要約

  • GTSM は保護対象通信を TTL 255 で開始し、受信側が残存値と設定済み距離を比べてから高コストな BGP 処理へ進めるようにする。
  • 受信側は距離検査に失敗したパケットを隔離または破棄できるが、正しい TTL は送信者や経路を認証せず、許容範囲内の攻撃者も排除しない。

小さなフィールドが受け入れ境界になる

BGP は TCP 上で動くが、もっともらしい送信元アドレスだけでは設定済みネイバーから来たと証明できない。遠隔の攻撃者は制御通信を偽装し、ルータの CPU やラインカード帯域を消費させられる。GTSM は転送ごとに変わる事実、すなわち IPv4 の TTL と IPv6 の Hop Limit が一ホップずつ減ることを利用する。

直接接続されたピアでは送信側が最大値 255 を設定し、受信側も 255 での到着を求める。遠方から出たパケットは、通常、失った値を取り戻せない。マルチホップでは 255 より低い範囲を設定できるが、許容する直径を広げるほど、もっともらしい値を作れる場所も増える。

RFC 5082 はパケットを三つに分ける。保護セッションに属し TTL が範囲内なら Trusted、セッションには属すが範囲外なら Dangerous、登録セッションと結び付けられなければ Unknown である。これは運用上の分類であり、意図や人物に対する判定ではない。

既定では Dangerous を Trusted や Unknown と資源競合させるべきではなく、破棄してもよい。一方、GTSM の処理だけを理由に Trusted や Unknown を破棄してはならない。受信側が得る権限は限定的で、距離が妥当な通信にプロトコル処理を優先配分することだ。

許可は推測でなく設定から生まれる

既存プロトコルでの GTSM は任意で、RFC 5082 は汎用の自動ネゴシエーションを定めない。運用者がピアごとに設定し、RFC 7454 は BGP の両端で設定が必要だとする。保護セッション、期待距離、関連 ICMP エラー、経路変更時の扱いが合意の対象になる。

送信側は 255 でパケットを生成し、内部転送で値を減らしてはならない。受信側は観測値を正しいセッションへ対応付ける必要がある。トンネル、デカプセル化、マルチホップは計算を複雑にし、ピアの身元が同じでも経路移行で閾値が誤りになり得る。

遠隔からの偽装通信が CPU や制御帯域を奪いにくくなるため、両ピアと周辺の経路制御が恩恵を受ける。一方、設定、監視、変更管理の費用も双方が負担し、受信側は分類理由を説明できる観測記録を残さなければならない。

近さは認証ではない

Trusted という語を過大解釈してはならない。RFC 5082 は GTSM が認証の代替ではないと明記する。リンク上や許容ホップ範囲内の攻撃者は、偽装やリプレイを行える。正しい TTL はアドレス所有、BGP UPDATE の権限、経路の正当性を証明しない。

最大限の保護には厳格な入力フィルタも必要だ。GTSM は候補となる発信地点を狭めるが、TCP 保護、制御プレーンフィルタ、プレフィックスや AS パスの方針を置き換えない。Dangerous の増加は攻撃、古い閾値、トンネル変更のいずれでも起こり得て、それだけで攻撃者を特定できない。

証拠と限界

RFC 5082 は手順、三分類、資源処理、設定と限界を定める。RFC 7454 は BGP 運用へ適用し、RFC 4271 と 4272 は BGP セッションとリスクを示す。権限、受益者、費用という整理は分析である。

資料は特定事業者の導入、普遍的なマルチホップ距離、TTL による認証を証明しない。GTSM 単独で経路漏えい、虚偽広告、リンク内攻撃、あらゆるセッション切断を防ぐとも述べていない。

出典