要約

  • 1992 年の CIPSO 草案は、数値化したレベルとカテゴリーが同じ対応表を共有するシステム間でしか意味を持たないため、タグの前に 32 ビットの Domain of Interpretation 識別子を置いた。
  • ホストとポートは設定済みラベル範囲を強制し、ドメインをまたぐゲートウェイはオプションを翻訳する必要があった。構文上正しい番号だけでは普遍的な権限にならない。

小さな番号を支えた域内辞書

Commercial IP Security Option は、強制アクセス制御とマルチレベルセキュリティを備えた商用システム向けに提案された。これは米国国防組織向けに設計された BSO と ESO のコード空間とは異なる用途だった。IPv4 オプションのタイプは 134、長さは可変で、フラグメントにコピーされ、一つのデータグラムには一度だけ現れる。

1 オクテットのタイプと長さに続くのが、符号なし 32 ビットの Domain of Interpretation（DOI）識別子で、その後にタグが並ぶ。DOI のゼロは予約済みで使用できない。DOI は、コンパクトなレベル番号とカテゴリー番号を、人やポリシー処理が理解するラベルへ変換する対応表を選ぶ。

この間接参照は付加情報ではない。草案の例では、無関係な二つのシステム群が同じ「Unclassified」をそれぞれ 5 と 1 で表せる。番号だけを見ても、どの表で読むべきかは分からない。DOI の権限主体が対応関係を決め、域内のホストへ配布する。対応表そのものが機微情報なら、域外への公開は求められなかった。

残る情報はタグに格納された。タイプ 0〜127 は RFC で公開する標準形式用、127 より大きいタイプは DOI の権限主体が定義できるが、外部との相互運用を必要としない閉域網に限られた。草案は三つの MAC Sensitivity 形式を番号に対応させ、タイプ 1 をカテゴリーのビットマップ、タイプ 2 を昇順列挙、タイプ 5 を重ならない昇順範囲とした。適合実装は少なくとも通常の tag type 1 を生成し、最適化形式を含む有効な type 1 をすべて受信できなければならなかった。

設定が初めて意味を動作に変える

形式が正しいだけでは足りない。複数ラベルを扱うホスト、ゲートウェイ、ルーターには、システムやインターフェースが許す最低・最高ラベルが必要だった。ホストが扱う権限を持たないラベルは拒否され、送信パケットがポート範囲を外れれば破棄される。送信時の DOI は、ポート、宛先ネットワーク、宛先ホストのいずれかに応じて設定できた。

エラー処理は、読めない意味と、読めるが許可されない意味を区別した。認識できない CIPSO フィールドはパケットを破棄し、ICMP Parameter Problem を返す。有効でも設定範囲外のラベルは破棄し、管理上禁止を示す ICMP Destination Unreachable を返す。管理者は特定の未知タグを安全に無視できると指定できたが、既定の拒否規則に対する明示的な拡張だった。

オプションがない場合にもポリシーが要る。受信ポートは、単一レベル網や、非 CIPSO ホストがすべて同じレベルにいる混在網で、ラベルなし通信へポートラベルを割り当てられた。CIPSO が必須のポートでオプションが見つからなければ、破棄し、タイプ 134 の欠落を示す ICMP Parameter Problem を返す。

DOI 境界では制度への依存が表面化する。実装は少なくとも一つの DOI を扱い、複数対応が推奨された。ネットワーク間を転送するゲートウェイには、CIPSO を一つの DOI から別の DOI へ翻訳する能力が必須だった。パケットが番号を運び、ゲートウェイが管理上異なる語彙の間で意味を維持した。

RFC にならなかった仕様

CIPSO 2.2 は期限切れの Internet-Draft のままで、RFC にはならなかった。その方式は後に NIST の FIPS 188 として 1994 年に標準化され、同規格は 2015 年に撤回された。RFC 7126 は 2014 年時点で、複数のマルチレベルセキュリティ OS に実装され、一部の高セキュリティ網で使われていたと記録する。これは当時の証拠であり、現在の普及率を示さない。

RFC 7126 は一律フィルタリングの危険も示した。CIPSO を除去すると、不完全なラベルとして受信側が捨てたり、データに誤った機密度を結び付けたりし得る。そのため既定では、CIPSO の存在だけを理由に削除または破棄せず、必要な環境では存在に基づく破棄を設定でき、インターフェース別の監査カウンターを持つことが勧められた。

DOI が残した教訓は明快である。番号はヘッダー空間を節約するが、共通の意味は作らない。意味は権限主体の対応表、各システムの設定、境界で行う翻訳の中にある。

出典