要約

  • RFC 5210 の肯定的な試験結果は、アクセス網、AS 内、AS 間の検証をすべて備えた AS に限定される。完全構成の結論を、未配置区間へそのまま拡張してはならない。
  • ポートとの結合、経路から生成した規則、AS 間タグは変化する状態である。版と時刻を失った合格記録は、次のパケットを説明できない。
  • 正当な送信元アドレスを使う侵害端末は、検証に正しく合格したまま攻撃できる。送信元の妥当性は、人間や組織の身元証明ではない。

合格したパケットと、合格したままのラベル

午前 9 時、ある IPv6 パケットがスイッチの 17 番ポートから出る。アドレスと接続点の結合が一致し、アクセス境界を通る。AS の入口では、当時の経路情報に照らして送信元プレフィックスがそのインターフェースで妥当と判断される。遠隔のアライアンス参加 AS では、一時タグが現在の期間の値と一致する。

この記録を「このパケットが、三つの指定境界で、当該状態に基づき 9 時に受理された」と書けば正確である。ところが画面には、時制のない 送信元認証済み だけが残る。

9 時 12 分、端末は別の接続へフェイルオーバーする。同時にプレフィックス写像が変わり、タグも切り替わる。一部の検証装置は新しい規則を持ち、別の装置は古い経路投影を保持している。切替時の損失を避けるため、新旧タグが短時間だけ同時に有効になる。9 時 15 分でも画面は緑のままだ。

9 時の結果が虚偽になったのではない。9 時 15 分の現在形を支える新しい証拠がないのである。さらに悪いことに、アドレスの受理が、送信した人の本人確認へすり替わっている。

これは実在の事業者、製品、事故を述べるものではなく、境界を示すための構成例である。検証結果の単位は、パケット、検査点、規則の状態、時刻である。その四つを消すと、有用な制御が過大な権威になる。

RFC 5210 が実際に試した範囲

RFC 5210 は 2008 年 6 月に Experimental として公開された。著者らは CNGI-CERNET2 に接続する 12 大学の AS に SAVA の試作系を設置し、そのうち 6 AS がアクセス網、AS 内、AS 間のすべてを備えた完全構成だった。

試験には通常動作、動的変更、偽装防止が含まれる。非隣接 AS の仕組みでは、タグの付与と除去、正当アドレスの転送、タグ更新、新規参加者の保護、アドレス空間の追加と削除、偽装パケットの遮断を扱った。

報告された成果は明確である。三層を完全に配置した AS では、認証された送信元アドレスを持たないパケットは転送されなかった。しかし条件節を削ることはできない。この試験は公開インターネット全体を測定したものでも、現在の任意の機器や運用へ成功率を与えたものでもない。

文書自身も、試作と結果を将来の IETF 作業への入力と位置づけ、実験方式には限界があるとする。Experimental という身分は成果を小さくする札ではない。成果を別の主張へ膨らませないための境界である。

アクセス境界が知るのは接続である

一つの方式では、IP アドレス、MAC アドレス、スイッチポートの動的な結合を作る。送信されたパケットがアドレスとポートの組に合わなければ破棄する。別の方式では、ネットワークアクセス認証からセッション鍵を得て、ホストまたはエージェントから SAVA 装置までの各パケットを保護する。

前者は、割り当てられたアドレスと当時の接続点が一致することを示す。後者は、さらに指定された鍵の文脈でパケット保護が検証されたことを示す。しかし、どちらもキーボードの利用者、パケットを生成したプロセス、操作を命じた組織、端末の健全性までは答えない。

RFC は、試作のアクセス方式がそのまま本番環境に十分ではないとも記す。マルチホーム、フェイルオーバー、移動、無線、接続変更は単純な結合を崩す。結合には作成・失効時刻、移動処理、衝突処理、最後に各装置へ反映された版が必要になる。

AS 内境界が知るのはプレフィックスの妥当性である

AS 内の検証は RFC 2827 と RFC 3704 の入口フィルタリングを利用する。問いは「この端末がこのアドレスを所有するか」ではなく、「この送信元プレフィックスは、選択した経路モデルのもとで、この入口から来てもよいか」である。

厳密な逆方向検査、実行可能経路を考慮する方式、より緩い方式は同じ証拠を生まない。非対称経路やマルチホームでは、正当な入口と最良の戻り経路が一致しないことがある。誤遮断を減らすために許容範囲を広げれば、主張の粒度も粗くなる。

したがって、合格が意味するのは、特定の経路ビュー、検査方式、インターフェース規則のもとでプレフィックスが受理されたということだけである。経路ビューの有効時刻、規則の生成元、装置への配布と導入を残さなければ再現できない。

AS 間境界では組織間の同期が実行条件になる

隣接 AS の方式では、受信インターフェースと有効な送信元ブロックを結ぶ規則を作る。生成エンジンが AS 表現の規則を交換し、写像サービスが AS を IPv6 プレフィックスへ変換し、検証エンジンに配布する。

非隣接 AS では、参加者がアライアンスを構成し、一時的なタグを使う。送信側の境界ルータが宛先 AS に応じた値を付け、受信側の境界ルータが確認して取り除く。登録機能はメンバーを管理し、AS 制御サーバはプレフィックス所有情報とタグを交換する。

ここでは、検証は単一装置の設定ではなく、参加者一覧、信頼、所有情報、鍵素材、配布、失効の共同運用に依存する。アライアンスは動的参加・離脱を目指していたが、試験の初期信頼はオフラインで確認された。この条件を、世界規模の自動信頼確立へ読み替えることはできない。

規則には到着時間がある

RFC 5210 は、AS 関係に基づく隣接方式が急な経路変化へ十分速く同期できず、誤判定を起こす可能性を挙げる。試験網は比較的安定しており、そこで良好に動いた。安定性も成果の条件の一つだったのである。

タグにも期間がある。古い値を無期限で認めてはならない。試験では新しい値が割り当てられた後、旧値を五秒間だけ有効にした。連続性は、二つの状態を期限つきで重ねることで実現していた。

運用証跡には、アクセス結合の版、経路ビュー、AS 関係、AS とプレフィックスの写像、生成規則、配布確認、導入ハッシュ、メンバーのスナップショット、タグ期間、重複終了時刻が必要である。さらに、欠落、遅延、迂回した最初の境界を明示しなければならない。

単一の valid=true は値を保存しても、判断に使った現実を保存しない。

追跡の信頼度と本人確認は別である

偽装の余地が減れば、アドレスや経路を手掛かりに調査する信頼度は上がる。それは診断、会計、事故対応に有用である。しかし、より強い手掛かりがそのまま人間の身元になるわけではない。

RFC 7039 は、送信元検証からデータグラムを発した人物、あるいは最終システムまで追えると考えるのは魅力的だが、実際には状況証拠を与えるにとどまると警告する。

共有サーバ、プロキシ、リレー、アプリケーション基盤、侵害端末はいずれも、正当に結合されたアドレスを利用できる。ネットワークの接続証拠、装置証拠、ワークロード証拠、アカウント証拠、組織責任、個人と意図は別々の段である。

結合ログにはプライバシーの負担もある。端末や利用者がどこでいつ活動したかを示し得るため、保存期間、閲覧権限、利用目的、誤認訂正の手続を定める必要がある。見かけ上の関連を即座に処分へ使ってはならない。

正当なアドレスの攻撃は、正しく合格する

RFC 5210 は重要な上限を明記している。多数のサービス妨害攻撃は、ボットネット端末に割り当てられた正当な IP アドレスから実行できる。送信元検証を世界中に配置しても、その攻撃を防げない。

送信元検証が抑えるのは偽装である。端末の健全性、アプリケーションの権限、通信量の正当性、利用者の意図は保証しない。侵害された端末は、自分のアドレスを使うからこそ、三つの境界を正常に通る。

この場合、調査は端末、プロセス、アカウント、認可、振る舞いへ移るべきである。認証済みトラフィック という曖昧な表現は、対象外だった攻撃を存在しないものにしてしまう。

制御面の設定とデータ面の実行を分ける

実験の軽量タグは共有乱数であり、パケットごとの暗号学的な身元証明ではない。RFC は経路上の攻撃者に対する弱さと、より強い計算を採用した場合の転送負荷を議論する。また IPv6 hop-by-hop オプションを一部のルータが低速でしか処理できなかったと報告する。

制御装置に規則があることは、実行意図の証拠である。機器の導入応答は、状態を受け取った証拠である。データ面のカウンタ、試験パケット、適切な観測点で初めて、実際の適用が分かる。

低速経路への移行は新たなサービス妨害面になり、容量回復のためのバイパスは検証境界を消すことがある。画面の設定だけを見ていては、その両方を見落とす。

越境しない証跡の書き方

まずパケットまたはフロー、観測点、時刻、必要な境界を記録する。アクセスでは割り当て元、アドレス、リンク識別子、ポート、作成、失効、移動処理。AS 内では方式、インターフェース、経路ビュー、プレフィックス規則、生成時刻を残す。

AS 間では関係、写像元、生成装置、版、配布、導入を記録する。アライアンスでは参加者、相手、所有情報交換、タグまたは種の期間、重複と失効を記録する。機器版、低速処理、カウンタ、破棄、試験の由来も同じ証跡に属する。

独立した装置、アカウント、人物の証拠がなければ、結論はそこで止める。指定した規則でアドレスと経路を受理。行為者は不明。不明を正しく記すことは弱さではなく、次の調査に必要な入口である。

出典