RFC 6490 - Resource Public Key Infrastructure (RPKI) Trust Anchor Locator 日本語訳

原文URL : https://datatracker.ietf.org/doc/html/rfc6490
タイトル : RFC 6490 - リソース公開キーインフラストラクチャ（RPKI）トラストアンカーロケーター
翻訳編集 : 自動生成

[要約] RFC 6490は、Resource Public Key Infrastructure（RPKI）Trust Anchor Locatorに関する標準仕様です。このRFCの目的は、RPKIトラストアンカーの位置情報を提供し、インターネット上のセキュリティと信頼性を向上させることです。

Internet Engineering Task Force (IETF)                         G. Huston
Request for Comments: 6490                                         APNIC
Category: Standards Track                                      S. Weiler
ISSN: 2070-1721                                             SPARTA, Inc.
                                                           G. Michaelson
                                                                   APNIC
                                                                 S. Kent
                                                                     BBN
                                                           February 2012

Resource Public Key Infrastructure (RPKI) Trust Anchor Locator

リソース公開キーインフラストラクチャ（RPKI）トラストアンカーロケーター

Abstract

概要

This document defines a Trust Anchor Locator (TAL) for the Resource Public Key Infrastructure (RPKI).

このドキュメントでは、リソース公開キーインフラストラクチャ（RPKI）のトラストアンカーロケーター（TAL）を定義しています。

Status of This Memo

本文書の位置付け

This is an Internet Standards Track document.

これは、インターネット標準トラックドキュメントです。

This document is a product of the Internet Engineering Task Force (IETF). It represents the consensus of the IETF community. It has received public review and has been approved for publication by the Internet Engineering Steering Group (IESG). Further information on Internet Standards is available in Section 2 of RFC 5741.

このドキュメントは、インターネットエンジニアリングタスクフォース（IETF）の製品です。IETFコミュニティのコンセンサスを表しています。公開レビューを受けており、インターネットエンジニアリングステアリンググループ（IESG）からの出版が承認されています。インターネット標準の詳細については、RFC 5741のセクション2で入手できます。

Information about the current status of this document, any errata, and how to provide feedback on it may be obtained at http://www.rfc-editor.org/info/rfc6490.

このドキュメントの現在のステータス、任意のERRATA、およびそのフィードバックを提供する方法に関する情報は、http：//www.rfc-editor.org/info/rfc6490で取得できます。

著作権表示

This document is subject to BCP 78 and the IETF Trust's Legal Provisions Relating to IETF Documents (http://trustee.ietf.org/license-info) in effect on the date of publication of this document. Please review these documents carefully, as they describe your rights and restrictions with respect to this document. Code Components extracted from this document must include Simplified BSD License text as described in Section 4.e of the Trust Legal Provisions and are provided without warranty as described in the Simplified BSD License.

このドキュメントは、BCP 78およびIETFドキュメント（http://trustee.ietf.org/license-info）に関連するIETF Trustの法的規定の対象となります。この文書に関するあなたの権利と制限を説明するので、これらの文書を注意深く確認してください。このドキュメントから抽出されたコードコンポーネントには、セクション4.Eで説明されている法的規定のセクション4.Eで説明されており、単純化されたBSDライセンスで説明されているように保証なしで提供される簡略化されたBSDライセンステキストを含める必要があります。

Table of Contents

   1. Introduction ....................................................2
      1.1. Terminology ................................................2
   2. Trust Anchor Locator ............................................2
      2.1. Trust Anchor Locator Format ................................2
      2.2. TAL and Trust Anchor Certificate Considerations ............3
      2.3. Example ....................................................4
   3. Relying Party Use ...............................................5
   4. Security Considerations .........................................5
   5. Acknowledgments .................................................6
   6. References ......................................................6
      6.1. Normative References .......................................6
      6.2. Informative References .....................................6

1. Introduction

1. はじめに

This document defines a Trust Anchor Locator (TAL) for the Resource Public Key Infrastructure (RPKI) [RFC6480]. This format may be used to distribute trust anchor material using a mix of out-of-band and online means. Procedures used by Relying Parties (RPs) to verify RPKI signed objects SHOULD support this format to facilitate interoperability between creators of trust anchor material and RPs.

このドキュメントでは、リソース公開キーインフラストラクチャ（RPKI）[RFC6480]のトラストアンカーロケーター（TAL）を定義しています。この形式は、帯域外とオンラインの手段の組み合わせを使用して、信頼のアンカー資料を配布するために使用できます。依存関係者（RPS）が使用する手順は、RPKI署名されたオブジェクトを確認する必要があります。この形式をサポートして、信頼できるアンカー資料とRPSの作成者間の相互運用性を促進する必要があります。

1.1. Terminology

1.1. 用語

The key words "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY", and "OPTIONAL" in this document are to be interpreted as described in [RFC2119].

「必須」、「そうしない」、「必須」、「必要」、「しない」、「そうしない」、「そうではない」、「そうでない」、「推奨」、「5月」、および「オプション」は、[RFC2119]に記載されているように解釈される。

2. Trust Anchor Locator

2. アンカーロケーターを信頼します

2.1. Trust Anchor Locator Format

2.1. アンカーロケーター形式を信頼します

This document does not propose a new format for trust anchor material. A trust anchor in the RPKI is represented by a self-signed X.509 Certification Authority (CA) certificate, a format commonly used in PKIs and widely supported by RP software. This document specifies a format for data used to retrieve and verify the authenticity of a trust anchor in a very simple fashion. That data is referred to as the TAL.

このドキュメントは、信頼できるアンカー資料の新しい形式を提案していません。RPKIのトラストアンカーは、PKIで一般的に使用され、RPソフトウェアで広くサポートされているフォーマットである、自己署名X.509認証局（CA）証明書で表されます。このドキュメントは、非常にシンプルな方法で、信頼アンカーの信頼性を取得および検証するために使用されるデータの形式を指定します。そのデータはTALと呼ばれます。

The motivation for defining the TAL is to enable selected data in the trust anchor to change, without needing to effect redistribution of the trust anchor per se. In the RPKI, certificates contain extensions that represent Internet Number Resources (INRs) [RFC3779]. The set of INRs associated with an entity likely will change over time. Thus, if one were to use the common PKI convention of

TALを定義する動機は、信頼アンカー自体の再分配をもたらす必要なく、信頼アンカーの選択されたデータを変更できるようにすることです。RPKIでは、証明書にはインターネット番号リソース（INR）を表す拡張機能が含まれています[RFC3779]。エンティティに関連付けられたINRのセットは、おそらく時間とともに変化する可能性があります。したがって、共通のPKI条約を使用する場合

distributing a trust anchor to RPs in a secure fashion, this procedure would need to be repeated whenever the INR set for the trust anchor changed. By distributing the TAL (in a secure fashion) instead of the trust anchor, this problem is avoided, i.e., the TAL is constant so long as the trust anchor's public key and its location do not change.

トラストアンカーを安全な方法でRPSに配布すると、この手順は、信頼アンカーのINRセットが変更されたときはいつでも繰り返す必要があります。トラストアンカーの代わりに（安全な方法で）TALを配布することにより、この問題は回避されます。つまり、TALは、トラストアンカーの公開鍵とその場所が変わらない限り、一定です。

The TAL is analogous to the TrustAnchorInfo data structure [RFC5914] adopted as a PKIX standard. That standard could be used to represent the TAL, if one defined an rsync URI extension for that data structure. However, the TAL format was adopted by RPKI implementors prior to the PKIX trust anchor work, and the RPKI implementer community has elected to utilize the TAL format, rather than define the requisite extension. The community also prefers the simplicity of the ASCII encoding of the TAL versus the binary (ASN.1) encoding for TrustAnchorInfo.

TALは、PKIX標準として採用されたTrustanchorinfoデータ構造[RFC5914]に類似しています。その標準は、そのデータ構造のRSYNC URI拡張を定義した場合、TALを表すために使用できます。ただし、TAL形式は、PKIXトラストアンカー作業の前にRPKI実装者によって採用され、RPKI実装者コミュニティは、必要な拡張を定義するのではなく、TAL形式を利用することを選択しました。コミュニティはまた、TALのASCIIエンコードとTrustanchorinfoのエンコードのバイナリ（ASN.1）の単純さを好みます。

The TAL is an ordered sequence of:

TALは次のような順序付けられたシーケンスです。

1) An rsync URI [RFC5781], 2) A <CRLF> or <LF> line break, and 3) A subjectPublicKeyInfo [RFC5280] in DER format [X.509], encoded in Base64 (see Section 4 of [RFC4648]).

1) rsync uri [rfc5781]、2）a <crlf>または<lf>ラインブレーク、および3）base64でエンコードされたder形式[x.509]のsubjectpublickeyinfo [rfc5280]（[rfc4648]のセクション4を参照）。

2.2. TAL and Trust Anchor Certificate Considerations

2.2. アンカー証明書の考慮事項をTALおよび信頼します

The rsync URI in the TAL MUST reference a single object. It MUST NOT reference a directory or any other form of collection of objects.

TALのRSYNC URIは、単一のオブジェクトを参照する必要があります。ディレクトリまたはその他の形式のオブジェクトのコレクションを参照してはなりません。

The referenced object MUST be a self-signed CA certificate that conforms to the RPKI certificate profile [RFC6487]. This certificate is the trust anchor in certification path discovery [RFC4158] and validation [RFC5280] [RFC3779].

参照されたオブジェクトは、RPKI証明書プロファイル[RFC6487]に準拠する自己署名CA証明書でなければなりません。この証明書は、認証パス発見[RFC4158]および検証[RFC5280] [RFC3779]の信頼アンカーです。

The validity interval of this trust anchor SHOULD reflect the anticipated period of stability for the particular set of INRs that are associated with the putative trust anchor.

この信頼アンカーの妥当性間隔は、推定信頼アンカーに関連付けられている特定のINRの安定性の予想される期間を反映する必要があります。

The INR extension(s) of this trust anchor MUST contain a non-empty set of number resources. It MUST NOT use the "inherit" form of the INR extension(s). The INR set described in this certificate is the set of number resources for which the issuing entity is offering itself as a putative trust anchor in the RPKI [RFC6480].

このトラストアンカーのINR拡張機能には、無効な数のリソースセットが含まれている必要があります。INR拡張機能の「継承」形式を使用してはなりません。この証明書に記載されているINRセットは、発行エンティティがRPKI [RFC6480]の推定信頼アンカーとしてそれ自体を提供している数のリソースのセットです。

The public key used to verify the trust anchor MUST be the same as the subjectPublicKeyInfo in the CA certificate and in the TAL.

信頼のアンカーを確認するために使用される公開鍵は、CA証明書およびTALの件名PublicKeyInfoと同じでなければなりません。

The trust anchor MUST contain a stable key. This key MUST NOT change when the certificate is reissued due to changes in the INR extension(s), when the certificate is renewed prior to expiration or for any reason other than a key change.

トラストアンカーには安定したキーが含まれている必要があります。このキーは、有効期限の前に証明書が更新される場合、または重要な変更以外の理由で証明書が更新された場合、証明書が再発行されたときに変更してはなりません。

Because the public key in the TAL and the trust anchor MUST be stable, this motivates operation of that CA in an off-line mode. Thus the entity that issues the trust anchor SHOULD issue a subordinate CA certificate that contains the same INRs (via the use of the "inherit" option in the INR extensions of the subordinate certificate). This allows the entity that issues the trust anchor to keep the corresponding private key of this certificate off-line, while issuing all relevant child certificates under the immediate subordinate CA. This measure also allows the Certificate Revocation List (CRL) issued by that entity to be used to revoke the subordinate CA certificate in the event of suspected key compromise of this potentially more vulnerable online operational key pair.

TALとTrust Anchorの公開鍵は安定している必要があるため、これによりオフラインモードでのCAの動作が動機付けられます。したがって、トラストアンカーを発行するエンティティは、同じINRSを含む下位CA証明書を発行する必要があります（下位証明書のINR拡張に「継承」オプションを使用することにより）。これにより、信託アンカーを発行するエンティティが、この証明書の対応する秘密鍵をオフラインに保つことができ、同時にすべての関連する子証明書をすぐに下位にca。また、この措置により、このエンティティが発行した証明書取消リスト（CRL）は、この潜在的に脆弱なオンライン運用キーペアの主要な妥協が疑われた場合に、下位CA証明書を取り消すために使用することができます。

The trust anchor MUST be published at a stable URI. When the trust anchor is reissued for any reason, the replacement CA certificate MUST be accessible using the same URI.

トラストアンカーは、安定したURIで公開する必要があります。何らかの理由でトラストアンカーが再発行される場合、同じURIを使用して交換用CA証明書にアクセスできる必要があります。

Because the trust anchor is a self-signed certificate, there is no corresponding CRL that can be used to revoke it, nor is there a manifest [RFC6486] that lists this certificate.

トラストアンカーは自己署名証明書であるため、それを取り消すために使用できる対応するCRLはありません。また、この証明書をリストするマニフェスト[RFC6486]もありません。

If an entity wishes to withdraw a self-signed CA certificate as a putative trust anchor for any reason, including key rollover, the entity MUST remove the object from the location referenced in the TAL.

エンティティが、キーロールオーバーを含む何らかの理由で、推定信託アンカーとして自己署名CA証明書を撤回したい場合、エンティティはTALで参照されている場所からオブジェクトを削除する必要があります。

2.3. Example

2.3. 例

   rsync://rpki.example.org/rpki/hedgehog/root.cer
   MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAovWQL2lh6knDx
   GUG5hbtCXvvh4AOzjhDkSHlj22gn/1oiM9IeDATIwP44vhQ6L/xvuk7W6
   Kfa5ygmqQ+xOZOwTWPcrUbqaQyPNxokuivzyvqVZVDecOEqs78q58mSp9
   nbtxmLRW7B67SJCBSzfa5XpVyXYEgYAjkk3fpmefU+AcxtxvvHB5OVPIa
   BfPcs80ICMgHQX+fphvute9XLxjfJKJWkhZqZ0v7pZm2uhkcPx1PMGcrG
   ee0WSDC3fr3erLueagpiLsFjwwpX6F+Ms8vqz45H+DKmYKvPSstZjCCq9
   aJ0qANT9OtnfSDOS+aLRPjZryCNyvvBHxZXqj5YCGKtwIDAQAB

3. Relying Party Use

3. 依存者の使用

In order to use the TAL to retrieve and validate a (putative) trust anchor, an RP SHOULD:

TALを使用して（推定）信頼アンカーを取得および検証するために、RPは次のようにする必要があります。

1. Retrieve the object referenced by the URI contained in the TAL.

1. TALに含まれるURIによって参照されるオブジェクトを取得します。

2. Confirm that the retrieved object is a current, self-signed RPKI CA certificate that conforms to the profile as specified in [RFC6487].

2. 取得されたオブジェクトが、[RFC6487]で指定されているようにプロファイルに準拠する現在の自己署名RPKI CA証明書であることを確認してください。

3. Confirm that the public key in the TAL matches the public key in the retrieved object.

3. TALの公開鍵が検索されたオブジェクトの公開鍵と一致することを確認します。

4. Perform other checks, as deemed appropriate (locally), to ensure that the RP is willing to accept the entity publishing this self-signed CA certificate to be a trust anchor. These checks apply to the validity of attestations made in the context of the RPKI, relating to all resources described in the INR extension of this certificate.

4. RPがこの自己署名CA証明書を信頼アンカーにするために公開するエンティティを受け入れることをいとわないことを確認するために、適切な（局所的に）とみなされる他のチェックを実行します。これらのチェックは、この証明書のINR拡張に記載されているすべてのリソースに関連する、RPKIのコンテキストで行われた証明の有効性に適用されます。

An RP SHOULD perform these functions for each instance of TAL that it is holding for this purpose every time the RP performs a re-synchronization across the local repository cache. In any case, an RP also SHOULD perform these functions prior to the expiration of the locally cached copy of the retrieved trust anchor referenced by the TAL.

RPは、RPがローカルリポジトリキャッシュ全体で再同期を実行するたびに、この目的のために保持されているTALの各インスタンスに対してこれらの機能を実行する必要があります。いずれにせよ、RPは、TALによって参照される取得された信頼アンカーのローカルにキャッシュされたコピーの有効期限の前に、これらの関数を実行する必要があります。

4. Security Considerations

4. セキュリティに関する考慮事項

Compromise of a trust anchor private key permits unauthorized parties to masquerade as a trust anchor, with potentially severe consequences. Reliance on an inappropriate or incorrect trust anchor has similar potentially severe consequences.

トラストアンカーの妥協案の秘密鍵は、不正な関係者が信頼のアンカーを装って、潜在的に深刻な結果をもたらすことを許可します。不適切または誤った信頼アンカーへの依存は、同様の潜在的に深刻な結果をもたらします。

This TAL does not directly provide a list of resources covered by the referenced self-signed CA certificate. Instead, the RP is referred to the trust anchor itself and the INR extension(s) within this certificate. This provides necessary operational flexibility, but it also allows the certificate issuer to claim to be authoritative for any resource. Relying parties should either have great confidence in the issuers of such certificates that they are configuring as trust anchors, or they should issue their own self-signed certificate as a trust anchor and, in doing so, impose constraints on the subordinate certificates. For more information on this approach, see [TA-MGMT].

このTALは、参照される自己署名CA証明書の対象となるリソースのリストを直接提供しません。代わりに、RPは、この証明書内のTrust Anchor自体とINR拡張機能を紹介します。これにより、必要な運用上の柔軟性が提供されますが、証明書発行者はあらゆるリソースに対して権威あると主張することもできます。頼る当事者は、信託アンカーとして構成しているそのような証明書の発行者に大きな自信を持つか、信頼のアンカーとして独自の自己署名証明書を発行する必要があり、そうすることで、下位証明書に制約を課す必要があります。このアプローチの詳細については、[Ta-Mgmt]を参照してください。

5. Acknowledgments

5. 謝辞

This approach to trust anchor material was originally described by Robert Kisteleki.

アンカー資料を信頼するこのアプローチは、もともとロバート・キステレキによって説明されました。

The authors acknowledge the contributions of Rob Austein and Randy Bush, who assisted with earlier draft versions of this document and with helpful review comments.

著者は、このドキュメントの以前のドラフトバージョンを支援し、有用なレビューコメントで、ロブオーストインとランディブッシュの貢献を認めています。

6. References

6. 参考文献

6.1. Normative References

6.1. 引用文献

[RFC2119] Bradner, S., "Key words for use in RFCs to Indicate Requirement Levels", BCP 14, RFC 2119, March 1997.

[RFC2119] Bradner、S。、「要件レベルを示すためにRFCで使用するためのキーワード」、BCP 14、RFC 2119、1997年3月。

[RFC3779] Lynn, C., Kent, S., and K. Seo, "X.509 Extensions for IP Addresses and AS Identifiers", RFC 3779, June 2004.

[RFC3779] Lynn、C.、Kent、S。、およびK. Seo、「IPアドレスおよび識別子としてのX.509拡張」、RFC 3779、2004年6月。

[RFC4648] Josefsson, S., "The Base16, Base32, and Base64 Data Encodings", RFC 4648, October 2006.

[RFC4648] Josefsson、S。、「Base16、Base32、およびBase64データエンコーディング」、RFC 4648、2006年10月。

[RFC5280] Cooper, D., Santesson, S., Farrell, S., Boeyen, S., Housley, R., and W. Polk, "Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile", RFC 5280, May 2008.

[RFC5280] Cooper、D.、Santesson、S.、Farrell、S.、Boeyen、S.、Housley、R.、およびW. Polk、 "Internet X.509公開鍵インフラストラクチャ証明書および証明書失効リスト（CRL）プロファイル"、RFC 5280、2008年5月。

[RFC5781] Cooper, D., Santesson, S., Farrell, S., Boeyen, S., Housley, R., and W. Polk, "Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile", RFC 5280, May 2008.

[RFC5781] Cooper、D.、Santesson、S.、Farrell、S.、Boeyen、S.、Housley、R.、およびW. Polk、 "Internet X.509 Public Key Infrastructure Certificate and Certificate Recocation List（CRL）プロファイル"、RFC 5280、2008年5月。

   [RFC6487]  Huston, G., Michaelson, G., and R. Loomans, "A Profile for
              X.509 PKIX Resource Certificates", RFC 6487, February
              2012.

[X.509] ITU-T, "Recommendation X.509: The Directory - Authentication Framework", 2000.

[X.509] ITU -T、「推奨X.509：ディレクトリ - 認証フレームワーク」、2000。

6.2. Informative References

6.2. 参考引用

[RFC4158] Cooper, M., Dzambasow, Y., Hesse, P., Joseph, S., and R. Nicholas, "Internet X.509 Public Key Infrastructure: Certification Path Building", RFC 4158, September 2005.

[RFC4158] Cooper、M.、Dzambasow、Y.、Hesse、P.、Joseph、S。、およびR. Nicholas、「インターネットX.509公開キーインフラストラクチャ：認定パスビルディング」、RFC 4158、2005年9月。

[RFC5914] Housley, R., Ashmore, S., and C. Wallace, "Trust Anchor Format", RFC 5914, June 2010.

[RFC5914] Housley、R.、Ashmore、S。、およびC. Wallace、「Trust Anchor Format」、RFC 5914、2010年6月。

[RFC6480] Lepinski, M. and S. Kent, "An Infrastructure to Support Secure Internet Routing", RFC 6480, February 2012.

[RFC6480] Lepinski、M。およびS. Kent、「安全なインターネットルーティングをサポートするインフラストラクチャ」、RFC 6480、2012年2月。

[RFC6486] Austein, R., Huston, G., Kent, S., and M. Lepinski, "Manifests for the Resource Public Key Infrastructure (RPKI)", RFC 6486, February 2012.

[RFC6486] Austein、R.、Huston、G.、Kent、S。、およびM. Lepinski、「リソース公開キーインフラストラクチャ（RPKI）のマニフェスト」、RFC 6486、2012年2月。

   [TA-MGMT]  Reynolds, M. and S. Kent, "Local Trust Anchor Management
              for the Resource Public Key Infrastructure", Work in
              Progress, December 2011.

Authors' Addresses

著者のアドレス

Geoff Huston APNIC

Geoff Huston Apnic

   EMail: gih@apnic.net
   URI:   http://www.apnic.net

Samuel Weiler SPARTA, Inc. 7110 Samuel Morse Drive Columbia, Maryland 21046 USA

Samuel Weiler Sparta、Inc。7110 Samuel Morse Drive Columbia、Maryland 21046 USA

   EMail: weiler@tislabs.com

George Michaelson APNIC

ジョージ・マイケルソン・アペニック

   EMail: ggm@apnic.net
   URI:   http://www.apnic.net

Stephen Kent BBN Technologies 10 Moulton St. Cambridge, MA 02138 USA

Stephen Kent BBN Technologies 10 Moulton St. Cambridge、MA 02138 USA

   EMail: kent@bbn.com