要約

  • APNICは8月21日、6 Cordelia Streetの社屋売却が完了し、Ground Floor, 35 Boundary Streetの仮オフィスへ移ったと発表した。通知や文書を物理的に届ける先は新住所となるが、私書箱と電話番号は変わらない。
  • 公開中のRPKI Certification Practice Statementは、連絡先に旧住所を掲げ、APNICが所有する同地の建物内の保護区画でCA業務を行うと記す。CAコンピューターと暗号モジュールは別途、二つの外部データセンターに置かれると説明されている。
  • 更新は一部で始まっている。HostmasterとNetwork OperationsはPO Box 3646を表示し、8月26日の変更時刻を持つ。その一方、APNIC Research and Developmentの組織オブジェクト、インフラ担当者の表示、1.0.0.0/24のroute記述には6 Cordeliaが残る。
  • 必要なのは機械的な住所置換ではなく、各記述の用途、旧状態の経過措置、変更権限、検証結果を行単位で残す、版管理された移転変更票である。

正式送達先が変わっても、すべての住所は動かない

APNICの告知は、まず読者が今すぐ必要とする情報を分けている。6 Cordelia Streetの売却は完了した。スタッフは35 Boundary Streetの1階にある仮オフィスへ移った。通知、文書、書簡を物理的に送達する場合はBoundary Streetを使う。通常の郵便はPO Box 3646のままで、電話番号も従来どおりだ。恒久的な所在地はまだ決まっていない。

ここには少なくとも三種類の住所がある。相手が文書を受領したことに法的な意味を持たせるための場所、郵便物を継続して受け取るための私書箱、人が働く一時的な場所である。同じ組織を指していても、三つを一つの値にそろえる理由はない。むしろ私書箱が変わらないことは、移転中の連絡経路を安定させる設計と読める。

問題は、旧住所が別の目的で使われてきた公開面にある。登録データでは、組織の所在地、担当者ラベル、リソースの説明として現れる。RPKIのCPSでは、建物の所有と物理的な保護を説明する根拠の一部になる。文字列が同じでも、その変更を決める担当者、承認手順、発効時点は異なる。

したがって、移転完了の判定を「旧住所が検索で出なくなったか」に置くべきではない。どの出現箇所が何を主張しているのか、その主張が現在も真なのかを確認する必要がある。

8月26日の更新は、全停止ではなく部分移行を示す

APNIC-HMの公開WHOISを読むと、APNIC HostmasterとNetwork OperationsはいずれもPO Box 3646を使っている。変更時刻は2026年8月26日00:40:00 UTCと、その一秒後だ。この時刻だけでは具体的にどのフィールドを編集したのか、全項目を再確認したのかまでは分からない。それでも、告知から五日後に二つの主要な連絡オブジェクトが操作され、表示結果が不変とされた私書箱と一致していることは確認できる。

一方、1.0.0.0の検索結果には古い層が残る。APNIC Research and Developmentの組織オブジェクトORG-ARAD1-APは6 Cordelia Streetを所在地としている。インフラ連絡先AIC3-APの表示にも旧住所が含まれる。1.0.0.0/24のrouteオブジェクトでは、APNIC Research and Developmentと6 Cordeliaが説明欄に並ぶ。関連するIRTは私書箱を用いている。RDAPでも、取得時点では実質的に同じ組織・連絡先の表示と変更日が確認できた。

これらはネットワークの位置を示す座標ではない。routeオブジェクトの説明は、トラフィックの通過地点でもRoute Origin Authorisationでもない。古い街路名があるからといって、1.0.0.0の委任や経路、abuse対応が誤っているとはいえない。登録データの観測から、サービス障害を推論するのは飛躍である。

同時に、「WHOISは更新済み」と一括するのも正しくない。二つの新しい変更時刻と、複数の旧住所表示は両立している。公開記録が示すのは、更新作業が始まったが、意味の違う面をまたいだ収束はまだ説明されていないという状態だ。

CPSの一文は、所在地より重い

Certification Practice Statementは、単なる問い合わせ先一覧ではない。認証局がどのような実務と統制の下で運用されると説明しているかを、依拠する側に示す文書である。APNICの現行CPSは、Infrastructure and Development Directorの郵送先として6 Cordelia Streetを記載している。

さらに第5.1.1節は、APNICのRPKI CA業務と、メンバー向けにホストするCA業務が、同住所にあるAPNIC所有のオフィスビルの物理的に保護された区域で行われると述べる。その区域にはオフィス、会議スペース、マシンルームがある。APNICはマシンルームから、CAコンピューターと暗号モジュールを収容する二つの外部データセンターを遠隔運用すると説明している。次の節では、外部施設のCAシステムに物理アクセスできる職員を選別し、カードで制御するとしている。

ここでオフィスと外部データセンターを混同してはいけない。社屋の売却は、CAコンピューターや暗号モジュールが移動した証拠ではない。取得した資料には、RPKI検証の停止、鍵の危殆化、無断アクセス、外部データセンターの保護低下を示すものはない。APNICはサービスと運用が通常どおり続くと述べており、それを否定する測定結果も本調査にはない。

未解決なのはオフィス側の記述である。売買完了後も何らかの経過措置で旧ビルを利用しているのか。マシンルームの役割は別の場所へ移ったのか。売却完了日と運用上の切り替え日は異なるのか。公開資料だけでは決められない。

この不確実性は、セキュリティ事故の疑いとして膨らませるべきではない。しかし、CPSに現在形で残る主張には、経過措置を含めた状態表示が必要だ。「ある条件まで有効」「ある日時に廃止」「仮オフィスには適用しない」「担当確認中」のいずれかを、責任者と見直し日とともに示せばよい。

35 Boundaryへの一括置換は、文書を新しくしても正しくしない

画面上の不整合だけを直すなら、6 Cordeliaを35 Boundaryに置き換えるのが最短である。しかし、告知は仮オフィスと正式送達先を定めただけで、APNICが仮ビルを所有するとは述べていない。CPSにある保護区画やマシンルームがそこに設けられたとも述べていない。所有の文章に新住所を入れれば、根拠のない主張を作るおそれがある。

私書箱を置き換えれば、明示的に「変更なし」とした告知に反する。routeの説明欄も、新旧オフィスを追い続ける必要があるとは限らない。街路名がリソースの理解や運用に寄与しないなら、履歴を残して削除するほうが、短命な住所を追加するより正確かもしれない。

必要な手順は、置換の前に用途を分類することである。正式送達、郵便、一般オフィス、役割連絡先、施設・物理統制、組織オブジェクト、登録担当者、リソース説明を別々に扱う。各種類について、誰が変更を承認できるのか、旧値はいつまで有効なのか、どの公開読み戻しで反映を確認するのかを決める。

安全に関する透明性も、詳細公開と同じではない。新たなマシンルームの住所、施設図、アクセス手順を示す必要はない。CPSの記述がどの版で置き換わり、外部データセンターの統制とは切り分けて承認されたことを示せば、依拠者は主張の連続性を評価できる。

移転変更票は「不明」を正規の状態として扱う

公開する変更票は簡素でよい。先頭に識別子、版、総括責任者、告知時刻、発効時刻を置く。その下で、重要な公開フィールドまたはCPS条項ごとに一行を割り当てる。サイト全体を一項目にしてはいけない。

各行には用途、旧値、確定した新値、変更権限の根拠を置く。新値がまだ確定していなければ、「旧記述は失効」「経過措置の終了条件まで有効」「意図的に維持」「仮オフィスには非該当」「確認待ち」といった管理状態を使える。不明であること自体は欠陥ではない。責任者と期限のない不明が欠陥になる。

CPSは少なくとも、連絡先、建物所有、保護区域、マシンルームの役割、外部データセンターに分けるべきだ。所有表現の修正から、暗号モジュールの移設を推測させてはならない。外部施設が変わらないからといって、旧社屋に関する記述が自動的に正しいともいえない。

WHOIS/RDAPも、組織、役割、IRT、リソース、route説明を別行にする。完了時は、WHOISやRDAPの公開応答、CPSの長期URLなど、確認に使った結果を記録する。後日の訂正は前の版を消さず、どの版を置き換えたかを残す。こうすれば8月21日の告知時、26日の部分更新時、最終完了時の状態を後から復元できる。

PDFの2021年という日付だけでは判断できない

調査時、長期CPS URLはPDFへ転送され、そのHTTP Last-Modifiedは2021年5月17日だった。この値は、サーバーがどのファイルを返したかを照合する手掛かりになる。一方、文書中の各規定が法的・組織的に採択された日を一律に示すわけではなく、すべてのレビュー履歴を証明するものでもない。

CPSは、改訂時に新しい版をリポジトリへ掲載し、長期URLを更新すると説明している。したがって、今後の確認地点は明確だ。ただし、新しいファイル日付が付くだけでは完了にならない。所有、保護区域、マシンルーム、外部データセンターのそれぞれにどの判断が下されたかが本文から読める必要がある。

移転には複数の時計がある。売買、入居、送達先の発効、登録オブジェクトの更新、セキュリティ実務の変更は別々に起こり得る。単一の更新日でまとめると、どの主張がいつまで真だったかという監査情報が失われる。

旧住所をゼロにするより、残る理由を説明する

APNICはすでに、送達先と郵送先を分けて公表し、五日後には一部の登録記録を動かした。これは制御の手掛かりである。残る課題は、旧住所が出ることそのものではなく、その一件一件に現在の意味が付いていないことだ。

もし旧社屋を移行期間中も使用するなら、機密情報を出さずに終了条件を示せる。所有に関するCPSの記述が売買完了時に失効したなら、その発効日を新しい版に残せる。マシンルームの役割が変わったなら、外部CAシステムが動いたかのように読ませずに書き換えられる。route説明の街路名に持続的な用途がないなら、監査履歴を保って削除できる。

検索結果から6 Cordeliaを完全に消すことが目的ではない。履歴や経過措置を説明する文書には、旧住所が正当に残る。目的は、残ったすべての出現箇所について、なぜそこにあり、誰が責任を持ち、いつ見直され、現行運用とどのような関係にあるかを答えられる状態にすることである。

出典