Cisco IOSの2020年1月1日問題〜その時何が起こったか？

Cisco IOSの2020年1月1日問題 その時何が起こったか？が起こったか？起こったか？こったか？ JANOG45 Day2 LT 2020/1/23 佐々木 健

2020年1月1日問題の概要 ● ● ● 2019年末に に Cisco IOS/IOS-XE のバグが報告さが起こったか？報告ささ れた 2020-01-01 00:00:00 UTC に自己署名証明書 が起こったか？期限切れになるれになる この自己署名証明書を使用しているサービスは機使用しているサービスは機しているサービスは機は機機 能しなくなる可能性があるしなくなる可能しなくなる可能性がある性があるが起こったか？ある

ドキドキポイント ● アナウンスは機が起こったか？直前 ● ● ● 初出はは機2019/12/17(2週間前) そういえば証明書期限切れによる大障害ってあっ証明書期限切れになるれによる大障害ってあっってあっ たよねえ 2000年問題っぽさを使用しているサービスは機感じるじる ● 令和関係ないけどないけど

ムムムポイント ● ● ● 本件の影響が良くわからないの影響が良くわからないが起こったか？良くわからないくわからない ネットワーク機器の証明書って真面目に管理しな機器の証明書って真面目に管理しなの証明書って真面目に管理しなに管理しなしな きゃいけないものなのかな？ 更新が必要なものって運用が面倒だよねえが起こったか？必要なものって運用しているサービスは機が起こったか？面倒だよねえだよねえ

ニヤニヤポイント ● 現場はバタバタして大変だろうなあは機バタバタして大変だろうなあだろうなあ ● ● ● ● 運用しているサービスは機者側も、開発者側もも、開発者側も開発者側も、開発者側もも ひょっとすると予想外の大規模障害が発生したりするのかの大規模障害ってあっが起こったか？発生したりするのかしたりするのか な？ なにかあってもなくても、開発者側も現場はバタバタして大変だろうなあでは機内緒にしなきゃいけないにしなきゃいけない のかな？ ● 立場はバタバタして大変だろうなあ上言えなかったり言いにくかったりとかありそうえなかったり言えなかったり言いにくかったりとかありそういにくかったりとかありそう ● しが起こったか？らみとかもあるよね 私は今回はまったく関係がない、対岸の火事は機今回はまったく関係がない、対岸の火事は機まったく関係ないけどが起こったか？ない、開発者側も対岸の火事の火事!!!

アハハハポイント ● CISCOの説明が起こったか？とても爽やかやか Q. この問題が起こったか？発生したりするのかした理しな由は何ですか。は機何が起こったか？ですか。 残念ながら、テクノロジーベンダーのなが起こったか？ら、開発者側もテク機器の証明書って真面目に管理しなノロジーベンダーの最善の取り組みにもかかわらず、ソフトウェアの欠陥はの取り組みにもかかわらず、ソフトウェアの欠陥は取り組みにもかかわらず、ソフトウェアの欠陥はり組みにもかかわらず、ソフトウェアの欠陥は組みにもかかわらず、ソフトウェアの欠陥はみにもかかわらず、ソフトウェアの欠陥はソフトウェアの欠陥はの取り組みにもかかわらず、ソフトウェアの欠陥は欠陥はは 依然として発生していますとして発生しています発生していますして発生していますいます。シスは機コのテクノロジーにバグが見つかると、シスコは、透明性をのテク機器の証明書って真面目に管理しなノロジーにバグが報告さが起こったか？見つかると、シスコは、透明性をつかると、開発者側もシスは機コのテクノロジーにバグが見つかると、シスコは、透明性をは機、開発者側も透明性があるを使用しているサービスは機 高め、お客様がネットワークを保護するために必要な情報を提供することに取り組んでいまめ、開発者側もお客様がネットワークを保護するために必要な情報を提供することに取り組んでいま客様がネットワークを保護するために必要な情報を提供することに取り組んでいまが起こったか？ネットワーク機器の証明書って真面目に管理しなを使用しているサービスは機保護するために必要な情報を提供することに取り組んでいまするために必要な情報を使用しているサービスは機提供することに取り組んでいますることに取り組んでいまり組んでいまんでいま す。 この場はバタバタして大変だろうなあ合、開発者側も問題は機、開発者側もCisco IOS お客様がネットワークを保護するために必要な情報を提供することに取り組んでいまよび Cisco IOS-XE の該当するバージョンでは、自己署名するバージョンでは機、開発者側も自己署名 証明書の有効期限が起こったか？常に に 01/01/2020 00:00:00 UTC に設定される、既知のソフトウェアバされる、開発者側も既知のソフトウェアバのソフトウェアバ グが報告さが起こったか？原因で発生します。この日付を過ぎると、証明書の有効期限が切れ、無効になり、製品で発生したりするのかします。この日付を過ぎると、証明書の有効期限が切れ、無効になり、製品を使用しているサービスは機過ぎると、証明書の有効期限が切れ、無効になり、製品ぎると、開発者側も証明書の有効期限が起こったか？切れになるれ、開発者側も無効になり、開発者側も製品 の機能しなくなる可能性があるに影響が良くわからないを使用しているサービスは機与える可能性があります。える可能しなくなる可能性がある性があるが起こったか？あります。 … Q：2020年1月1日 00:00:00 UTC の有効期限が起こったか？選択されたのはなぜですか。されたのは機なぜですか。 通常に 、開発者側も証明書には機有効期限が起こったか？設定される、既知のソフトウェアバされます。このソフトウェアバグが報告さの場はバタバタして大変だろうなあ合、開発者側も2020年1月1日 は機、開発者側も10年以上前のの取り組みにもかかわらず、ソフトウェアの欠陥は Cisco IOS お客様がネットワークを保護するために必要な情報を提供することに取り組んでいまよび Cisco IOS-XE ソフトウェアの開発時に使用され、人為に使用され、人為され、ソフトウェアの欠陥は人為 的なミスですなミスですミスですです。

2019年12月末に 出してして発生しています ＬＴ 対岸の火事から火の粉がが起こったか？ 飛んできたよ、、、、んできたよ、開発者側も、開発者側も、開発者側も、開発者側も

アンケートを使用しているサービスは機取り組んでいまってみました ● IOS/IOS-XEは機何が起こったか？台くらい管理してますか？くらい管理しなしてますか？ ● Cisco IOSの2020年1月1日問題を使用しているサービスは機知のソフトウェアバっていましたか？ ● 2020年1月1日になにかありましたか？ ● 当するバージョンでは、自己署名日は機待機等、開発者側も特別な運用対応は行ないましたか？な運用しているサービスは機対応は行ないましたか？は機行ないましたか？ないましたか？ ● 事前に何が起こったか？らかの対応は行ないましたか？を使用しているサービスは機行ないましたか？ないましたか？ ● 今回はまったく関係がない、対岸の火事の問題に限らず管理してるネットワーク機器およびサーバーが自己証明書管理しなしてるネットワーク機器の証明書って真面目に管理しな機器の証明書って真面目に管理しなお客様がネットワークを保護するために必要な情報を提供することに取り組んでいまよびサーバーが起こったか？自己証明書 を使用しているサービスは機使ってるか把握していますか？していますか？ ● 自己証明書の期限の管理しなを使用しているサービスは機どのようにしてますか？ ● 本件の影響が良くわからないについて何が起こったか？かあれば証明書期限切れによる大障害ってあっコのテクノロジーにバグが見つかると、シスコは、透明性をメントを使用しているサービスは機お客様がネットワークを保護するために必要な情報を提供することに取り組んでいま願いします。いします。 ● もし差し支えなければ、所属、お名前、連絡先を教えてください。個別に連し支えなければ、所属、お名前、連絡先を教えてください。個別に連えなければ証明書期限切れによる大障害ってあっ、開発者側も所属、開発者側もお客様がネットワークを保護するために必要な情報を提供することに取り組んでいま名前、開発者側も連絡先を教えてください。個別に連を使用しているサービスは機教えてください。個別に連えてください。個別な運用対応は行ないましたか？に連 絡を使用しているサービスは機させていただくかもしれません。

アンケート回はまったく関係がない、対岸の火事答者総数 47名 ありが起こったか？とうございました!!

回はまったく関係がない、対岸の火事答者内訳(未回はまったく関係がない、対岸の火事答者除くく)

2020年1月1日に何が起こったか？かあったのか？ (どきどき)

2020年1月1日に何が起こったか？かあったのか？ (わくわく)

2020年1月1日に何が起こったか？かあったのか？

2020年1月1日に何が起こったか？かあったのか？ 何が起こったか？もなかった!!! 良くわからないかった!!!

(テンション下がりましたねが起こったか？りましたね)

(平和の陰で頑張った人もいるで頑張った人もいるった人もいるもいる!!)

当するバージョンでは、自己署名日/事前対応は行ないましたか？ その1 ● 影響が良くわからない有無の確認(10回はまったく関係がない、対岸の火事答) ● 自己署名証明書の利用しているサービスは機調査(2回はまったく関係がない、対岸の火事答) ● 関係ないけど者に連絡、開発者側も事前周知のソフトウェアバ(2回はまったく関係がない、対岸の火事答) ● エスは機カレーション体制構築 ● 保守窓口の増強の増強 ● 監視強化 ● 1月1日リモート待機

当するバージョンでは、自己署名日/事前対応は行ないましたか？ その2 ● ● 影響が良くわからないあるかどうか良くわからないく分からなかったので、実際に影響があった場合からなかったので、開発者側も実際に影響があった場合に影響が良くわからないが起こったか？あった場はバタバタして大変だろうなあ合 の業務影響が良くわからないを使用しているサービスは機洗い出し、何か発生した場合にも代替の通信手段があい出はし、開発者側も何が起こったか？か発生したりするのかした場はバタバタして大変だろうなあ合にも代替の通信手段があの通信手段があが起こったか？あ り、開発者側も(幸いにもいにも)正月休み明けの事後対処でも業務にクリティカルなみ明けの事後対処でも業務にクリティカルなでも業務にク機器の証明書って真面目に管理しなリティカルなな 影響が良くわからないが起こったか？ないことを使用しているサービスは機確認した。で、開発者側も結局、開発者側も何が起こったか？もしなかった。 WLCとAP間の接続で利用している証明書があり、回避設定を追加。で利用しているサービスは機している証明書が起こったか？あり、開発者側も回はまったく関係がない、対岸の火事避設定される、既知のソフトウェアバを使用しているサービスは機追加。 実際に影響があった場合には機製造からから10年の期限で、開発者側も1/1とは機関係ないけどが起こったか？無かった。 ● 管理しなしてるコのテクノロジーにバグが見つかると、シスコは、透明性をンフィグが報告さから対象の洗いだし、アップデートの洗い出し、何か発生した場合にも代替の通信手段があいだし、開発者側もアップデート ● OSアップデート実施 実施できない奴は放置は機放置 ● no crypto pki trustpoint TP-self-signed-XXXXXXXXXXの実行ないましたか？ ● no ip http secure-serverの徹底：デフォルなトのまま上が起こったか？り続で利用している証明書があり、回避設定を追加。けてい た機材が数が起こったか？数%あった（苦笑苦笑

(この問題って知のソフトウェアバってた？)

どうやって知のソフトウェアバったか ● SNS(Twitter、開発者側もFacebook等)(13回はまったく関係がない、対岸の火事答) ● Cisco、開発者側もベンダーから連絡(10回はまったく関係がない、対岸の火事答) ● 社内からの情報共有(2回はまったく関係がない、対岸の火事答) ● 顧客からの情報共有

(自己証明書の管理しなって悩ましいよねましいよね)

どうやって管理しなしているか ● 理しな由は何ですか。が起こったか？あって管理しなしていない ● ● ● ● 管理しな機器の証明書って真面目に管理しな、開発者側もネットワーク機器の証明書って真面目に管理しな機器の証明書って真面目に管理しなでは機自己証明書を使用しているサービスは機利用しているサービスは機していない (2回はまったく関係がない、対岸の火事答) 有効期間が起こったか？極めて長いめて長いい(10年とか)ものが起こったか？多いので大丈夫だろいので大丈夫だろだろ うと管理しなしていなかった ツールなを使用しているサービスは機利用しているサービスは機 ● カレンダーとチケット ● エク機器の証明書って真面目に管理しなセルな ● gitlabにissueを使用しているサービスは機登録 メーカーからの通知のソフトウェアバに頼っているっている

(有用しているサービスは機な技術コメント集コのテクノロジーにバグが見つかると、シスコは、透明性をメント集)

有用しているサービスは機な技術コメント集コのテクノロジーにバグが見つかると、シスコは、透明性をメント 1 ● 把握していますか？しているだけで管理しなは機できていないが起こったか？、開発者側も5年後 に切れになるれそうなものやサーバ側も、開発者側ものOSを使用しているサービスは機上げるとハッ シュアルなゴリズムが起こったか？非対応は行ないましたか？になってネットワーク機器の証明書って真面目に管理しな機器の証明書って真面目に管理しな 側も、開発者側もが起こったか？死ぬとか起こるので対応は計画しているぬとか起こったか？こるので対応は行ないましたか？は機計画しているしている ● ovs-pkiのハッシュアルなゴリズムが起こったか？Ubuntu14.04だ とMD5だが起こったか？、開発者側もUbuntu16.04でSHA512になったた め、開発者側もUbuntuのバージョン上げるタイミングが報告さで証明 書も更新が必要なものって運用が面倒だよねえしないといけない (ゆやりんさんからの情報)

有用しているサービスは機な技術コメント集コのテクノロジーにバグが見つかると、シスコは、透明性をメント 2 ● 証明書の期限を使用しているサービスは機長いくする対応は行ないましたか？を使用しているサービスは機取り組んでいまろうとしているが起こったか？2050 年前後で日付を過ぎると、証明書の有効期限が切れ、無効になり、製品のフォーマットが起こったか？変だろうなあわるので2050年以降にに expireする証明書を使用しているサービスは機作ると古い機器やると古い機器やい機器の証明書って真面目に管理しなやOSで認識できなくできなく て死ぬとか起こるので対応は計画しているぬことが起こったか？あるので気を付けてくださいを使用しているサービスは機付を過ぎると、証明書の有効期限が切れ、無効になり、製品けてください ● RFC5280 says “CAs conforming to this profile MUST always encode certificate validity dates through the year 2049 as UTCTime; certificate validity dates in 2050 or later MUST be encoded as GeneralizedTime” (ゆやりんさんからの情報)

有用しているサービスは機な技術コメント集コのテクノロジーにバグが見つかると、シスコは、透明性をメント 3 ● 自己証明じゃなく正規のサーバ証明が起こったか？うまく入らならな い機材が数が起こったか？ある。具体的には、中間証明が入らず自には機、開発者側も中間証明が起こったか？入らならず管理してるネットワーク機器およびサーバーが自己証明書自 己証明になったり、開発者側もCT証明に対応は行ないましたか？できず管理してるネットワーク機器およびサーバーが自己証明書自己証明 になる機材が数が起こったか？ある。 ● 某JUNOSのバグが報告さだったので報告さしたら治ったった (相川@日大さんからの情報)

(今回はまったく関係がない、対岸の火事は機避難訓練になったのかな？になったのかな？)

怒りのコメントりのコのテクノロジーにバグが見つかると、シスコは、透明性をメント ● Ciscoのやる気を付けてくださいが起こったか？なさすぎてコのテクノロジーにバグが見つかると、シスコは、透明性をメントすると汚い言い言えなかったり言いにくかったりとかありそう 葉をいっぱい並べてしまいそうを使用しているサービスは機いっぱい並べてしまいそうべてしまいそう

達観したコメントしたコのテクノロジーにバグが見つかると、シスコは、透明性をメント ● 人もいる生したりするのかそんなもんかと :ok: :aruaru: by 大久保@さくらインターネットさん

(最後のスは機ライド)