ニュースレターNo.23/2003年3月発行

特集1：JPNICのセキュリティ事業について

1.はじめに

各種情報サービスや行政サービス、企業間取引の基盤を支えるインフラストラクチャとしてのインターネットは、我々の日常生活には不可欠な存在に近づきつつあります。電子商取引等の進展、さらに政府のe-Japan戦略に代表される官民一体となった情報通信技術活用施策の方向性を考えますと、水道、電気、ガスのような公共サービスに近い役割が期待されているものと考えます。

2003年1月の下旬に発生したSQL Slammer^※1は、日本における大きな被害の報告こそありませんでしたが、ソフトウェアの潜在的な脆弱性によってインターネットの運用に支障が出ることを私たちに再認識させる事件でした。DDoS（分散型サービス不能攻撃）のように、システムの運用に支障が起きる事象（インシデント）が発生すると、インターネットを基盤とする各種のサービスが利用できない等の影響が出ます。

インターネットにおけるセキュリティは、インフラストラクチャの保護活動と考えることができます。すなわち公共サービスと同様に、不正利用を避ける体制を持ち、問題が起きたときには発生源を特定し、被害を最小限にとどめる活動が行われなければなりません。日本において、インターネットというインフラストラクチャの運用管理に携わる会員の皆様とJPNICは、このインフラストラクチャを守る立場にあるのです。

会員の皆様の中には、既にセキュリティ情報の提供やユーザネットワークの保護を促す活動をされている方々がいらっしゃいます。一方でJPNICはネットワーク資源（IPアドレスやAS番号など）の管理と情報提供という業務を行っております。JPNICは、後述するCSIRTそして皆様との協調によって、インターネットというインフラストラクチャを保護するための貢献ができると考えております。

2.インターネットレジストリにおけるセキュリティ

インターネットレジストリは、ネットワーク資源を管理する組織です。そしてユーザーやISPなどのネットワーク管理組織に、ネットワーク資源の割り当て／割り振りを行います。またインターネットレジストリは、そのネットワーク管理組織をデータベースに登録します。登録されたネットワーク管理組織は、ネットワーク資源を利用する正当な権利を有します。その権利は確実な手段をもって正しさが証明され、なりすましや悪用といった脅威から保護されなければなりません。また登録情報が信頼性を持ち、たとえばインシデントが起きた際に互いに連絡が取れるようにしておく必要があります。

日本のインターネットレジストリであるJPNICでは、二つの手法を以ってインフラストラクチャネットワークの保護に取り組むことにいたしました。一つはレジストリデータベースの保護であり、もう一つは CSIRT（Computer Security Incident Response Team）との連携です。CSIRTとはインシデントに対応する活動を行う組織の一般名称で、サービス妨害行為、意図しない情報の開示や、それにいたるまでの行為（偶発的な事象を含む）などに対応する組織です。

登録情報を管理するレジストリデータベースは、ネットワーク資源の割り振り／割り当ての礎となるシステムです。まずこのシステムに保護機能を持たせ、インフラストラクチャとしてのインターネットのための、認証基盤を構築することにいたしました。この認証基盤は、PKI（Public-Key Infrastructure、インターネット10分講座参照）を用いて構築します。PKIはTLS（Transport Layer Security）やIPsecとの親和性が高く、またスケーラビリティのある認証システムに応用することが可能です。

RIR（Regional Internet Registry）であるAPNICやRIPE NCCでは、MyAPNIC（図1）やLIR Portal（図2）とよばれるWebサイトを提供しています。これらのサイトはTLSを用いて提供されており、転送されるデータは保護されています。JPNICでは、これらのwhois情報に加え、レジストリデータベースの保護機能を持つ必要性があると考えます。

図1：MyAPNIC(出典：APNIC)
MyAPNICでは、担当者情報、ネットワーク資源情報、支払情報などの閲覧ができます。
Copyright(C)APNIC Pty Ltd
Reproduced with permission
For further information see www.apnic.net

図2：LIR Portal(出典：RIPE NCC)
LIR Portalでは、担当者情報の編集や、ネットワーク資源情報、支払情報などの閲覧ができます。
Copyright(C)RIPE NCC

一方、インフラストラクチャの保護には、認証基盤の他に相互の連絡、被害の最小化といった活動が必要です。そこで実際にインシデント対応を行っているCSIRTと連携し、皆様とノウハウの共有を行いたいと考えております。この活動を通じて、インフラストラクチャネットワークにおけるインシデント対応のあり方を追求できればと考えております。

3.2003年度のセキュリティ事業

JPNICのセキュリティ事業は、認証基盤の構築とCSIRTとの連携の強化に注力する予定です。

（A）認証基盤の構築

2002年度は、NIRとしての認証局のあり方について調査を実施しました。2003年度は、この調査に基づいて必要条件を決め、試験運用に向けた認証局を構築する作業に入ります。同時に、PKIを利用したサービスの為の環境整備と開発を行います。2004年度は、PKIを利用したサービスの試験運用を行います。更にPKIと登録情報を応用する、新しいサービスの開発を視野に活動していきます。

（B）インシデント対応体制の強化活動（CSIRTとの連携）

インシデント対応体制の強化には、情報とノウハウの共有、並びにそれを実現していく体制が重要です。まずJPNICでは、CSIRTと連携して皆様との情報共有ができるような場を設けたいと考えております。そのために、年3回～4回程度のセミナーを開催したいと考えています。次の段階として、より早期の情報交換を行うための連携を目指し、意見交換の場を設けることを検討しております。