Inspection、DPI)はコンピュータネットワークのパケットフィルタリングの一種で、インスペクションポイントをパケットが通過する際にパケットのデータ部(と場合によってはヘッダ部)を検査することをいう。プロトコルに準拠しているかとか、コンピュータウイルスではないか、スパムではないか、侵入ではないか、あるいは何らかの基準に照らしてそのパケットを通過させるかを判断したり、それとも別の宛先に転送するかを判断したり、統計情報を収集したりといった目的で行われる。IPパケットには複数のヘッダ部があるが、IPネットワーク機器は通常、先頭のヘッダ(IPヘッダ)しか必要としない。第2のヘッダ(IPの上位層であるTCPやUDPのヘッダ)を調べることもあり、これをステートフル・パケット・インスペクションと呼び、ディープではない浅いパケット・インスペクションの一種とされる[1]。DPI用にパケットを取得する方法はいくつかある。ポートミラーリング(英語版)を使うのが一般的だが、光スプリッタを使う方法もある。DPI(とそれによるフィルタリング)は、高度なネットワーク管理、ユーザーサービス、情報セキュリティを可能にし、他にもインターネットデータマイニング、傍受、ネット検閲なども可能にする。DPIはインターネットの管理に長年使われてきたが、ネットワーク中立性の信奉者はこの技術が不当に使われインターネットのオープン性を損なうようになるのではないかと懸念している[2]。DPIは一般企業、サービスプロバイダ、政府などが様々な用途で使っている[3]。機能を従来からあるステートフル・ファイアウォール(英語版)と結合する[4]。この組合せにより、IDS/IPSもステートフル・ファイアウォールも単独では検出できないある種の攻撃を検出できるようになる。ステートフル・ファイアウォールはパケットの流れの最初と最後を認識できる(セッション開始と終了を把握できる)が、途中でアプリケーションの想定外の事態が起きても把握できない。IDSは侵入を検出できるが、そういった攻撃をブロックする能力はほとんどない。DPIはウィルスやワームの攻撃をネットワークの速度で防ぐのに使われている。具体的には、バッファオーバーランを利用した攻撃、DoS攻撃、巧妙な侵入、ごく一部の1個のパケットで納まるワームなどに効果がある。DPIを備えた機器はOSI参照モデルの第2層と第3層以上を調べる能力がある。中には第2層から第7層まで全部を調べるものもある。これにはヘッダ部やプロトコルのデータ構造だけでなく、ペイロードも含まれる。DPI機能が使われるのは、機器がOSI参照モデルの第3層より上の情報に基づいて何らかのアクションをとる場合である。DPIを使えば、ヘッダによるパケットの分類以上のことができ、データ部から抽出した情報をシグネチャデータベースと照合することでさらに細かくトラフィックを分類でき、それによってきめ細かい制御が可能となる。DPIによる検査を回避したい場合、終端間で暗号化してパケットをやり取りすることがよく行われている。DPIによるパケットの分類に基づき、パケットをリダイレクトしたり、タグ付け(QoSのための優先順位付け)したり、ブロックしたり、転送レートを制限したり、指定されたエージェントに報告したりする。HTTPのエラーの種類を検知して、分析のために転送したりといったことが可能である。多くのDPI機器はパケット単位の検査に留まらず、パケットの流れ(セッション)を把握でき、蓄積された情報に基づいた動作の制御が可能である。企業レベルでのDPI[編集]企業レベルでのセキュリティは本来単なる防御線であり、無許可のユーザーを締め出し、許可されたユーザーを外界から守るものだった。そのためにステートフル・ファイアウォールがよく使われていた。外界からのアクセスは事前に許可された宛先のものだけを通し、それ以外のマシンと外界の通信は企業内ネットワーク側からの接続の場合のみ許可していた[5]。ステートフル・ファイアウォールでは検知できないネットワークの脆弱性を利用する不正アクセスが行われるようになった。ノートパソコンの普及に伴い、相対的に安全性の低い自宅などでインターネットに接続したノートパソコンを会社に持ち込んで企業内ネットワークにも接続するようになり、ウイルスやワームやスパイウェアの侵入を防ぐのが難しくなってきた。ファイアウォールでは、アプリケーションの使用が許可されていれば、それが正当に外界にアクセスしようとしているのか、それとも例えばウイルスに感染して不正にアクセスしようとしているのか、判断できない。DPIを使えば、IT管理者やセキュリティ担当者はあらゆる層で方針を設定・強制でき、アプリケーションやユーザー層の脅威との戦いを支援できる。DPIは一部のバッファオーバーランを利用した攻撃を検出できる。して使われることもある。ユーザーが機密情報ファイルを電子メールに添付して外界に送ろうとすると、それを検出し、そのファイルの持ち出し許可が必要であることを通知するといったことが可能である[6]。顧客に提供しているネットワーク接続にもDPIを適用している。(QoS)、サービスレベル毎の料金プラン、著作権保護などがある。合法な傍受[編集]サービスプロバイダはほぼ世界中の政府から合法的傍受(英語版)を許可されている。設け、政府の監視機器をそこに接続していた。これは現在のデジタルネットワークでは不可能である。傍受機能は様々な方法で提供され、DPIもその1つである。準拠のDPIを装備した機器を使用でき、ユーザーのデータストリームにアクセスできる[7]。義務付けられており、利用規定に反する著作権違反・不法な素材・不公平な帯域幅利用などを検出するためにDPIを使うことがある。国によってはISPは法律にしたがってフィルタリング実施を要求される。DPIを使えば、顧客が受け取った電子メール、訪れたウェブサイト、アクセスした動画、ダウンロードした音楽やソフトウェアなどを即座に把握できる[8]。規定により、特定のIPアドレスとの接続、特定のプロトコルの使用、特定のアプリケーションの使用や何らかの行為を禁じたり許可したりする。ターゲット広告[編集]ISPは全顧客のトラフィックを管理しているので、顧客のウェブ閲覧行動を非常に詳細に監視でき、顧客の嗜好についての情報を収集し、それをターゲット広告に利用できる。アメリカでは少なくとも10万人、多く見積もれば10%の顧客がそのような形で監視されているという[9]。Porch、Phormなどがある。Phormからこの技術を導入したが、そのことを顧客に知らせていなかった[9]。QoS[編集]P2Pなどのアプリケーションのトラフィック増大がサービスプロバイダにとって大きな問題となってきている。P2Pは主にファイル共有に使われている。アプリケーションなど様々である。大きなファイルを頻繁に転送するため、P2Pのトラフィック負荷は増加しており、ネットワーク容量の増強が必要となっている。サービスプロバイダは、ごく一部のユーザーがP2Pトラフィックの大部分を生み出しており、多くの加入者の電子メールやウェブ閲覧で使用する帯域幅を圧迫していると主張している[10]。ネットワーク性能が低下することで顧客が離れ、売り上げ減につながるという。DPIを使えば、帯域幅を過剰に売っても、ネットワークの輻輳を防いで全ユーザーに平等に帯域幅を分配することが可能である。ウェブ閲覧などに比べて低レイテンシを要求されるVoIPやテレビ会議のトラフィックに高い優先順位を付けることもできる[11]。これは、ISPが自身のネットワークを流れるトラフィックを監視して動的に帯域幅を割り当てるものである。サービスレベル毎の料金プラン[編集]モバイルやブロードバンドのサービスプロバイダはDPIを利用して、料金の異なる複数のサービスレベルを提供している[12]。高付加価値のサービスを設定することで顧客あたりの売り上げ(ARPU)を増加させることができる。サービスレベルの規定はDPIを使って実施することができる。著作権保護[編集]ISPは著作権者や司法から著作権保護への協力を求められることがある。2006年、デンマークのISPであるTele2は、BitTorrentの検索サイトパイレート・ベイへの顧客のアクセスをブロックするよう裁判所に命じられた[13]。ISPを訴え始めた[15]。IFPIが意図したのは、著作権で保護された素材のアップロードとダウンロードのトラフィックをISPにフィルタリングさせることだった。当時のヨーロッパでは、指令2000/31/ECによってISPが転送する情報を監視することを禁じており、指令2002/58/ECによってヨーロッパ市民の通信のプライバシーが保護されていた。打撃を与えたとの見解を表明した[16]。各国の政府は自らのネットワークのセキュリティ確保のためにDPIを利用しているが、同時にサーベイランスや検閲などの様々な目的でDPIを利用している。その多くは機密とされている[17]。アメリカ[編集]アメリカにはCALEA(通信傍受支援法)があり、政府当局が法の執行のために通信を傍受することが許されている。インターネット上の通信も例外ではない[18]。DPIは傍受の基本的技術であり、アメリカ中でそのために配備されている。AT&Tと共同でDPI技術を使い、インターネットのトラフィックを監視・調査・転送を行ってきている。DPIを使えば、個々のパケットが電子メールを運んでいるものなのか、VoIPの電話音声を運んでいるものなのかが判別できる[19]。AT&Tの共通バックボーンのトラフィックは2本のファイバーに分けられており、信号がその2本の出力ファイバーで運ばれる。そのうちの1本はセキュアな部屋に送られ、もう一本はAT&Tのスイッチング装置に向けられ、通常の通信を続行する。その安全な部屋には、Narus製のトラフィックアナライザと論理サーバがある。Narusによれば、その装置は毎秒10ギガビットの速度でリアルタイムにデータを収集・分析できるという。特定のトラフィックが選別され、専用線で本格的に分析を行う部門に送られる。関係者の証言によれば、この枝分かれさせたトラフィックは「AT&Tのサンフランシスコ湾エリアでのトラフィックのほぼ全部」だという[20]。いうDPIを使ったソフトウェアが動作し、10Gbit/sの速度でIPトラフィックを解析し、指定したメールアドレス、IPアドレス、VoIPの電話番号などに基づいて特定のメッセージ群をピックアップする[21]。許可を得ていない海外との通信を秘密裏に傍受することは、大統領の権限であると信じていると表明した[22]。アメリカ国防情報システム局はDPIを使ったシステムを開発した[23]。中国政府はDPIを使ってネットワークのトラフィックを監視しており、中国市民や国家にとって有害だとしたコンテンツを検閲している。ポルノグラフィ、宗教関係の情報、政治的批判などが検閲対象に含まれる[24]。中国のISPはDPIを使用し、何らかの問題とされるキーワードがないか監視している。そのようなキーワードが見つかれば、その接続を切る。中国に住む人々は、中華民国(台湾)やチベットの独立に関するウェブサイトにアクセスできない。一党支配に反対する政治団体、その他様々な反共産主義的なサイトへのアクセスがブロックされている[25]。これらはDPIで検出すべきキーワードとして登録済みである。Skypeによる音声トラフィックは検閲されないが、テキストメッセージはDPIの対象であり、問題のキーワードを含むメッセージを発見すると、エラーなども通知せず単にそのパケットを転送しないようにする。中国ではYouTubeや画像などの視覚的メディアのサイトやブログのサイトもブロックしている[26]。言葉を引用する形で報道された。その記事内で無名の専門家の言として、そのシステムが「当局による通信のブロックだけでなく、個人について情報を収集したり、意図的に改竄して誤情報を流すといったことが可能」だとしている。ウォール・ストリート・ジャーナルによれば、NSNは合法的傍受として国際的に認められている概念の下で、昨年イランに機器を提供したとRoomeは語った。テロ、幼児ポルノ、麻薬取引、オンラインでの犯罪行為などと戦うことを目的とした傍受であり、多くの通信会社が普通に持っている機能だと彼は言った。NSNの会社概要によれば、イランに販売した監視センターはあらゆるネットワーク上の音声とデータの通信を監視・傍受できるとされている。同社は既にこの事業から撤退したとRoomeは語っている。同様の機器を購入している[27]。ウォール・ストリート・ジャーナルの記事の信憑性に疑問を呈しており、Roomeが記事に掲載された彼の言葉とされるものを否定しているとした。Isenbergはそれ以前にもウォール・ストリート・ジャーナルの同じ記者の記事に疑問を投げかけたことがある[28]。NSNは、「イランにDPI技術、ウェブ検閲技術、インターネット・フィルタリング技術を提供したことはない」との声明を発表した[29]。当時のニューヨーク・タイムズ紙はNSNについての報道の過熱ぶりとイランでのインターネットなどのメディアの検閲について報じたが、DPIについては言及していない[30]。よれば、イランは2012年2月にDPIを使用し、イラン全体のインターネットをほぼ停止状態にまで低速化させたという。それによりTorやAlkasirなどのツールへのアクセスが困難になった[31]。ロシア[編集]DPIはロシア連邦憲法第23条で定められている「通信の秘密に対する権利」を侵害するものである[32]。より、ブラックリストに掲載されたウェブサイト(幼児ポルノサイトなど)がIPフィルタリングによってブロックされた。DPIとネット中立性[編集]「ネットワーク中立性」も参照プライバシーやネットワーク中立性を心配する人々や団体は、インターネットのコンテンツ層の検査について不快感を表明しており[7]、「ネットはオープンアクセスとパケットを平等に扱うことで成り立っている」などと主張している[33]。ネットワーク中立性の法制化に反対する側は、ネットワーク中立性を法制化すればネットワークの発展が阻害され次世代のサービスが生まれなくなると主張している[34]。ソフトウェア[編集]OpenDPI[35]は、解読を困難にした通信プロトコル以外のトラフィックを対象としたオープンソースのDPIソフトウェアである。PACEも同様のエンジンだが、暗号化などで解読しにくくしたプロトコルにも対応しており、Skypeや暗号化されたBitTorrentなどのトラフィックも扱える[36]。OpenDPIは既にメンテナンスされておらず、そこからフォークしたnDPIの開発が活発に続けられている[37]。nDPIはSkype、WebEx、Citrixといった新しいプロトコルにも対応している。L7-FilterはLinuxのNetfilter用ツールで、アプリケーション層のデータに基づいてパケットを識別する[38]。パケットがストリーミング用か、電子メール用か、P2P用か、VoIP用か、ゲーム用かなどと分類することができる。DPI機能をカーネルモジュールとして開発するオープンソースプロジェクトである[39]。DPI機能だけでなく、ファイアウォール機能も備えている[40]。ネットワークのアプリケーション毎のトラフィック統計をとるソフトウェアである[41]。SPIDはアプリケーション層(第7層)のプロトコルを識別するために、パケットのサイズなどからフローを分析し、ペイロードの中身を統計的に分析する。概念実証段階であり、今のところ約15のアプリケーションやプロトコルに対応している(eDonkey、Skype、BitTorrent、IMAP、IRC、MSNなど)。トラフィックのパターンに洞察を与え、各種アプリケーションやプロトコルについて詳細および統計情報を提供する[42]。いうインターネット監視システムを設計・提供していた[43]。ハードウェア[編集]アメリカでSOPAとPIPAという2つの法案が可決されなかったことから、DPIへの関心が急激に高まった。現在のDPI技法の多くは低速で高価であり、特に広帯域アプリケーションに対応したものは高価である。DPI技法の効率化が進んでいる。ハイエンドのルーターにはDPI機能が搭載されており、アプリケーションの辞書のようなものを内蔵していて、ルーティングしているトラフィックを識別できる。2008年3月2日閲覧。2009年11月11日時点のオリジナルよりアーカイブ。2010年1月8日閲覧。2010年1月8日閲覧。2008年3月2日閲覧。2008年3月2日閲覧。2010年2月1日閲覧。2006年2月6日閲覧。2006年2月6日閲覧。2008年4月8日閲覧。2008年3月2日時点のオリジナルよりアーカイブ。2008年3月3日閲覧。2008年3月3日閲覧。2008年3月3日閲覧。2008年3月12日閲覧。2007年8月14日時点のオリジナルよりアーカイブ。2008年3月12日閲覧。2008年3月12日閲覧。2008年3月12日閲覧。2008年3月13日閲覧。2013年5月8日閲覧。2008年3月3日閲覧。2008年3月3日閲覧。2008年3月3日閲覧。2008年3月3日閲覧。2011年7月26日時点のオリジナルよりアーカイブ。2008年10月30日閲覧。2008年3月30日時点のオリジナルよりアーカイブ。2008年3月13日閲覧。2007年9月28日時点のオリジナルよりアーカイブ。2008年3月13日閲覧。2008年3月3日閲覧。2008年5月11日時点のオリジナルよりアーカイブ。2008年6月26日閲覧。2008年5月11日時点のオリジナルよりアーカイブ。2008年6月26日閲覧。(日時は個人設定で未設定ならばUTC)。表示-継承ライセンスの下で利用可能です。追加の条件が適用される場合があります。詳細は利用規約を参照してください。Cookieに関する声明モバイルビュ。