要約

  • RFC 3495のDHCPオプション122は、認証前の経路選択面だった。許可されたTSP用DHCPサーバー、プロビジョニング先、Kerberosレルム、再試行、全体期限をMTAへ渡した。
  • 後段の有効な証明書要件は不正な相手でのサービス有効化を防げても、先行するDHCP応答を遡って認証せず、顧客がそのTSPを選んだことも証明しなかった。

PacketCable 1.0では、ケーブルモデムがデータ接続を担い、Media Terminal Adapterが音声のメディアとシグナリングを担った。両者は一体型の箱にも別々の機器にもなれたが、MACアドレスとIP設定を別に持つIP装置だった。管理主体まで同じとは限らない。

Data Access ProviderはCMを設定し、Telephony Service ProviderはMTAを設定した。RFC 3495は、CM設定を支配する主体が、どの事業者にMTA設定を委ねるかも決めると記した。これは地域通信事業者と長距離事業者の選択に似る。初期設定は商業的な委任でもあった。

IANAがCableLabs Client Configurationへ割り当てた正式コードは122である。タグと長さを持つ下位オプションには、主・副TSP DHCPサーバー、プロビジョニングサーバー、Kerberosレルム、TGS利用、ASとAPの再試行条件、プロビジョニングタイマーが入った。従来のサイト固有コード177は廃止された。

値の構文は厳密だった。IPv4アドレスはネットワークバイト順の4オクテット、FQDNはRFC 1035形式で終端ゼロを持ち、圧縮を使えない。255オクテットを超えればRFC 3396の連結が必要だった。しかし、正しく解析できる値は命令が整形されていることしか示さない。宛先の実在や正当性は別である。

配送方向にも意味がある。クライアントはオプション55でCCCを要求し、60で装置クラスを示す。サーバーがCableLabsの仕様に従い下位オプションを選び、クライアント自身は要求へCCCを書き込まない。パケット中のレルムは応答した設定主体の主張であって、端末が独立に選択した証拠ではない。

RFC 3495は誤誘導を明示した。誤ったDHCPまたはプロビジョニングサーバーのアドレスはサービス拒否を起こす。盗聴者のアドレスなら中間者の機会になる。偽のレルムはMTAを別のKDCへ導く。悪意あるTSPが顧客の選んだTSPから契約を奪うことさえ想定された。

最初の防御はCMTS設定だった。要求を明示済みのDHCPサーバーだけへ転送し、許可されたアドレス範囲からの下り通信だけを通すことが期待された。ただし「正しく設定された」はパケットの属性ではない。現在の設定、フィルター、実通信を別々に確認する必要がある。

証明書検証はさらに後段にある。偽のアドレスやレルムでKDCに到達しても、MTAはサービス有効化前に有効な証明書を提示しなければならない。これは無資格の相手を止められる一方、検証計算そのものがサービス拒否の資源にもなる。拒否は後段ゲートの結果であり、先行選択の正しさではない。

受理された証明書も顧客の意思を証明しない。RFCは、認証済みであっても悪意あるTSPを考慮し、接続を許されたTSPが平和的に共存すると仮定した。顧客の転送はアクセス事業者とTSPの管理問題とされた。暗号上の身元と商業上の授権は一致しない場合がある。

再試行は誤りの費用を増幅した。AS交換とAP交換は、それぞれ初期待ち時間、上限、回数を持つ。外側のタイマーが期限に達すると、端末は最初からプロビジョニングをやり直す。ゼロはタイマーを無効にするだけで、完了を示す値ではない。

RFC 3361はSIPサーバー候補、RFC 3396は長いオプションの再構成、RFC 3397は検索ドメイン、RFC 3442はクラスレス経路を扱った。RFC 3495に固有なのは、認証が始まる前に、その認証が向かうレルムと端点と時間政策をDHCPが決める構造である。

監査には段階別の受領証が要る。オプション受信、解析、レルムと端点の選択、名前解決と経路、KDC接触、証明書とKerberos交換、サービスチケット、期限内の設定完了、顧客が認めたTSP、実サービスである。前段の成功から後段を推定してはならない。

出典