要約

  • WIDEのアーカイブは、プライバシー処理と繰り返し可能な公開手順を測定工程に組み込み、一部のバックボーン記録を研究に再利用しやすくした。
  • Akira Katoは同僚とともにリポジトリとトラフィック分析ツールの基礎論文を執筆した。資料が示すのは共同作業であり、現在のMAWIを個人で管理しているという事実ではない。
  • 各記録は特定の回線、時間帯、取得機材、匿名化方法についての観測である。ネットワーク全体を網羅するものでも、生データへの無条件のアクセスを認めるものでもない。

重複パケットが示す観測装置の限界

MAWIは、2015年5月末から9月初めまでの記録にパケットの重複があると明記している。監視対象ルーターのVLAN設定が原因だった。観測値をそのままトラフィック量と見なせば、機器設定の誤りが需要の急増に見えてしまう。アーカイブが原因と対象期間を残すことは、後続の分析がその誤りを繰り返さないための証拠になる。

現在のFAQにも、取得工程の限界が記されている。ルーターのポートミラーリングと一般的なサーバー、ネットワークカードでは、すべてのパケットを記録できない場合がある。時刻精度は通常ミリ秒未満だが、混雑時には悪化する。MAWIは限られた予算で長く運用できることを、高精度だけを追求することより優先している。

したがって、一つの通信記録が示すのは、ある時間に特定の接続点で取得できたデータである。WIDEのFAQは、WIDEとSINETの双方に接続する大学がどちらの経路を使うかは一様でないと説明する。また、経路が非対称なら、フローの片方向だけが監視地点を通ることもある。一方の記録だけから、逆方向の通信まで断定することはできない。

プライバシーを公開工程に組み込む

1999年10月14日のWIDE Project・MAWIワーキンググループの指針は、二つの問題を区別した。プロトコルのペイロードには利用者の情報が含まれることがあり、IPアドレスは利用者や組織の識別につながりうる。指針は、公開前にTCP/UDPの機微なペイロードを除き、アドレスをスクランブルする手順を示した。利用目的は研究に限られ、利用者のプライバシーを侵害する行為は禁止された。

プレフィックスを保つ匿名化は、経路構造を分析できる利点を残す一方、完全な匿名性を保証しない。よく知られたサーバーのアドレスが、元の対応関係を推測する手掛かりになることがある。複数のデータをまたぐ対応関係を長く保てば比較はしやすくなるが、データ同士の照合もしやすくなる。匿名化はリスクを下げる設計であり、再識別が絶対に不可能だという証明ではない。

2000年、Akira KatoはKenjiro Cho、Koushirou MitsuyaとともにWIDEのトラフィック・リポジトリを報告した。論文ではプライバシーと自動化が一体の設計課題として扱われている。スクリプトが測定地点から記録を受け取り、tcpdprivで処理し、概要とウェブページを作成し、索引を更新して配布用に整える。プライバシー指針は、共有のたびに思い出す注意事項から、反復できる公開手順へと変わった。

自動化には、長期運用を続けるための意味もあった。収集、要約、可視化を毎回手作業に頼るアーカイブは、何年も維持しにくい。著者らは大半の作業を自動化し、研究者に継続してフィードバックを返すことを重視した。自動化だけで設定ミスを発見できるわけではないが、定例作業の流れを記録可能にし、検証や改善をしやすくする。

Aguriの要約は解像度との交換条件を持つ

KatoはKenjiro Cho、Ryo KaizakiとAguriの論文も共著した。Aguriはアドレス・プレフィックスを使ってトラフィックを適応的に集約し、長期傾向を見やすくするプロファイラーである。ほぼリアルタイムに動かすためにメモリ量を制限する方式は、その代わりに一部の細かさを失う。

集約は傾向を見つけるのに役立つ。しかし、集約で消えた違いが調査に必要なら、パケット単位の記録の代わりにはならない。Aguriは匿名化手段ではなく、集計値もその値を作ったすべての出来事の記録ではない。元の観測とは別の分析層として扱う必要がある。

図表、圧縮ファイル、パケット記録も、それぞれ別の表現である。各表現はある区別を残し、別の区別を捨てる。見やすいグラフがあるからといって、パケットから結果までの変換過程を省略してよいわけではない。

観測地点の変更は比較対象を変える

現在のアーカイブを運営しているのはWIDE ProjectのMAWIワーキンググループである。索引によると、上流とのトランジット量が変わった後、2023年8月にBBIXの通信がsamplepoint-Fへ加わった。さらに2022年の機器故障による欠測、2015年の重複期間も明記されている。同じ名前の長期系列でも、観測条件が変われば単純比較はできない。

FAQはWIDEのバックボーンに通常の通信と研究実験の両方が流れると説明する。アーカイブにはICMPプローブの注記もある。測定点、実験、経路の変化を確認せずに異常を解釈すれば、実験による通信を利用者行動の変化だと読み違える。

アドレス匿名化にも期間の境界がある。現在のFAQは、マッピングが一日分の記録、または対応するDay in the Life of the Internetデータセット内で一貫すると説明している。あらゆる日にわたる共通IDを保証してはいない。また、2015年8月にはtcpdprivからCrypto-PAnへ方式が変わった。匿名化アドレスをアーカイブ全期間にわたる固定の識別子として扱うのは誤りになる。

こうした現在の運用や判断をKato個人に帰属させてはならない。彼の共著は共同研究として記録されている。Keioの公式プロフィールは、コンピュータネットワーク、インターネット基盤、計測、WIDE Project、M-Root運用に関する活動を紹介するが、現在のMAWIを個人で指揮しているとは述べていない。

公開された記録と生データのアクセスは別である

匿名化された公開記録があれば、別の研究者が分析を検証し、新しい問いを立てられる。1999年の指針も、共有データが研究を深める利点を説明していた。一方、元のアドレスが必要な個別要求は、案件ごとに処理するとされた。現在のFAQも匿名化していない記録の利用を研究目的に限定して理由を求め、学生には指導教員の推薦を求める場合がある。

この境界もデータの証拠契約の一部だ。公開記録は利用者へのリスクを下げつつ、分析上の価値を保つために変換されている。生データへの特別なアクセスは、目的もリスクも異なる。両方を同じ「公開」と呼べば、利用者を守るために必要な人の判断が見えなくなる。

アーカイブの価値は未知の範囲を隠さないことにある

WIDEのリポジトリは、トラフィックの傾向を調べ、分析手法を比べ、結果を再検証するための共有基盤をつくる。その価値は、観測点を選び、ある時間を記録し、機微な項目を変換し、データや要約を公開し、既知の制約を残すという手順にある。

アーカイブという名称だけで、一つの接続点がネットワーク全体になるわけではない。匿名化はあらゆる推測リスクを消さず、時計やネットワークカードも精度を保証しない。要約は、意図的にまとめた細部を保持しない。これは共有測定をやめる理由ではなく、データの来歴、変化、不確実性を記録と一緒に残す理由だ。

Heng Luのノートは、ここでは分析の視点としてだけ用いる。組織の肩書ではなく、稼働中の仕組みと記録を確かめる。通信記録について問うべきなのは、センサーの設置場所、ルーターから保管場所までの経路、変更した項目、要約で失われたもの、例外アクセスを許可した主体である。次の研究者がその判断を再構成できることが、共有測定の信頼性を支える。

参照資料