Cloudflareが新興インターネットルーティングセキュリティ標準ASPAのサポートを開始

Cloudflare は最近、ASPA（Autonomous System Provider Authorization）のサポートを発表しました。この新しい暗号化標準は、データがネットワーク間を移動して目的地に到達する経路を検証し、信頼できないまたは信頼されていないネットワークを経由するトラフィックを防ぐことで、インターネットルーティングの安全性を高めます。 ASPA は、RPKI ベースのセキュリティメカニズムであり、ルート公告が通過するネットワークの連鎖である AS_PATH（Autonomous System Path）を検証することで、インターネットルーティング（BGP: Border Gateway Protocol）をより安全にするように設計されています。これにより、ルートの漏洩や特定の種類のハイジャックを削減します。この新興標準の目的は、インターネットの信頼性を向上させ、偶発的または悪意のあるトラフィックの迂回を減らすことです。 Cloudflare のシニアシステムエンジニアである Mingwei Zhang と、同社のシニアネットワークエンジニアである Bryton Herdes は次のように説明しています。 データがインターネット上を移動する際、通過したすべてのネットワークのログが随時記録されます (...) ASPA により、各ネットワークは RPKI システム内で公式に承認された上位プロバイダーの一覧を公開できるようになります。これにより、受信側のネットワークは AS_PATH を確認し、関連する ASPA レコードを検証して、トラフィックが承認されたネットワークの連鎖のみを経由したことを確認できます。 ボーダーゲートウェイプロトコル（BGP）はインターネット上のトラフィック経路制御に不可欠ですが、ネイティブなパス検証機能を欠いており、ルートリークや乗っ取りに対して脆弱です。RPKI やルートオリジン認証（ROA）はルートオリジンの検証を強化しますが、エンドツーエンドのパスを検証するものではありません。ASPA はネットワーク運用者に、自社の許可されたプロバイダーを宣言するための暗号化手法を提供し、受信側ネットワークが AS パスが期待される構造に合致していることを確認できるようにします。 ASPA はインターネットルーティングの期待される階層構造を検証することで、ルートの迂回を検出します。通常の「バレーフリー」トポロジーでは、トラフィックは顧客から 1 つ以上の上位プロバイダーへ上昇し、最上層で単一のピアリンクを横断した後、プロバイダーを経由して宛先顧客へと下降します。この顧客からプロバイダーへの昇格、オプションのピアリング通過、そしてプロバイダーから顧客への降下が、ポリシー準拠の標準的なパスを形成します。 出典：Cloudflare ブログ 昨年、NIST は ASPA 仕様のルーター実装の評価を含む、新たな BGP セキュリティおよびレジリエンスメカニズムのテストと実験を促進するため、オープンソースのテストツールとデータセットを公開しました。 また Cloudflare は、ASPA の普及状況を追跡できるよう Cloudflare Radar にツールを追加し、ネットワーク運用者が誰が ASPA を使用しているか、パスがどのように検証されているかを確認できるようにしました。Zhang と Herdes は警告しています： ASPA がついに現実のものとなったことで、インターネット経路検証のための暗号化アップグレードが実現しました。しかし、ルートオリジン検証における RPKI の開始当初から関わってきた方々ならご存知の通り、実際にインターネット上で大きな価値を提供するには長い道のりとなります。ASPA オブジェクトを実際に使用し、それらを用いて経路を検証するためには、RPKI リレーイングパーティ (RP) パッケージ、署名者実装、RTR (RPKI からルーターへのプロトコル) ソフトウェア、および BGP 実装における変更が必要です。 出典：Cloudflare ブログ 最近のベネズエラにおける BGP ルートリーク事案において、Cloudflare は、ASPA が観測された AS パスが期待されるプロバイダー承認関係と一致しているかを確認することで、異常な経路公告を検知して拒否するのをネットワークが支援したと指摘しています。これはオリジン検証だけでは実現できないことです。 Cloudflare だけが新しい暗号化標準へのコミットメントを持っているわけではありません。昨年公開された「AWS secures internet routing with RPKI plus security checks」という記事において、AWS のチームは次のように述べています。 ASPA はまだ標準化の過程にありますが、私たちはこれを使用し、利用可能なすべてのツールを活用して、インターネットをすべての人にとって安全で信頼できる場所とし続けることにコミットしています。 特定の IETF 標準がドラフト段階にある一方で、Cloudflare は ARIN と RIPE NCC がすでに ASPA オブジェクトの作成をサポートしており、OpenBGPD や BIRD などのルーティングソフトウェアには ASPA 検証機能が含まれていると指摘しています。 著者について Renato Losio Renato はクラウドアーキテクト、技術リーダー、およびクラウドサービススペシャリストとして豊富な経験を持っています。現在、彼はベルリンに住み、リモートでシニアクラウドアーキテクトとして勤務しています。彼の主な関心領域はクラウドサービスとリレーショナルデータベースです。彼は InfoQ の編集者であり、認定された AWS Data Hero です。LinkedIn で彼に連絡することができます。 もっと見る 表示しない

Cloudflareが新興インターネットルーティングセキュリティ標準ASPAのサポートを開始

背景や根拠まで確認しますか？

調べる

選ぶ

サイト