Cloudflareが新興インターネットルーティングセキュリティ標準ASPAのサポートを開始
本文の状態
日本語全文を表示中
詳細モードで約5分の本文を読めます。
同じ出来事の情報源
この情報源を基点に整理
InfoQ
Cloudflareは、インターネットルーティングの安全性を高める暗号化標準ASPAのサポートを発表した。ASPAはデータの経路を検証し、信頼性の低いネットワークを経由するトラフィックを防止する。
Source Article
元記事を日本語で読む
本文に関係しない購読案内、埋め込み通知、サイト内プロモーションは除いています。
Cloudflare は最近、ASPA（Autonomous System Provider Authorization）のサポートを発表しました。この新しい暗号化標準は、データがネットワーク間を移動して目的地に到達する経路を検証し、信頼できないまたは信頼されていないネットワークを経由するトラフィックを防ぐことで、インターネットルーティングの安全性を高めます。
ASPA は、RPKI ベースのセキュリティメカニズムであり、ルート公告が通過するネットワークの連鎖である AS_PATH（Autonomous System Path）を検証することで、インターネットルーティング（BGP: Border Gateway Protocol）をより安全にするように設計されています。これにより、ルートの漏洩や特定の種類のハイジャックを削減します。この新興標準の目的は、インターネットの信頼性を向上させ、偶発的または悪意のあるトラフィックの迂回を減らすことです。
Cloudflare のシニアシステムエンジニアである Mingwei Zhang と、同社のシニアネットワークエンジニアである Bryton Herdes は次のように説明しています。
データがインターネット上を移動する際、通過したすべてのネットワークのログが随時記録されます (...) ASPA により、各ネットワークは RPKI システム内で公式に承認された上位プロバイダーの一覧を公開できるようになります。これにより、受信側のネットワークは AS_PATH を確認し、関連する ASPA レコードを検証して、トラフィックが承認されたネットワークの連鎖のみを経由したことを確認できます。
ボーダーゲートウェイプロトコル（BGP）はインターネット上のトラフィック経路制御に不可欠ですが、ネイティブなパス検証機能を欠いており、ルートリークや乗っ取りに対して脆弱です。RPKI やルートオリジン認証（ROA）はルートオリジンの検証を強化しますが、エンドツーエンドのパスを検証するものではありません。ASPA はネットワーク運用者に、自社の許可されたプロバイダーを宣言するための暗号化手法を提供し、受信側ネットワークが AS パスが期待される構造に合致していることを確認できるようにします。
ASPA はインターネットルーティングの期待される階層構造を検証することで、ルートの迂回を検出します。通常の「バレーフリー」トポロジーでは、トラフィックは顧客から 1 つ以上の上位プロバイダーへ上昇し、最上層で単一のピアリンクを横断した後、プロバイダーを経由して宛先顧客へと下降します。この顧客からプロバイダーへの昇格、オプションのピアリング通過、そしてプロバイダーから顧客への降下が、ポリシー準拠の標準的なパスを形成します。
出典：Cloudflare ブログ
昨年、NIST は ASPA 仕様のルーター実装の評価を含む、新たな BGP セキュリティおよびレジリエンスメカニズムのテストと実験を促進するため、オープンソースのテストツールとデータセットを公開しました。
また Cloudflare は、ASPA の普及状況を追跡できるよう Cloudflare Radar にツールを追加し、ネットワーク運用者が誰が ASPA を使用しているか、パスがどのように検証されているかを確認できるようにしました。Zhang と Herdes は警告しています：
ASPA がついに現実のものとなったことで、インターネット経路検証のための暗号化アップグレードが実現しました。しかし、ルートオリジン検証における RPKI の開始当初から関わってきた方々ならご存知の通り、実際にインターネット上で大きな価値を提供するには長い道のりとなります。ASPA オブジェクトを実際に使用し、それらを用いて経路を検証するためには、RPKI リレーイングパーティ (RP) パッケージ、署名者実装、RTR (RPKI からルーターへのプロトコル) ソフトウェア、および BGP 実装における変更が必要です。
出典：Cloudflare ブログ
最近のベネズエラにおける BGP ルートリーク事案において、Cloudflare は、ASPA が観測された AS パスが期待されるプロバイダー承認関係と一致しているかを確認することで、異常な経路公告を検知して拒否するのをネットワークが支援したと指摘しています。これはオリジン検証だけでは実現できないことです。
Cloudflare だけが新しい暗号化標準へのコミットメントを持っているわけではありません。昨年公開された「AWS secures internet routing with RPKI plus security checks」という記事において、AWS のチームは次のように述べています。
ASPA はまだ標準化の過程にありますが、私たちはこれを使用し、利用可能なすべてのツールを活用して、インターネットをすべての人にとって安全で信頼できる場所とし続けることにコミットしています。
特定の IETF 標準がドラフト段階にある一方で、Cloudflare は ARIN と RIPE NCC がすでに ASPA オブジェクトの作成をサポートしており、OpenBGPD や BIRD などのルーティングソフトウェアには ASPA 検証機能が含まれていると指摘しています。
著者について
Renato Losio
Renato はクラウドアーキテクト、技術リーダー、およびクラウドサービススペシャリストとして豊富な経験を持っています。現在、彼はベルリンに住み、リモートでシニアクラウドアーキテクトとして勤務しています。彼の主な関心領域はクラウドサービスとリレーショナルデータベースです。彼は InfoQ の編集者であり、認定された AWS Data Hero です。LinkedIn で彼に連絡することができます。
もっと見る 表示しない
原文を表示
Cloudflare recently announced support for ASPA (Autonomous System Provider Authorization). The new cryptographic standard helps make Internet routing safer by verifying the path data takes across networks to reach its destination and preventing traffic from traversing unreliable or untrusted networks.
ASPA is an RPKI-based security mechanism designed to make Internet routing (BGP) more secure by validating the AS_PATH (the chain of networks a route announcement traverses), thereby reducing route leaks and some classes of hijacks. The goal of the emerging standard is to improve Internet reliability and reduce accidental or malicious traffic detours. Mingwei Zhang, principal systems engineer at Cloudflare, and Bryton Herdes, principal network engineer at Cloudflare, explain:
When data travels across the Internet, it keeps a running log of every network it passes through (...) ASPA provides networks with a way to officially publish a list of their authorized upstream providers within the RPKI system. This allows any receiving network to look at the AS_PATH, check the associated ASPA records, and verify that the traffic only traveled through an approved chain of networks.
The Border Gateway Protocol (BGP) is essential for routing traffic across the Internet but lacks native path validation, leaving it susceptible to route leaks and hijacks. Although RPKI and Route Origin Authorizations (ROAs) strengthen route origin validation, they do not verify the end-to-end path. ASPA provides network operators with a cryptographic method to declare their authorized providers, allowing receiving networks to verify that an AS path conforms to this expected structure.
ASPA detects route detours by validating the expected hierarchical structure of Internet routing. In a normal, "valley-free" topology, traffic moves up from a customer to one or more upstream providers, may traverse a single peer link at the top tier, and then moves down through providers to the destination customer. This customer-to-provider ascent, optional peer crossing, and provider-to-customer descent form the standard policy-compliant path.
Source: Cloudflare blog
Last year, NIST released open-source test tools and datasets to facilitate testing and experimentation with emerging BGP security and resilience mechanisms, including the ability to evaluate router implementations of ASPA specifications.
Cloudflare also added tools to Cloudflare Radar to track how widely ASPA is being adopted, so network operators can see who’s using it and how paths are validated. Zhang and Herdes warn:
With ASPA finally becoming a reality, we have our cryptographic upgrade for Internet path validation. However, those who have been around since the start of RPKI for route origin validation know this will be a long road to actually providing significant value on the Internet. Changes are needed to RPKI Relaying Party (RP) packages, signer implementations, RTR (RPKI-to-Router protocol) software, and BGP implementations to actually use ASPA objects and validate paths with them.
Source: Cloudflare blog
In the recent Venezuela BGP route leak incident, Cloudflare notes that ASPA would have helped networks detect and reject the abnormal path announcements by verifying whether the observed AS path matched the expected provider-authorization relationships, something that origin validation alone could not do.
Cloudflare is not the only provider committed to the new cryptographic standard. In the "AWS secures internet routing with RPKI plus security checks" article published last year, the team at AWS writes:
Although ASPA is still being standardized, we are committed to using it and all tools at our disposal to continue to make the internet a safe and reliable place for everyone.
While the specific IETF standard remains in draft, Cloudflare notes that ARIN and RIPE NCC already support ASPA object creation, and routing software such as OpenBGPD and BIRD includes ASPA validation.
About the Author
Renato Losio
Renato has extensive experience as a cloud architect, tech lead, and cloud services specialist. Currently, he lives in Berlin and works remotely as a principal cloud architect. His primary areas of interest include cloud services and relational databases. He is an editor at InfoQ and a recognized AWS Data Hero. You can connect with him on LinkedIn.
Show moreShow less
今日のまとめ
AIデイリーブリーフで今日の重要ニュースをまとめ読み