[要約] RFC 6941は、MPLS-TPセキュリティフレームワークに関するものであり、MPLS-TPネットワークのセキュリティ要件と対策を提供します。目的は、MPLS-TPネットワークのセキュリティを向上させ、信頼性と可用性を確保することです。
Internet Engineering Task Force (IETF) L. Fang, Ed.
Request for Comments: 6941 Cisco
Category: Informational B. Niven-Jenkins, Ed.
ISSN: 2070-1721 Velocix
S. Mansfield, Ed.
Ericsson
R. Graveman, Ed.
RFG Security
April 2013
MPLS Transport Profile (MPLS-TP) Security Framework
MPLSトランスポートプロファイル（MPLS-TP）セキュリティフレームワーク
Abstract
概要
This document provides a security framework for the MPLS Transport Profile (MPLS-TP). MPLS-TP extends MPLS technologies and introduces new Operations, Administration, and Maintenance (OAM) capabilities, a transport-oriented path protection mechanism, and strong emphasis on static provisioning supported by network management systems. This document addresses the security aspects relevant in the context of MPLS-TP specifically. It describes potential security threats as well as mitigation procedures related to MPLS-TP networks and to MPLS-TP interconnection to other MPLS and GMPLS networks. This document is built on RFC 5920 ("Security Framework for MPLS and GMPLS Networks") by providing additional security considerations that are applicable to the MPLS-TP extensions. All the security considerations from RFC 5920 are assumed to apply.
このドキュメントは、MPLSトランスポートプロファイル（MPLS-TP）のセキュリティフレームワークを提供します。 MPLS-TPはMPLSテクノロジーを拡張し、新しい運用、管理、および保守（OAM）機能、トランスポート指向のパス保護メカニズム、およびネットワーク管理システムによってサポートされる静的プロビジョニングに重点を置きます。このドキュメントでは、特にMPLS-TPのコンテキストに関連するセキュリティの側面について説明します。潜在的なセキュリティの脅威、およびMPLS-TPネットワークと、他のMPLSおよびGMPLSネットワークへのMPLS-TP相互接続に関連する緩和手順について説明します。このドキュメントは、RFC 5920（「MPLSおよびGMPLSネットワークのセキュリティフレームワーク」）に基づいて構築されており、MPLS-TP拡張に適用可能な追加のセキュリティの考慮事項を提供します。 RFC 5920のセキュリティに関するすべての考慮事項が適用されると想定されています。
This document is a product of a joint Internet Engineering Task Force (IETF) / International Telecommunication Union Telecommunication Standardization Sector (ITU-T) effort to include an MPLS Transport Profile within the IETF MPLS and Pseudowire Emulation Edge-to-Edge (PWE3) architectures to support the capabilities and functionality of a packet transport network.
このドキュメントは、IETF MPLSおよび疑似配線エミュレーションエッジツーエッジ（PWE3）アーキテクチャ内にMPLSトランスポートプロファイルを含めるための、共同インターネットエンジニアリングタスクフォース（IETF）/国際電気通信連合電気通信標準化部門（ITU-T）の取り組みの成果物です。パケット転送ネットワークの機能をサポートします。
Status of This Memo
本文書の状態
This document is not an Internet Standards Track specification; it is published for informational purposes.
このドキュメントはInternet Standards Trackの仕様ではありません。情報提供を目的として公開されています。
This document is a product of the Internet Engineering Task Force (IETF). It represents the consensus of the IETF community. It has received public review and has been approved for publication by the Internet Engineering Steering Group (IESG). Not all documents approved by the IESG are a candidate for any level of Internet Standard; see Section 2 of RFC 5741.
このドキュメントは、IETF（Internet Engineering Task Force）の製品です。これは、IETFコミュニティのコンセンサスを表しています。公開レビューを受け、インターネットエンジニアリングステアリンググループ（IESG）による公開が承認されました。 IESGによって承認されたすべてのドキュメントが、あらゆるレベルのインターネット標準の候補になるわけではありません。 RFC 5741のセクション2をご覧ください。
Information about the current status of this document, any errata, and how to provide feedback on it may be obtained at http://www.rfc-editor.org/info/rfc6941.
このドキュメントの現在のステータス、エラッタ、およびフィードバックの提供方法に関する情報は、http：//www.rfc-editor.org/info/rfc6941で入手できます。
Copyright Notice
著作権表示
Copyright (c) 2013 IETF Trust and the persons identified as the document authors. All rights reserved.
Copyright（c）2013 IETF Trustおよびドキュメントの作成者として識別された人物。全著作権所有。
This document is subject to BCP 78 and the IETF Trust's Legal Provisions Relating to IETF Documents (http://trustee.ietf.org/license-info) in effect on the date of publication of this document. Please review these documents carefully, as they describe your rights and restrictions with respect to this document. Code Components extracted from this document must include Simplified BSD License text as described in Section 4.e of the Trust Legal Provisions and are provided without warranty as described in the Simplified BSD License.
この文書は、BCP 78およびこの文書の発行日に有効なIETF文書に関するIETFトラストの法的規定（http://trustee.ietf.org/license-info）の対象となります。これらのドキュメントは、このドキュメントに関するあなたの権利と制限を説明しているため、注意深く確認してください。このドキュメントから抽出されたコードコンポーネントには、Trust Legal Provisionsのセクション4.eに記載されているSimplified BSD Licenseのテキストが含まれている必要があり、Simplified BSD Licenseに記載されているように保証なしで提供されます。
Table of Contents
目次
1. Introduction ....................................................3
1.1. Terminology ................................................3
2. Security Reference Models .......................................4
2.1. Security Reference Model 1 .................................5
2.2. Security Reference Model 2 .................................6
3. Security Threats ................................................9
4. Defensive Techniques ...........................................10
5. Security Considerations ........................................12
6. Acknowledgements ...............................................13
7. References .....................................................13
7.1. Normative References ......................................13
7.2. Informative References ....................................13
Contributors ......................................................14
This document provides a security framework for the MPLS Transport Profile (MPLS-TP).
このドキュメントは、MPLSトランスポートプロファイル（MPLS-TP）のセキュリティフレームワークを提供します。
As defined in "Requirements of an MPLS Transport Profile" [RFC5654] and "A Framework for MPLS in Transport Networks" [RFC5921], MPLS-TP uses a subset of MPLS features and introduces extensions to reflect the characteristics of the transport technology. The additional functionality includes in-band OAM, transport-oriented path protection and recovery mechanisms, and new OAM capabilities that were developed for MPLS-TP but that also apply to MPLS and GMPLS. There is strong emphasis in MPLS-TP on static provisioning support through Network Management Systems (NMSs) or Operational Support Systems (OSSs).
「MPLSトランスポートプロファイルの要件」[RFC5654]および「トランスポートネットワークにおけるMPLSのフレームワーク」[RFC5921]で定義されているように、MPLS-TPはMPLS機能のサブセットを使用し、トランスポートテクノロジーの特性を反映する拡張機能を導入します。追加機能には、インバンドOAM、トランスポート指向のパス保護および回復メカニズム、MPLS-TP用に開発されたがMPLSおよびGMPLSにも適用される新しいOAM機能が含まれます。 MPLS-TPでは、ネットワーク管理システム（NMS）または運用サポートシステム（OSS）による静的プロビジョニングサポートに重点が置かれています。
This document is built on [RFC5920] by providing additional security considerations that are applicable to the MPLS-TP extensions. The security models, threats, and defense techniques previously defined in [RFC5920] are assumed to apply to general aspects of MPLS-TP.
このドキュメントは、MPLS-TP拡張機能に適用可能な追加のセキュリティ考慮事項を提供することにより、[RFC5920]に基づいて構築されています。 [RFC5920]で以前に定義されたセキュリティモデル、脅威、および防御技術は、MPLS-TPの一般的な側面に適用されると想定されています。
This document is a product of a joint Internet Engineering Task Force (IETF) / International Telecommunication Union Telecommunication Standardization Sector (ITU-T) effort to include an MPLS Transport Profile within the IETF MPLS and PWE3 architectures to support the capabilities and functionality of a packet transport network.
このドキュメントは、IETF MPLSおよびPWE3アーキテクチャ内にMPLSトランスポートプロファイルを含めて、パケットの機能と機能をサポートするための、インターネットエンジニアリングタスクフォース（IETF）/国際電気通信連合電気通信標準化部門（ITU-T）の取り組みの成果物です。輸送ネットワーク。
Readers can refer to [RFC5654] and [RFC5921] for MPLS-TP terminologies and to [RFC5920] for security terminologies that are relevant to MPLS and GMPLS.
読者は、MPLS-TPの用語については[RFC5654]および[RFC5921]を、MPLSおよびGMPLSに関連するセキュリティの用語については[RFC5920]を参照できます。
Term Definition
------ -----------------------------------------------
AC Attachment Circuit
BFD Bidirectional Forwarding Detection
CE Customer Edge
DoS Denial of Service
G-ACh Generic Associated Channel
GAL G-ACh Label
GMPLS Generalized Multiprotocol Label Switching
IP Internet Protocol
LDP Label Distribution Protocol
LSP Label Switched Path
NMS Network Management System
MPLS Multiprotocol Label Switching
MPLS-TP MPLS Transport Profile
MS-PW Multi-Segment Pseudowire
OAM Operations, Administration, and Maintenance
PE Provider Edge
PSN Packet-Switched Network
PW Pseudowire
S-PE PW Switching Provider Edge
SP Service Provider
SS-PW Single-Segment Pseudowire
T-PE PW Terminating Provider Edge
This section defines reference models for security in MPLS-TP networks.
このセクションでは、MPLS-TPネットワークのセキュリティの参照モデルを定義します。
The models are built on the architecture of MPLS-TP, as defined in [RFC5921]. The placement of SP boundaries plays an important role in determining the security models for any particular deployment.
[RFC5921]で定義されているように、モデルはMPLS-TPのアーキテクチャに基づいて構築されています。 SP境界の配置は、特定の展開のセキュリティモデルを決定する上で重要な役割を果たします。
This document defines a trusted zone as being where a single SP has total operational control over that part of the network. A primary concern is about security aspects that relate to breaches of security from the "outside" of a trusted zone to the "inside" of this zone.
このドキュメントでは、信頼ゾーンを、単一のSPがネットワークのその部分を完全に操作制御できる場所として定義しています。主な関心事は、信頼済みゾーンの「外側」からこのゾーンの「内側」へのセキュリティ違反に関連するセキュリティの側面に関するものです。
In reference model 1, a single SP has total control of the "PE/T-PE to PE/T-PE" part of the MPLS-TP network.
参照モデル1では、単一のSPがMPLS-TPネットワークの「PE / T-PE to PE / T-PE」部分を完全に制御します。
Security reference model 1(a) shows an MPLS-TP network with Single-Segment Pseudowire (SS-PW) from PE1 to PE2. The trusted zone is PE1 to PE2, as illustrated in Figure 1.
セキュリティ参照モデル1（a）は、PE1からPE2への単一セグメント疑似配線（SS-PW）を備えたMPLS-TPネットワークを示しています。図1に示すように、信頼ゾーンはPE1からPE2です。
|<-------------- Emulated Service ---------------->|
| |
| |<------- Pseudowire ------->| |
| | | |
| | |<-- PSN Tunnel -->| | |
| v v v v |
v AC +----+ +----+ AC v
+-----+ | | PE1|==================| PE2| | +-----+
| |----------|............PW1.............|----------| |
| CE1 | | | | | | | | CE2 |
| |----------|............PW2.............|----------| |
+-----+ ^ | | |==================| | | ^ +-----+
^ | +----+ +----+ | | ^
| | Provider Edge 1 Provider Edge 2 | |
| | | |
Customer | |Customer
Edge 1 | |Edge 2
| |
Native service Native service
---Untrusted--- >|<------- Trusted Zone ----->|<---Untrusted----
Figure 1. MPLS-TP Security Model 1(a)
図1. MPLS-TPセキュリティモデル1（a）
Security reference model 1(b) shows an MPLS-TP network with Multi-Segment Pseudowire (MS-PW) from T-PE1 to T-PE2. The trusted zone is T-PE1 to T-PE2, as illustrated in Figure 2.
セキュリティ参照モデル1（b）は、T-PE1からT-PE2へのマルチセグメント疑似配線（MS-PW）を備えたMPLS-TPネットワークを示しています。図2に示すように、信頼ゾーンはT-PE1からT-PE2です。
Native |<-------------Pseudowire------------>| Native
Service | | Service
(AC) | |<- PSN ->| |<- PSN ->| | (AC)
| v v v v v v |
| +-----+ +-----+ +-----+ |
+----+ | |T-PE1|=========|S-PE1|=========|T-PE2| | +----+
| |------|......PW.Seg't1.......PW.Seg't3......|-------| |
| CE1| | | | | | | | | |CE2 |
| |------|......PW.Seg't2.......PW.Seg't4......|-------| |
+----+ | | |=========| |=========| | | +----+
^ +-----+ ^ +-----+ ^ +-----+ ^
| | | |
| TP LSP TP LSP |
| |
|<----------------- Emulated Service ---------------->|
-Untrusted->|<---------- Trusted Zone ----------->|<-Untrusted--
Figure 2. MPLS-TP Security Model 1(b)
図2. MPLS-TPセキュリティモデル1（b）
In reference model 2, a single SP does not have the end-to-end control of the segment from PE/T-PE to PE/T-PE. A given S-PE or T-PE may be under the control of another SP, that SP's customers, or its partners. In this case, the MPLS-TP network is not contained within a single trusted zone.
参照モデル2では、単一のSPには、PE / T-PEからPE / T-PEへのセグメントのエンドツーエンド制御はありません。特定のS-PEまたはT-PEは、別のSP、そのSPの顧客、またはそのパートナーの制御下にある場合があります。この場合、MPLS-TPネットワークは単一の信頼ゾーン内に含まれていません。
Security reference model 2(a) shows an MPLS-TP network with Multi-Segment Pseudowire (MS-PW) from T-PE1 to T-PE2. The trusted zone is T-PE1 to S-PE1, as illustrated in Figure 3.
セキュリティ参照モデル2（a）は、T-PE1からT-PE2へのマルチセグメント疑似配線（MS-PW）を備えたMPLS-TPネットワークを示しています。図3に示すように、信頼ゾーンはT-PE1からS-PE1です。
Native |<-------------Pseudowire------------>| Native
Service | | Service
(AC) | |<--PSN-->| |<--PSN-->| | (AC)
| V V V V V V |
| +-----+ +-----+ +-----+ |
+----+ | |T-PE1|=========|S-PE1|=========|T-PE2| | +----+
| |------|......PW.Seg't1.......PW.Seg't3......|------| |
| CE1| | | | | | | | | |CE2 |
| |------|......PW.Seg't2.......PW.Seg't4......|------| |
+----+ | | |=========| |=========| | | +----+
^ +-----+ ^ +-----+ ^ +-----+ ^
| | | |
| TP LSP TP LSP |
| |
|<---------------- Emulated Service --------------->|
Untrusted-->|<-- Trusted Zone---->|<---------Untrusted--------
Figure 3. MPLS-TP Security Model 2(a)
図3. MPLS-TPセキュリティモデル2（a）
Security reference model 2(b) shows an MPLS-TP network with Multi-Segment Pseudowire (MS-PW) from T-PE1 to T-PE2. The trusted zone is the S-PE1 only, as illustrated in Figure 4.
セキュリティ参照モデル2（b）は、T-PE1からT-PE2へのマルチセグメント疑似配線（MS-PW）を備えたMPLS-TPネットワークを示しています。図4に示すように、信頼ゾーンはS-PE1のみです。
Native |<-------------Pseudowire------------>| Native
Service | | Service
(AC) | |<--PSN-->| |<--PSN-->| | (AC)
| V V V V V V |
| +-----+ +-----+ +-----+ |
+----+ | |T-PE1|=========|S-PE1|=========|T-PE2| | +----+
| |------|......PW.Seg't1.......PW.Seg't3......|------| |
| CE1| | | | | | | | | |CE2 |
| |------|......PW.Seg't2.......PW.Seg't4......|------| |
+----+ | | |=========| |=========| | | +----+
^ +-----+ ^ +-----+ ^ +-----+ ^
| | | |
| TP LSP TP LSP |
| |
|<---------------- Emulated Service --------------->|
--------Untrusted---------->|<--->|<-------Untrusted----------
Trusted
Zone
Figure 4. MPLS-TP Security Model 2(b)
図4. MPLS-TPセキュリティモデル2（b）
Security reference model 2(c) shows an MPLS-TP network with Multi-Segment Pseudowire (MS-PW) from different SPs with inter-provider PW connections. The trusted zone is T-PE1 to S-PE3, as illustrated in Figure 5.
セキュリティ参照モデル2（c）は、プロバイダー間PW接続を持つさまざまなSPからのマルチセグメント疑似配線（MS-PW）を備えたMPLS-TPネットワークを示しています。図5に示すように、信頼ゾーンはT-PE1からS-PE3です。
Native |<--------------------- PW15 ------------------>| Native
Layer | | Layer
Service | |<PSN13>| |<PSN3X>| |<PSNXZ>| | Service
(AC1) V V LSP V V LSP V V LSP V V (AC2)
| +-----+ +-+ +-----+ +-----+ +-+ +-----+ |
+---+ | |T-PE1| | | |S-PE3| |S-PEX| | | |T-PEZ| | +---+
| | | | |=======| |=======| |=======| | | | |
|CE1|----|........PW1........|..PW3..|........PW5........|---|CE2|
| | | | |=======| |=======| |=======| | | | |
+---+ | 1 | |2| | 3 | | X | |Y| | Z | +---+
+-----+ +-+ +-----+ +-----+ +-+ +-----+
|<--Subnetwork 123->| |<--Subnetwork XYZ->|
Untrusted>|<-- Trusted Zone-->|<-------------Untrusted-------------
Figure 5. MPLS-TP Security Model 2(c)
図5. MPLS-TPセキュリティモデル2（c）
In general, the boundaries of a trusted zone must be carefully defined when analyzing the security properties of each individual network. The security boundaries determine which reference model should be applied to a given network topology.
一般に、信頼できるゾーンの境界は、個々のネットワークのセキュリティプロパティを分析するときに注意深く定義する必要があります。セキュリティ境界は、特定のネットワークトポロジに適用する必要がある参照モデルを決定します。
This section discusses various network security threats that are unique to MPLS-TP and may endanger MPLS-TP networks.
このセクションでは、MPLS-TPに固有であり、MPLS-TPネットワークを危険にさらす可能性があるさまざまなネットワークセキュリティの脅威について説明します。
Attacks against a GAL or G-ACh may include the following:
GALまたはG-AChに対する攻撃には、次のものがあります。
- GAL or BFD label manipulation, which includes insertion of false labels and modification, deletion, or replay of messages.
- GALまたはBFDのラベル操作。これには、誤ったラベルの挿入や、メッセージの変更、削除、または再生が含まれます。
- DoS attacks through in-band OAM by generating excessive G-ACh/GAL and BFD messages that consume significant bandwidth and potentially cause congestion.
- 帯域幅を大量に消費し、輻輳を引き起こす可能性のある過剰なG-ACh / GALおよびBFDメッセージを生成することにより、インバンドOAMを介したDoS攻撃。
These attacks can cause unauthorized protection switchover, inability to restore one or more LSPs, or loss of network connectivity.
これらの攻撃により、不正な保護スイッチオーバー、1つ以上のLSPを復元できない、またはネットワーク接続が失われる可能性があります。
When an NMS is used for LSP setup, attacks on the NMS can cause the above effects as well. Although this is not unique to MPLS-TP, MPLS-TP networks can be particularly vulnerable to NMS attacks, due to the fact that static provisioning through NMSs is a commonly used model. In the static provisioning model, a compromised NMS can potentially be comparable to a compromised control plane plus a compromised management plane in the dynamic controlled network model.
NMSがLSPセットアップに使用されている場合、NMSへの攻撃は上記の影響を引き起こす可能性もあります。これはMPLS-TPに固有のものではありませんが、NMSを介した静的プロビジョニングが一般的に使用されるモデルであるため、MPLS-TPネットワークはNMS攻撃に対して特に脆弱になる可能性があります。静的プロビジョニングモデルでは、侵害されたNMSは、侵害されたコントロールプレーンと動的制御ネットワークモデルの侵害された管理プレーンに匹敵する可能性があります。
Attacks on NMSs may come from either external attackers or insiders. Outside attacks are initiated outside of the trusted zone by unauthorized users of the MPLS-TP NMSs. Insider attacks are initiated from inside the trusted zone by an entity that has authorized access to the management systems but that performs unapproved functions that are harmful to the MPLS-TP networks. These attacks may directly target the NMS; they may also take place via the compromised communication channels between the NMS and the network devices that are being provisioned, or through user access to the provisioning tools. This type of security threat may include disclosure of information, generating false OAM messages, taking down MPLS-TP LSPs, connecting to the wrong MPLS-TP tunnel endpoints, and DoS attacks on the MPLS-TP networks.
NMSに対する攻撃は、外部の攻撃者または内部関係者のいずれかから来る可能性があります。外部の攻撃は、MPLS-TP NMSの不正なユーザーによって、信頼ゾーンの外部で開始されます。インサイダー攻撃は、管理システムへのアクセスは許可されているが、MPLS-TPネットワークに有害な未承認の機能を実行するエンティティによって、信頼ゾーン内から開始されます。これらの攻撃は、NMSを直接標的にする可能性があります。また、NMSとプロビジョニングされているネットワークデバイスとの間の侵害された通信チャネルを介して、またはプロビジョニングツールへのユーザーアクセスを介して行われる場合もあります。このタイプのセキュリティ脅威には、情報の漏えい、誤ったOAMメッセージの生成、MPLS-TP LSPの削除、間違ったMPLS-TPトンネルエンドポイントへの接続、MPLS-TPネットワークへのDoS攻撃が含まれる場合があります。
There are other more generic security threats, such as unauthorized observation of data traffic (including traffic pattern analysis), modification or deletion of a provider's or user's data, and replay or insertion of inauthentic data into a provider's or user's data stream. These types of attacks apply to MPLS-TP traffic regardless of how the LSP or PW is set up, in a way that is similar to how they apply to MPLS traffic regardless of how the LSP is set up. More details on the above-mentioned threats are documented in [RFC5920].
データトラフィックの不正な観察（トラフィックパターン分析を含む）、プロバイダーまたはユーザーのデータの変更または削除、およびプロバイダーまたはユーザーのデータストリームへの不正なデータの再生または挿入など、他のより一般的なセキュリティ上の脅威があります。これらのタイプの攻撃は、LSPまたはPWの設定方法に関係なく、LSPの設定方法に関係なくMPLSトラフィックに適用される方法と同様に、MPLS-TPトラフィックに適用されます。上記の脅威の詳細は、[RFC5920]に文書化されています。
Such threats may result from malicious behavior or accidental errors:
このような脅威は、悪意のある動作や偶発的なエラーが原因である可能性があります。
Example 1: Attacks from users: Users of the MPLS-TP network may attack the network infrastructure or attack other users.
例1：ユーザーからの攻撃：MPLS-TPネットワークのユーザーは、ネットワークインフラストラクチャを攻撃したり、他のユーザーを攻撃したりする可能性があります。
Example 2: Attacks from insiders: Employees of the operators may attack the MPLS-TP network, especially through NMSs.
例2：インサイダーからの攻撃：オペレーターの従業員は、特にNMSを介してMPLS-TPネットワークを攻撃する可能性があります。
Example 3: Attacks from interconnecting SPs or other partners: Other SPs may attack the MPLS-TP network, particularly through the inter-provider connections.
例3：相互接続しているSPまたは他のパートナーからの攻撃：他のSPは、特にプロバイダー間接続を介して、MPLS-TPネットワークを攻撃する可能性があります。
Example 4: Attacks as the result of operational errors: Operations staff may fail to follow operational procedures or may make operational mistakes.
例4：操作エラーの結果としての攻撃：操作スタッフは、操作手順に従わなかったり、操作ミスをする可能性があります。
The defensive techniques presented in this document and in [RFC5920] are intended to describe methods by which some security threats can be addressed. They are not intended as requirements for all MPLS-TP deployments. The specific operational environment determines the security requirements for any instance of MPLS-TP. Therefore, protocol designers should provide a full set of security capabilities that can be selected and used where appropriate. The MPLS-TP provider should determine the applicability of these techniques to the provider's specific service offerings, and the end user may wish to assess the value of these techniques to the user's service requirements.
このドキュメントと[RFC5920]で提示されている防御手法は、いくつかのセキュリティ脅威に対処できる方法を説明することを目的としています。これらは、すべてのMPLS-TP展開の要件として意図されたものではありません。特定の運用環境によって、MPLS-TPのインスタンスのセキュリティ要件が決まります。したがって、プロトコル設計者は、必要に応じて選択および使用できるセキュリティ機能の完全なセットを提供する必要があります。 MPLS-TPプロバイダーは、プロバイダーの特定のサービスへのこれらの技術の適用性を決定する必要があり、エンドユーザーは、ユーザーのサービス要件に対するこれらの技術の価値を評価することを望む場合があります。
Authentication is the primary defense technique to mitigate the risk of the MPLS-TP security threats discussed in Section 3 (GAL or BFD label manipulation, and DoS attacks through in-band OAM). Authentication refers to methods to ensure that message sources are properly identified by the MPLS-TP devices with which they communicate. Authentication includes the following:
認証は、セクション3で説明したMPLS-TPセキュリティの脅威（GALまたはBFDラベル操作、およびインバンドOAMを介したDoS攻撃）のリスクを軽減するための主要な防御手法です。認証とは、メッセージの送信元が、通信するMPLS-TPデバイスによって適切に識別されるようにする方法を指します。認証には以下が含まれます。
- entity authentication for identity verification
- 身元確認のためのエンティティ認証
- management system authentication
- 管理システム認証
- peer-to-peer authentication
- ピアツーピア認証
- message integrity and replay detection to ensure the validity of message streams
- メッセージの整合性とリプレイ検出により、メッセージストリームの有効性を確保
- network-based access controls such as packet filtering and firewalls
- パケットフィルタリングやファイアウォールなどのネットワークベースのアクセス制御
- host-based access controls
- ホストベースのアクセス制御
- isolation
- 隔離
- aggregation
- 集約
- protection against denial of service
- サービス拒否に対する保護
- event logging
- イベントログ
Section 5.2 of [RFC5920] describes these techniques where they apply to MPLS and GMPLS in general.
[RFC5920]のセクション5.2は、MPLSおよびGMPLSに一般的に適用されるこれらの手法について説明しています。
In addition to authentication, the following defense should also be considered in order to protect MPLS-TP networks:
認証に加えて、MPLS-TPネットワークを保護するために、次の防御策も検討する必要があります。
- Use of isolated infrastructure for MPLS-TP
- MPLS-TPの分離インフラストラクチャの使用
One way to protect the MPLS-TP infrastructure is to use dedicated network resources to provide MPLS-TP transport services. For example, in security model 2 (Section 2.2), the potential risk of attacks on the S-PE1 or T-PE1 in the trusted zone may be reduced by using non-IP-based communication paths, so that the paths in the trusted zone cannot be reached from the outside via IP.
MPLS-TPインフラストラクチャを保護する1つの方法は、専用のネットワークリソースを使用してMPLS-TPトランスポートサービスを提供することです。たとえば、セキュリティモデル2（セクション2.2）では、非IPベースの通信パスを使用することで、信頼ゾーンのS-PE1またはT-PE1への攻撃の潜在的なリスクを軽減し、信頼できる外部からIP経由でゾーンに到達することはできません。
- Verification of connectivity
- 接続性の検証
To protect against deliberate or accidental misconnection, mechanisms can be put in place to verify both end-to-end connectivity and segment-by-segment resources. These mechanisms can trace the routes of LSPs in both the control plane and the data plane. Note that the connectivity verification tools are now developed for general MPLS networks as well.
意図的または偶発的な誤接続から保護するために、エンドツーエンドの接続とセグメントごとのリソースの両方を検証するメカニズムを導入できます。これらのメカニズムは、コントロールプレーンとデータプレーンの両方でLSPのルートを追跡できます。接続検証ツールは現在、一般的なMPLSネットワーク用にも開発されていることに注意してください。
The defense techniques that apply generally to MPLS/GMPLS are not detailed here; see [RFC5920] for details regarding these techniques. For example:
MPLS / GMPLSに一般的に適用される防御手法については、ここでは詳しく説明しません。これらの技術に関する詳細については[RFC5920]を見てください。例えば：
1) Authentication, including management system authentication, peer-to-peer authentication, and cryptographic techniques for authenticating identity
1）認証（管理システム認証、ピアツーピア認証、およびIDを認証するための暗号化技術を含む）
2) Access control techniques
2）アクセス制御技術
3) Use of aggregated infrastructure
3）集約されたインフラストラクチャの使用
4) Mitigation of denial-of-service attacks
4）サービス拒否攻撃の軽減
5) Monitoring, detection, and reporting of security attacks
5）セキュリティ攻撃の監視、検出、報告
It is important to point out the following security defense techniques, as they are particularly critical for NMSs, due to the strong emphasis on static provisioning supported by NMSs in MPLS-TP deployments. These techniques include the following:
MPLS-TP展開ではNMSによってサポートされる静的プロビジョニングに重点が置かれているため、次のセキュリティ防御手法はNMSにとって特に重要であるため、指摘することが重要です。これらの手法には次のものがあります。
- entity authentication for identity verification
- 身元確認のためのエンティティ認証
- encryption for confidentiality
- 機密保持のための暗号化
- message integrity and replay detection to ensure the validity of message streams
- メッセージの整合性とリプレイ検出により、メッセージストリームの有効性を確保
- user access control and event logging, which must be applied for NMSs and provisioning applications
- NMSおよびプロビジョニングアプリケーションに適用する必要があるユーザーアクセス制御とイベントログ
Security considerations constitute the sole subject of this document and hence are discussed throughout.
セキュリティに関する考慮事項は、このドキュメントの唯一の主題を構成するため、全体を通して説明されます。
This document evaluates security risks specific to MPLS-TP, as well as mitigation mechanisms that may be used to counter potential threats. All of the techniques presented here involve mature and widely implemented technologies that are practical to implement. It is meant to assist equipment vendors and service providers who must ultimately decide what threats to protect against in any given configuration or service offering, from a customer's perspective as well as from a service provider's perspective.
このドキュメントでは、MPLS-TPに固有のセキュリティリスクと、潜在的な脅威に対抗するために使用される緩和メカニズムを評価します。ここで紹介するすべての手法には、実用的で実用的な成熟した広く実装された技術が含まれています。これは、顧客の視点からだけでなく、サービスプロバイダーの視点からも、特定の構成またはサービスオファリングで保護する脅威を最終的に決定する必要がある機器ベンダーおよびサービスプロバイダーを支援することを目的としています。
The authors wish to thank the following people: Joel Halpern and Gregory Mirsky for their review comments and contributions to this document, Mach Chen for his review and suggestions, Adrian Farrel for his Routing Area Director review and detailed comments, Loa Andersson for his continued support and guidance as the MPLS WG co-chair, and Dan Romascanu and Barry Leiba for their helpful comments during IESG review.
著者は以下の人々に感謝したいと思います：レビューコメントとこのドキュメントへの寄稿に対するJoel HalpernとGregory Mirsky、彼のレビューと提案に対するMach Chen、ルーティングエリアディレクターのレビューと詳細なコメントに対するAdrian Farrel、彼の継続的なサポートに対するLoa Andersson MPLS WG共同議長としてのガイダンス、およびIESGレビューでの有益なコメントに対するDan RomascanuとBarry Leiba
[RFC5654] Niven-Jenkins, B., Ed., Brungard, D., Ed., Betts, M., Ed., Sprecher, N., and S. Ueno, "Requirements of an MPLS Transport Profile", RFC 5654, September 2009.
[RFC5654] Niven-Jenkins、B.、Ed。、Brungard、D.、Ed。、Betts、M.、Ed。、Sprecher、N.、and S. Ueno、 "Requirements of an MPLS Transport Profile"、RFC 5654 、2009年9月。
[RFC5920] Fang, L., Ed., "Security Framework for MPLS and GMPLS Networks", RFC 5920, July 2010.
[RFC5920] Fang、L。、編、「MPLSおよびGMPLSネットワークのセキュリティフレームワーク」、RFC 5920、2010年7月。
[RFC5921] Bocci, M., Ed., Bryant, S., Ed., Frost, D., Ed., Levrau, L., and L. Berger, "A Framework for MPLS in Transport Networks", RFC 5921, July 2010.
[RFC5921] Bocci、M.、Ed。、Bryant、S.、Ed。、Frost、D.、Ed。、Levrau、L.、and L. Berger、 "A Framework for MPLS in Transport Networks"、RFC 5921、 2010年7月。
Contributors
貢献者
Raymond Zhang Alcatel-Lucent 750D Chai Chee Road Singapore 469004
レイモンドチャンアルカテルルーセント750Dチャイチーロードシンガポール469004
EMail: raymond.zhang@alcatel-lucent.com
Nabil Bitar Verizon 40 Sylvan Road Waltham, MA 02145 US
Nabil Bitar Verizon 40 Sylvan Road Waltham、MA 02145 US
EMail: nabil.bitar@verizon.com
Masahiro Daikoku KDDI Corporation 3-11-11 Iidabashi, Chiyodaku, Tokyo Japan
まさひろ だいこく Ｋっぢ こｒぽらちおん ３ー１１ー１１ いいだばし、 ちよだく、 ときょ じゃぱん
EMail: ms-daikoku@kddi.com
Lei Wang Lime Networks Strandveien 30, 1366 Lysaker Norway
Lei Wang Lime Networks Strandveien 30、1366 Lysaker Norway
EMail: lei.wang@limenetworks.no
Henry Yu TW Telecom 10475 Park Meadow Drive Littleton, CO 80124 US
Henry Yu TW Telecom 10475 Park Meadow Drive Littleton、CO 80124 US
EMail: henry.yu@twtelecom.com
Authors' Addresses
著者のアドレス
Luyuan Fang (editor) Cisco Systems 111 Wood Ave. South Iselin, NJ 08830 US
Luyuan Fang（editor）Cisco Systems 111 Wood Ave. South Iselin、NJ 08830 US
EMail: lufang@cisco.com
Ben Niven-Jenkins (editor) Velocix 326 Cambridge Science Park Milton Road Cambridge CB4 0WG UK
Ben Niven-Jenkins（編集者）Velocix 326 Cambridge Science Park Milton Road Cambridge CB4 0WG UK
EMail: ben@niven-jenkins.co.uk
Scott Mansfield (editor) Ericsson 300 Holger Way San Jose, CA 95134 US
スコットマンスフィールド（編集者）Ericsson 300 Holger Way San Jose、CA 95134 US
EMail: scott.mansfield@ericsson.com
Richard F. Graveman (editor) RFG Security, LLC 15 Park Avenue Morristown, NJ 07960 US
リチャードF.グレイブマン（編集者）RFG Security、LLC 15 Park Avenue Morristown、NJ 07960 US
EMail: rfg@acm.org