RPKI勉強会/RPKIユーザBoF

by gree_tech

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Copyright © GREE, Inc. All Rights Reserved. Securityというよりは障害検知が目的弊社は事業上、⽇本の携帯キャリアへの通信が多い携帯キャリアだけのPrefix/IPアドレス数だけであれば少ないものの、 NATを利⽤しているため、1Prefixあたりのユーザ数は多いそのため1Prefixでも障害が発⽣した場合、その影響範囲は⼤きいもし、Mis-Originationされた経路がBGPで広報されても何かしらの形で対応できる⼿段が欲しい RPKIに期待

Slide 5

Slide 5 text

Copyright © GREE, Inc. All Rights Reserved. RPKIで守れること他ASのPrefixがMis-Originationされた際の対応が可能具体的にはROAサーバの情報とBGPで受診した経路を⽐較しその結果を⽤いて、attributeを書き換えることができる守れるもの守れないもの⾃ASのPrefixがMis-Originationされた際 → BGPMON/経路奉⾏などで対応可能 ASごとMis-Originationされた際 → 後ほど岡⽥さんより詳細な説明あり

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Copyright © GREE, Inc. All Rights Reserved. 1. RPKIを導⼊してハイジャック検知できた実績がないプロダクション環境で防御できた実績があると⼤きい 2. PacketのMissFowardingに重要性を置いてない RPKIはOutboundのTrafficに設定するどっちかと⾔うと、⾃Prefixがハイジャックされているかが重要ただOutboundTrafficも⾮常に⼤事である大きな要因と思われる2つのこと

Slide 8

Slide 8 text

Copyright © GREE, Inc. All Rights Reserved. グリーが悪意を持った人間にハイジャックをされた場合 ISP1 http://www.gree.net/ http://www.gree.net/ 157.112.192.0/20 157.112.192.0/20 グリーのサイトを乗っとろう︕ そのために、まずはグリーが利⽤している PREFIXを調べて乗っとろう︕ GREE

Slide 9

Slide 9 text

Copyright © GREE, Inc. All Rights Reserved. IPアドレスを乗っ取るため、DNS側の乗っ取りは必要なしそのため、下記の様な名前の偽装も必要がない http://www.gree.net/ → http://www.greee.net/ サイトのドメインごと乗っ取れるため、ユーザへの案内が難しいコンテンツサイドとしては対応が難しい IPアドレスを乗っ取られてからでは遅いため乗っ取られるリスクを事前に回避したい

Slide 10

Slide 10 text

Copyright © GREE, Inc. All Rights Reserved. ハイジャックされたPrefixをFilterしてもらうために、接続事業者、キャリアなどに連絡を⾏う必要があるハイジャックされた出元のキャリアに連絡が容易につけば、対応は簡単だが、海外などだと簡単にはいかないケースが予測されるその場合は、⼀旦国内キャリアにFilterのお願いすることになるが、契約のあるキャリアであれば緊急依頼を⾏いやすいが、契約のないキャリアには依頼がしずらい仮にグリーがハイジャックされた場合の対応無理のある対応

Slide 11

Slide 11 text

Copyright © GREE, Inc. All Rights Reserved. ISPなどでもコンテンツはある⾃社のクラウドサービス⾃社コーポレイトサイト問い合わせForm/Webでの申し込みサイトコンテンツ事業者だけの話ではない有事の際に⼈⼒で対応していくのではなく、”RPKI”のようなシステムで検知/停⽌できるインターネットに皆でしていきたい規模の⼤⼩はあれ、コンテンツ事業者と同じリスクは抱えている

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Copyright © GREE, Inc. All Rights Reserved. 現状だと経路ハイジャック時のOutboundTraffic制御の技術は RPKI以外の解決策はないしかし知名度/利⽤度も低い状態である利⽤度が低い理由は実績が少ないことにあると思われるセキュリティ関連の技術の場合、事例や法的な整備が出ない限りはなかなか注⽬されることは難しいとは思う RPKI以外解決策があるのか？