QUIC の移行と経路検証
スマートフォンが HTTP/3（QUIC）で Web サーバと通信している途中で，Wi-Fi からモバイル回線に切り替わり，端末の IP アドレスとポート番号が変わった。ハンドシェイクは完了しており，サーバはコネクション移行を禁止していない。新しいアドレスは，この接続でこれまで使われたことがない。端末が新しいアドレスから同じ接続のパケットを送ったときのサーバの動作とその理由として，適切なものはどれか。
- アコネクション ID で既存の接続と識別して接続を継続するが，新しいアドレスの到達性を確認するまでは，そのアドレスへの送信量を制限する。詐称された送信元の第三者へ大量の応答を送らされないためである。
- イ接続は送信元と宛先の IP アドレス及びポート番号の組で識別されるので，新しいアドレスからのパケットは既存の接続のものとはみなさない。端末はハンドシェイクからやり直し，接続を確立し直す必要がある。
- ウ新しいアドレスとの到達性を確認するまでは，そのアドレスから受信するデータ量を制限する。新しいアドレスから大量のパケットを送り付けられ，サーバの資源を枯渇させられることを防ぐためである。
- エパケットを接続の鍵で正しく復号できた時点で，送信元アドレスが正規の端末のものであると確かめられるので，到達性を確認せず，送信量も制限せずに新しいアドレスへデータを送る。
正解と解説を見る
正解 ア
この問題の基礎知識
- QUIC は UDP 上で動作するトランスポートプロトコルで，TLS 1.3 による暗号化を組み込んでいる。HTTP/3 は QUIC の上で動作する。
- TCP は送信元・宛先の IP アドレスとポート番号の組で接続を識別するが，QUIC はパケットに含まれるコネクション ID で接続を識別する。
- 経路検証は，相手のアドレスへ予測できない値を含む PATH_CHALLENGE フレームを送り，その値を返す PATH_RESPONSE フレームを受け取ることで，そのアドレスへ送ったパケットが相手に届くことを確かめる手続である。
- 増幅攻撃は，送信元を被害者のアドレスに詐称した小さな要求を送り，より大きな応答を被害者へ送り付けさせる攻撃である。応答したサーバは踏み台であり，被害を受けるのは詐称されたアドレスの持ち主である。
アコネクション ID で既存の接続と識別して接続を継続するが，新しいアドレスの到達性を確認するまでは，そのアドレスへの送信量を制限する。詐称された送信元の第三者へ大量の応答を送らされないためである。正解
QUIC はコネクション ID で接続を識別するので，アドレスが変わっても接続を継続できる。サーバは新しいアドレスの経路検証を開始し，検証が済むまではそのアドレスへの送信量を制限する。詐称された送信元にいる被害者への増幅攻撃に悪用されないためである。
イ接続は送信元と宛先の IP アドレス及びポート番号の組で識別されるので，新しいアドレスからのパケットは既存の接続のものとはみなさない。端末はハンドシェイクからやり直し，接続を確立し直す必要がある。
アドレスとポート番号の組で接続を識別するのは TCP である。QUIC はコネクション ID によって接続を識別するので，端末の IP アドレスやポート番号が変わっても，ハンドシェイクをやり直さずに接続を継続できる。
ウ新しいアドレスとの到達性を確認するまでは，そのアドレスから受信するデータ量を制限する。新しいアドレスから大量のパケットを送り付けられ，サーバの資源を枯渇させられることを防ぐためである。
制限するのは受信量ではなく，未検証のアドレスへサーバが送信する量である。守る対象はサーバ自身ではなく，送信元として詐称されたアドレスの持ち主であり，サーバが第三者への攻撃の踏み台にされることを防ぐ。
エパケットを接続の鍵で正しく復号できた時点で，送信元アドレスが正規の端末のものであると確かめられるので，到達性を確認せず，送信量も制限せずに新しいアドレスへデータを送る。
正しく復号できても，送信元アドレスが正規の端末のものとは限らない。経路上の攻撃者は正規のパケットを複製し，送信元アドレスを詐称して転送できる。このため，初めてのアドレスに対しては経路検証を行い，その所有を確かめる必要がある。
検証用の出典出典照合済み
RFC 9000 QUIC: A UDP-Based Multiplexed and Secure Transport照合の根拠（7 件）
- ア（正解）・イ（誤り）: コネクション ID により，IP アドレスとポート番号が変わっても接続を継続できる
The use of a connection ID allows connections to survive changes to endpoint addresses (IP address and port), such as those caused by an endpoint migrating to a new network.
RFC 9000 · Section 9（新しいタブで開きます） - ア（正解）: 移行を受け入れたサーバは新しいアドレスへ送信し，経路検証を開始する
If the recipient permits the migration, it MUST send subsequent packets to the new peer address and MUST initiate path validation (Section 8.2) to verify the peer's ownership of the address if validation is not already underway.
RFC 9000 · Section 9.3（新しいタブで開きます） - ア（正解）・ウ（誤り）: 検証が済むまで制限するのは新しいアドレスへ送信する量である
Until a peer's address is deemed valid, an endpoint limits the amount of data it sends to that address; see Section 8.
RFC 9000 · Section 9.3.1（新しいタブで開きます） - ア（正解）・ウ（誤り）: 守る対象は送信元として詐称された被害者であり，増幅攻撃の踏み台にされないためである
In such an attack, a packet is sent to a server with spoofed source address information that identifies a victim.
RFC 9000 · Section 8（新しいタブで開きます） - ウ（誤り）: 未検証アドレスについて制限するのは受信量ではなく送信量（受信量の 3 倍まで）である
Therefore, after receiving packets from an address that is not yet validated, an endpoint MUST limit the amount of data it sends to the unvalidated address to three times the amount of data received from that address.
RFC 9000 · Section 8（新しいタブで開きます） - エ（誤り）: 経路上の攻撃者は正規のパケットを複製して送信元を詐称できるので，復号できても送信元アドレスの正当性は確かめられない
An on-path attacker could cause a spurious connection migration by copying and forwarding a packet with a spoofed address such that it arrives before the original packet.
RFC 9000 · Section 9.3.2（新しいタブで開きます） - エ（誤り）: 検証したことのないアドレスへの変化を検知したら経路検証を行わなければならない
An endpoint MUST perform path validation (Section 8.2) if it detects any change to a peer's address, unless it has previously validated that address.
RFC 9000 · Section 9（新しいタブで開きます）