[論文レビュー] Rpkiller: Threat Analysis from an RPKI Relying Party Perspective

Koen van Hove, Jeroen van der Ham+1 more|arXiv (Cornell University)|Mar 2, 2022

Network Security and Intrusion Detection被引用数 6

ひとこと要約

本論文は、悪意ある証明書認証局（CA）および公開ポイントの視点から、RPKIの信頼者（RP）ソフトウェアに対する包括的な脅威分析を提示する。著者は脅威モデルを構築し、15の攻撃ベクトルをシミュレートするためのテストベッドを実装した。その結果、評価された8つのRP実装のすべてが少なくとも1つの攻撃に対して脆弱であることが示され、世界的なRPKIの可用性が脅かされる可能性が明らかになった。

ABSTRACT

The Resource Public Key Infrastructure (RPKI) aims to secure internet routing by creating an infrastructure where resource holders can make attestations about their resources. RPKI Certificate Authorities issue these attestations and publish them at Publication Points. Relying Party software retrieves and processes the RPKI-related data from all publication points, validates the data and makes it available to routers so they can make secure routing decisions. In this work, we create a threat model for Relying Party software, where an attacker controls a Certificate Authority and Publication Point. We implement a prototype testbed to analyse how current Relying Party software implementations react to scenarios originating from that threat model. Our results show that all current Relying Party software was susceptible to at least one of the identified threats. In addition to this, we also identified threats stemming from choices made in the protocol itself. Taken together, these threats potentially allow an attacker to fully disrupt all RPKI Relying Party software on a global scale. We performed a Coordinated Vulnerability Disclosure to the implementers and have made our testbed software available for future studies.

研究の動機と目的

• 悪意ある証明書認証局および公開ポイントが存在する状況下で、RPKI信頼者ソフトウェアを標的とする脅威を特定・分析すること。
• RFC規格における省略事項に起因する実装レベルの脆弱性を調査すること。
• 不正な実体によるプロトコルレベルの乱用に対して、既存のオープンソース信頼者実装のレジリエンスを評価すること。
• 協働的脆弱性開示（CVD）を実施し、ソフトウェアパッチでは解決できないプロトコルレベルの緩和策を提案すること。
• これらの脆弱性が世界的なRPKI展開および更新実務に与える実際の影響を評価すること。

提案手法

• 不正な証明書認証局および公開ポイントの能力に焦点を当てた詳細な脅威モデルを構築した。
• 脅威モデルから導出された15の攻撃ベクトルをシミュレートするプロトタイプテストベッドを設計・実装した。
• テストベッドを用いて、8つのオープンソース信頼者ソフトウェア実装の広範なテストを実施し、脆弱性への露出度を評価した。
• NCSC-NLと協力して、協働的脆弱性開示（CVD）プロセスを実施。主要なRP実装開発者に通知し、パッチ適用の猶予を与えた。
• ソフトウェアパッチでは解決できないプロトコルレベルの脆弱性を是正するため、RPKI規格への拡張を提案した。
• RIPE NCCの実世界展開データを分析し、生産環境ネットワークにおける脆弱なRPソフトウェアの普及状況と影響を評価した。

実験結果

リサーチクエスチョン

• RQ1 悪意ある証明書認証局および公開ポイントが、信頼者ソフトウェアの運用を妨害するための攻撃ベクトルはどのようなものがあるか？
• RQ2 RPKIソフトウェア仕様における実装ギャップが、利用可能な脆弱性にどの程度寄与しているか？
• RQ3 主要なオープンソース実装において、これらの脅威に対する信頼者ソフトウェアの露出はどの程度広範か？
• RQ4 正しく実装されていても、大規模な混乱を引き起こす可能性があるRPKIの根本的なプロトコルレベルの弱みは何か？
• RQ5 ソフトウェア更新が生産環境で遅延する状況において、協働的脆弱性開示はリスク低減にどの程度効果的か？

主な発見

• 評価された8つのオープンソース信頼者ソフトウェア実装すべてが、脅威モデルで特定された15の攻撃ベクトルのうち少なくとも1つに対して脆弱であることが判明した。
• 最も深刻な脆弱性は、プロトコルレベルの設計選択に起因しており、特にRPKIデータ構造の不十分な検証や信頼チェーン処理の欠如が原因であった。
• 多くの運用者が公開開示後に信頼者ソフトウェアの更新を遅延させたため、更新サイクルが長く、露出リスクが高まっていることが示された。
• テストベッドの結果、悪意ある公開ポイントが、不正なまたは改ざんされたRPKIデータを送信することで、信頼者ソフトウェアにサービス拒否（DoS）状態やデータ破損を引き起こすことが判明した。
• 4つの主要な信頼者実装が、開示時時点でアクティブなRPKIクライアントの98.5％を占めており、大規模な混乱のシステム的リスクを示している。
• 協働的開示にもかかわらず、rpstir2およびrcynicの2つのプロジェクトは応答もせず、ソフトウェアの更新も行わず、恒久的に脆弱な状態に残っている。