7. セキュリティに関する考慮事項

本節では、本書で説明した SRH の処理および展開モデルを踏まえ、SRH に関するセキュリティ上の考慮事項を検討する。

5 節で説明したとおり、SR ドメイン内の SID、すなわち宛先アドレスに SID を持つパケットについて、SR ドメインへの流入をフィルタリングする必要がある。この流入フィルタリングは、SR ドメインの流入境界ノードにおける IACL により行う。SR ドメイン内から来たものではなく、SR ドメイン内の SID 宛てのパケットは、各 SR Segment Endpoint ノードの IACL でフィルタリングし、追加の保護を適用する。ACL は、ほとんど変更されない少数のプレフィックスであれば容易にサポートできるため、集約が重要である。

さらに、BCP 38 [RFC2827] で推奨される IPv6 送信元アドレスの流入フィルタリングを使用するべきである（SHOULD）。

7.1. SR 攻撃

SR ドメインは、5.1 節で説明した分散型かつノード単位の保護を実装する。さらに、ドメインは BCP 84 [RFC3704] の推奨事項を実装することで、偽装アドレスを持つトラフィックを拒否する。

推奨される保護を完全に実装すると、フィルタリング装置の回避、通常は到達不能なインターネットシステムへの到達、ネットワークトポロジーの発見、帯域幅の枯渇、およびエニーキャストの無効化を含む、SR ドメイン外部からの [RFC5095] に文書化された攻撃を阻止できる。

分散型およびノード単位の保護を実装しない場合、攻撃者がフィルタリング装置を回避できるようになり、SR ドメインはこれらの攻撃にさらされる。

SR ドメイン内で侵害されたノードは、上記の攻撃に加え、IP ネットワークに対する他の既知の攻撃、たとえば DoS/DDoS、トポロジー探索、中間者攻撃、トラフィックの傍受・横流しを実行する可能性がある。

7.2. サービスの不正利用

サービスの不正利用とは、そのサービスを利用する権限がないノードが、SR ドメインにより提供されるサービスを利用することと定義される。

SR ドメイン内のすべての SR 送信元ノードおよび SR セグメントエンドポイントノードはドメインのサービスを利用できるため、SR ドメイン内ではサービスの不正利用は問題にならない。SR ドメイン外のノードが SR ドメイン内のセグメントまたはトポロジーサービスを知ったとしても、IACL フィルタリングにより、それらのセグメントへのアクセスは拒否される。

7.3. トポロジーの開示

SRH は暗号化されておらず、SR ドメイン内の宛先へ向かう経路上にある中間 SR ノードの SID を含む場合がある。SR ドメイン内でパケットを盗聴できる場合、SRH はトポロジー、トラフィックフロー、およびサービス利用状況を明らかにする可能性がある。

これは SR ドメイン内で当てはまるが、攻撃者にはトポロジー、フロー、およびサービス利用状況を知る別の手段があるため、この開示の重要性は低い。

7.4. ICMP の生成

エラーを引き起こす宛先アドレスまたは SRH を連続したパケットで送信することにより、ICMPv6 エラーメッセージの生成をサービス拒否攻撃の試行に利用できる。 [RFC4443] の 2.4 節に正しく従う実装は、ICMPv6 のレート制限機構によって保護される。

7.5. AH の適用可能性

SR ドメインは、[RFC8402] の 2 節および 8.2 節で定義される信頼ドメインである。SR 送信元は SRH を追加するものとして信頼され、必要に応じて本書の HMAC TLV を通じ、信頼される送信元が生成したことを検証できる。ドメイン内で広告されるセグメントは、正確であり、安全な制御プレーンを通じて信頼できる送信元から広告されるものとして信頼される。このため SR ドメインは、SRH を保護するために [RFC4302] で定義される Authentication Header（AH）に依存しない。

SR 送信元ノードによる AH 付き SRH の使用、および SR セグメントエンドポイントノードにおけるその処理は、本書では定義しない。将来の文書で AH 付き SRH の使用とその処理を定義する場合がある。