008年7月発行
JPNICにおける経路制御の安全性向上に向けた活動
インターネット経路制御（ルーティング）は、インターネットの根幹を支えるネットワーク技術です。インターネット経路制御のセキュリティは、エンドユーザーの観点では実感しにくいものかもしれませんが、私達の生活基盤の一部となりつつあるインターネットを支える、一種の命綱だと言えます。最近あったインターネット経路制御のセキュリティに関連した出来事としては、パキスタンで起こったYouTubeに対する経路ハイジャック※1が記憶に新しいと思います。
一旦、経路制御の安全性が脅かされると、簡単に一度に多くのユーザーがインターネットにアクセスできなくなり、場合によっては、盗聴や追跡が困難な不正アクセスの脅威にさらされることになります。ISP事業を行う観点で言うと、顧客のネットワークからインターネットへの接続が突然できなくなります。Webサーバ等を提供するホスティング事業の観点で言うと、DoSなどの攻撃を受けているわけではないにも関わらず、インターネットから顧客のサーバにアクセスできなくなるのです。
IPv4のアドレスプールが枯渇する時期になると、不正な手段で他者が利用しているIPアドレスを手に入れようとする人間が出てくることも考えられ、こういった経路ハイジャックの懸念はより深刻になるのではないでしょうか。
本稿では、JPNICで実験的に運用を開始した「経路情報の登録認可機構」をご紹介します。経路情報の登録認可機構は、インターネット経路制御の安全性向上を目的としたシステムで、2006年度、経済産業省からの受託事業の一環として開発されました。また、本稿では、本機構にまつわる国内外でのディスカッションを紹介し、インターネット経路制御の安全性向上とは何か、日本で実践すべき安全策とは何か、といったことを述べたいと思います。
開発の背景 ～インターネット経路制御のためのIRR～
経路情報の登録認可機構が開発された背景は、三つあります。その一つ目はIRR（Internet Routing Registry）の存在です。そして、残りの二つは、このIRRに求められるデータの信頼性に関するものです。
インターネット経路制御は、ネットワークの管理組織ごとに設置された、BGPルータによって行われています。BGPルータは、大きなネットワークとインターネットとの接続のために使われる機器です。インターネットへの接続を行うには、ネットワークの管理組織同士でBGPルータの接続情報を教え合う必要があります。ここで問題になるのが、接続するネットワークの数が増えてきた場合の、連絡方法と設定ミスへの対処です。
インターネットの拡大に伴って、インターネットへ接続するネットワークが増えています。するとBGPルータの設定変更を行ったことを、一度に多くのネットワーク管理組織に教える必要があります。例えば、新たにIPアドレスの割り振りを受け、既存のルータでそのIPアドレスを使い始めるようなときです。電子メールを用いて多くのBGPルータの管理者に連絡を取ることは実質的に不可能です。また、もしBGPルータの設定ミスがあったときに、どの情報が正しいのかがわからなくなってしまうかもしれません。そこで、多くのネットワーク管理組織で使われているのがIRRです。
IRRは、経路情報や経路制御のポリシー等の情報が登録されるデータベースです。IRRへの情報登録はBGPルータの運用をしているものが行います。登録しておくと、その情報に変更があったときに特定のメールアドレス（メーリングリストでよい）に通知を流すことができます。またIRRに登録された情報とBGPルータの設定を比較することで、BGPルータの設定が正しいかどうかを確認することもできます。
国際的に最も有名なIRRはMerit社のRADB※2でしょう。JPNICでもJPIRR※3と呼ばれるIRRを提供しています。
IRRの登録情報は一般に公開されており、whoisやpevalといったツールを使って閲覧できます。
□ 実行例
UNIXのシェルの場合、以下のように検索して利用します。
$ whois -h jpirr.nic.ad.jp <IPアドレス>
Webの場合、以下のページで検索して利用します。
http://jpirr.nic.ad.jp/
IRRはインターネット経路制御に必要なレジストリ（登録システム）だと言えます。経路情報の登録認可機構は、IRRサービスの信頼性を上げ、ひいてはインターネット経路制御の安全性を向上させるために開発されました。
二つ目の背景はIRRにおける登録者の認証です。IRRで他人に成りすました登録ができてしまうようでは、IRRの登録情報全体の信頼性は下がってしまいます。しかし、現行のIRRで提供されている認証方式はパスワードやPGPです。自分の登録情報が書き換えられないよう、PGPを使って強固に守ることはできますが、IRRの信頼性は自分の登録した情報だけに依拠するものではありません。IRR全体が強い認証方式で成りすましを防いでいなければ、whoisを使った検索結果の信頼性は向上しません。
三つ目の背景は、IRRに登録されるIPアドレスの正しさです。IRRにはインターネット経路制御に関する情報が登録されるので、当然のことながらその中でIPアドレスが記載されます。そのIPアドレスが他のISPに割り振られていたり、入力ミスであっても、現行のシステムではそのまま登録されてしまいます。これではIRRの意味がありません。
2005年～2006年にかけて開かれたIABのRouting and Addressing Workshopでは、今後のインターネット経路制御のために、IRRの情報を正常に保つことが重要であるという指摘がなされています。
JPIRRでも、登録情報が正常に保たれることが重要だと考えられます。
経路情報の登録認可機構の仕組み
経路情報の登録認可機構は、背景で述べたようなIRRのシステムを補完し、IRRに登録された情報の信頼性を向上させる仕組みです。
経路情報の登録認可機構の役割を一言で言うと、IRRの経路情報（routeオブジェクト）の正しさを向上させることです。大まかに言うと、JPNICのIPレジストリシステムを使って、JPIRRに登録される前の情報に記載されているIPアドレスをチェックすることで、本来使われるべきでないアドレスがIRRに登録されることを防ぐというものです。
具体的には三つの仕組みを持っています。一つはJPIRRにrouteオブジェクトが登録される前に、そこに記述されたIPアドレスをチェックする仕組みそのものです。このチェックには「許可リスト」と呼ばれるデータベースが使われます。（機能1）
二つ目の機能は、JPIRRに情報を登録するユーザーを電子証明書を使って認証することです。S/MIMEという電子署名の技術を使って認証の強化を図ります。（機能2）
三つ目の機能は、許可リストの管理です。許可リストは、IPアドレスの割り振りを受けている組織（例えばIPアドレス管理指定事業者）が、そのIPアドレスをインターネット経路制御において使う組織、すなわちJPIRRに情報を登録する組織（メンテナー）を指定するためのデータベースです。（機能3）
図3は、許可リストを表示した画面のスナップショットです。Prefixの列には、登録制限を行う対象のIPアドレスが表示されます。メンテナー名の列には、各PrefixをJPIRRに登録できるメンテナー名が表示されています。AS番号を指定することもでき、その場合には特定のAS番号とPrefixの組み合わせでなければ、JPIRRに登録されないという制限をかけることになります。 許可リストで一旦指定が行われると、そのメンテナーに属するユーザーは、指定された範囲のIPアドレスをrouteオブジェクトとして登録できます。逆に、IPアドレス管理指定事業者などが許可していないIPアドレスは、JPIRRに登録されることはありません。
これらの仕組みによって、正しいユーザーが正しいIPアドレスをJPIRRに登録できるようになり、打ち間違いや成りすまし行為を防ぎます。
国内外でのディスカッション
IRRと連携する経路情報の登録認可機構は、IPアドレス管理の手順にひと手間を加えることになります。そのため、関連組織と情報交換を行いながら構築を行っています。その一環として、今回はIETFの初日に行われるIEPGや、JANOGミーティングで発表を行い、ディスカッションを行いました。
IEPGにおいては、特にRIRの技術者から本機構の運用実験を奨励する意見が寄せられました。※4一方、JANOGでは、IPアドレスとAS管理の担当者の間で、もはや連絡が取りにくいのではないか、といった意見が挙がりました。
RIPE NCCやARINでは、本機構が実現している機能に似た機能を実装した上での登録管理が行われていますが、日本ではまだ考え方も含め浸透しているとは言いがたい状況です。しかし、自組織のIPアドレスが他のネットワークに使われたとき（経路ハイジャック）、インターネットのどこかにインターネット経路制御の正しい台帳がなければ、どちらが正しいのかを確認することは難しいと言えます。
今後のセキュアなインターネット経路制御のために
国際的にはリソース証明書やS-BGP、soBGPといった、インターネット経路制御の安全性を向上させる技術の開発が進んでいます。しかし、IPアドレスの登録情報そのものを正しい状態にしていかなければ、新しいプロトコルを使っても解決にはなりません。
経路情報の登録認可機構は、日本における新しい試みであり、まだこれを使った登録管理の実現性を確認する段階にあります。しかし本機構を使ったJPIRRは、登録情報に一定の信頼性を期待できます。また、この登録情報は、IPアドレスとAS番号の利用権利を示す電子証明書である「リソース証明書」※5というものの発行にも利用できると考えています。
IPアドレス管理指定事業者の方々およびAS番号の割り当てを受けている方は、情報通信インフラであるインターネットを保護する観点で、重要な役割を担っています。
日本国内のIPアドレス利用者が、国際的に見ても安全なインターネット経路制御の恩恵を受けられるようにするため、ぜひ本機構をご利用いただきたいと思います。
□JPIRR認証局と経路情報の登録認可機構について
http://www.nic.ad.jp/ja/research/ca/jpirr/
（JPNIC 技術部/インターネット推進部 木村泰司）
- ※1 経路ハイジャック
- インターネット経路制御においてIPアドレスやAS番号を不正に利用し、 本来のネットワーク構成と異なる通信経路を確立しようとする行為のことです。 悪意のない、設定ミスである場合もあります。 インターネット経路制御は、 ISPがインターネットとの通信経路を確立する際に行われるネットワーク運用業務ですが、 この経路ハイジャックによって、ISPと契約している全ての一般ユーザーがインターネットへの接続性を失ったり、 逆にインターネット側からの接続性を失ったりすることがあります。
- ※2 RADB
- 「Routing Assets Database」の略で、Meritという米国の研究機関によって運営されているpublicなインターネットルーティングレジストリ（IRR）の一つです。
http://www.radb.net/ - ※3 JPIRR
- 日本における経路制御品質向上手法の開発・普及啓発活動の推進を目的として、JPNICが運用を行っているIRRです。詳しくは以下のWebページをご参照ください。
JPIRR
http://www.nic.ad.jp/ja/irr/index.html
JPIRR登録者・利用者向けページ
http://www.nic.ad.jp/ja/ip/irr/ - ※4 JPNIC News & Views vol.509
- 第70回IETF報告［第4弾］セキュリティ関連WG報告
http://www.nic.ad.jp/ja/mailmagazine/backnumber/2007/vol509.html - ※5 APNICにおけるリソース証明書の動向
- http://www.nic.ad.jp/ja/newsletter/No34/0612.html
