OSPF認証

読み：おーえすぴーえふにんしょう　／　英語表記：OSPF authentication

OSPFのルータ同士で使用する共有鍵などを基に、受信したOSPFパケットの正当性を検証する仕組み。条件に合わないパケットを破棄し、不正な経路情報の混入や無許可のルータとの隣接関係を防ぐために使う。

イマシルちゃんの解説

OSPFでは、ルータ同士がHelloパケットでお互いを見つけ、条件が合えば隣接関係を作って経路情報を交換するんだ。

でも、勝手に接続されたルータから偽の経路情報を受け取ってしまうと、通信が誤った方向へ送られるおそれがあるよ。

そこで、ルータのOSPF設定で、やり取りするパケットを確かめるのがOSPF認証なの。
例えば暗号的認証では、あらかじめ共有した鍵を使って検証用の値を計算するんだ。

受信側で検証に失敗したパケットは破棄するから、鍵を知らないルータが勝手に経路交換へ参加するのを防ぎやすくなるよ。
ただし、これは通信内容を隠す暗号化とは別の役割なの。

OSPF認証（ネイバー認証）は、OSPFのパケットに認証情報を付け、受信したルータがそれを検証する機能である。暗号的認証では、正しい共有鍵を持たないルータのパケットを拒否し、無許可の経路交換を防ぐ。

Helloによって認識するネイバーと、LSDBを同期する隣接関係（アジャセンシー）は区別する。認証に成功しても、ネットワーク種別やDR・BDRとの関係などによって、すべてのネイバーとLSDBを同期するわけではない。

問題	内容
無許可の機器の参加	攻撃者や、誤って接続された機器が、OSPFのルータとして隣接関係を結び、経路交換に参加する
偽の経路の注入	偽のLSAを流して、通信を攻撃者の機器へ引き寄せる（盗聴、改ざん）、または行き止まりに向けて通信を止める
経路表の乱れ	設定を誤った機器から、意図しない経路が広告される

方式	内容
なし（Null）	認証しない
平文のパスワード	パスワードをそのままパケットに入れる。盗聴されると漏れる
暗号的認証（MD5、HMAC-SHA）	パスワードそのものは送らず、パケットと鍵からハッシュ値を計算して付ける。シーケンス番号で再送攻撃も防ぐ

OSPFv3では、もともとIPsecで認証する方式だったが、後にOSPFv2と同様の認証の方式（認証トレーラ）も追加された。

対策	内容
パッシブインタフェース	端末しかつながらないインタフェースでは、OSPFのHelloを送受信しない。そもそも隣接関係ができないようにする
BGPの認証	BGPのピアの間でも、TCPの認証オプション（MD5、TCP-AO）で相手を確認する
経路のフィルタリング	受け入れる経路、広告する経路を、プレフィックスリストなどで制限する

午後Ⅰ