概要
- RPKI は、リソース保持者が暗号化されたルートオリジン認証を公開することでルーティングをより安全にするが、同じ信頼チェーンによって、ARIN のアカウント管理、契約ステータス、ホスティングサービスへの依存、移管タイミング、失効ルールが IPv4 の継続性の一部となる可能性がある。
- エンジニアは、誰もがガバナンスと呼ぶ前に問題を見抜いている。
継続性の問題となる ROA
エンジニアは、誰もがガバナンスと呼ぶ前に問題を見抜いている。週末に顧客の移行が予定されている。マネージドサービスプラットフォームが、IPv4 プレフィックス群をある送信元 ASN から別の ASN へ移行し、新しいトランジット構成、より厳格なアナウンス計画、そしてルートオリジン検証を通常のセキュリティ管理として扱う顧客契約に沿って進める。BGP の変更はリハーサル済み。メンテナンスウィンドウは確保済みだ。顧客は、トラフィックが移動する前に新しいルートオリジン認証が有効化されることを求めている。エンジニアが ROA の一覧を開くと、一見技術的なこの手順がレジストリ向けの認証チェーンに依存していることに気づく。現在の認証は ARIN アカウントの下にある。アドレスブロックにはレガシーな履歴があるかもしれない。認証された送信元が変更されようとしている。顧客が求めているのは、経路がアナウンスできることだけでなく、RPKI を使用する検証ネットワークによってその経路が有効と見なされることの保証だ。
一見すると、何も劇的なことは起きていない。誰も経路をハイジャックしていない。裁判所がリソースを凍結したわけでもない。敵対者がアカウント制御を奪取しようとしているわけでもない。レジストリは危機に瀕していない。問題はより小さく、それゆえに一層示唆的だ。すなわち、誰がどのようなサービス関係の下でルートオリジン表明を行えるのか、そして認識されたレジストリ状態がネットワークの速度で動かない場合、何が起こるのか、という点だ。
同じ疑問は移管の場面でも現れる。アドレスを多く持つホスティング事業の購入者は、既存の ROA が移管元によってきちんと撤回され、受取人によって再作成されるかどうかを尋ねる。融資者は、希少な IPv4 空間に紐づく収益が、アカウントステータス、契約の適用範囲、不明確な権限によって中断される可能性があるセキュリティサービスに依存していないかを問う。レッシーは、レッサーがレッシーの ASN 用の ROA を公開・維持し、契約終了時に不要な認証を削除し、下流の顧客が上流プロバイダを変更した場合に迅速に対応できるかどうかを確認する。取締役会は、企業が、どのような条件下でサービスが遅延、制限、一時停止、または取り消される可能性があるのかを知らずに、レジストリ運営の信頼サービスに依存していないかを問う。
これこそが、ARIN の RPKI ガバナンスリスクの経済的中心である。RPKI はルーティングセキュリティとして正しく宣伝されている。リソース保持者が、どの自律システムがどのプレフィックスを発信する権限を持つかを表明するのを助ける。バリデータに対し、通常の BGP が決して提供しなかった暗号的な信号を与える。ネットワーク運用者が、偶発的なリーク、誤った発信元アナウンス、悪意ある発信元主張を減らすのに役立つ。しかし、それはレジストリの認識が機械可読になったものでもある。信頼チェーンは、番号リソース、証明書、アカウント、公開基盤、サービス条件、および認識された権限との間の関係に依存している。その関係が狭く、監査可能で安定している場合、RPKI はリスクを下げる。それが広範で、不透明で、争うのが難しい場合、レジストリの認識を新たな継続性依存関係に変えかねない。
ARIN が有用な事例であるのは、北米の状況が比較的秩序立っているからに他ならない。懸念は、ARIN が目に見えて機能不全に陥っていることではない。むしろ、成熟した枯渇後のレジストリが、セキュリティサービスが通常運用の一部となる際に新たな実質的影響力を獲得し得るということだ。ARIN の登録記録、移管認識、アカウントロール、契約範囲、逆引き DNS サポート、ルーティングレジストリサポート、RPKI サービスは、同じ希少な IPv4 経済の中に存在する。そのサービススタックは貴重だ。しかしそれは同時に、機関としての自制を要求する。なぜなら、追加される信頼サービス一つ一つが、リソース保持者、購入者、融資者、レッサー、顧客が、レジストリが狭いスチュワードとして行動しているのか、それとも広範なゲートキーパーとして行動しているのかを問わねばならない別の表面になり得るからだ。
したがって、本稿の問いは、ルートオリジン検証が有用かどうかではない。それは有用である。また、ARIN が信頼サービスを軽率に運営すべきかどうかでもない。それはすべきでない。問いは、ARIN の認証基盤に対する管理が十分に制約されており、保持者が RPKI を採用しても、レジストリにネットワーク識別子に対する裁量的なスイッチを渡すことにならないかどうかである。ROA はコンパクトな署名付き表明かもしれないが、バリデータ、顧客、契約相手がそれに依存する場合、その表明の背後にあるガバナンスが継続性の代価の一部となる。
RPKI ガバナンスリスクは、レジストリ権限を暗号化したものである
RPKI は、ルーティングにおける技術的な弱点から始まる。BGP はネットワークが到達可能性をアナウンスすることを可能にするが、それ自体では、アナウンスする ASN がリソース保持者から権限を与えられていることを証明しない。ミスが経路をリークさせ得る。悪意ある行為者が、本来発信すべきでない空間をアナウンスし得る。習慣、私的な書簡、古いルーティングレジストリのエントリ、非公式な信頼のみに基づくフィルタでは、問題を見逃しかねない。RPKI は、番号リソースの周りにリソース認証階層を追加し、リソース保持者がルートオリジン認証（ROA）を公開できるようにする。ROA は、実質的に、指定された ASN が特定のプレフィックスを、通常は指定された最大プレフィックス長の範囲内で発信してよいと表明する。バリデータは公開された資料を取得し、証明書チェーンを確認し、ネットワーク運用者がルーティングポリシーで使用できるルートオリジン検証状態を作り出す。
暗号は重要だが、本分析にとってより重要なのは、その暗号の背後にある制度的な主張である。バリデータは、ROA が関連する信頼構造に連なることを検証できる。しかし、バリデータは、先行する法人がブロックを有効に移管したか、古いレガシー保持者の役員が権限を有しているか、レッシーの商業的許可がまだ有効か、アカウント変更が正しい人物によって行われたか、あるいはサービス制限が不正防止、技術的安全規則、それとも制度的影響力を反映しているのかを、独自に判断することはできない。証明書は、レジストリの認識を機械可読なルーティング証拠に変える。それはレジストリをシステムから取り除くものではない。
したがって、RPKI ガバナンスリスクは注意深く定義されるべきである。それは、暗号による検証がルーティングミスを減らす一方で、レジストリが管理する認証局への依存を高めるリスクである。事業者が意図するルートオリジンを表現できるようにする同じサービスが、アカウント権限、契約範囲、証明書状態、ホスティングサービスの可用性、委任されたサービスの継続性、失効手続き、レジストリの判断をネットワーク継続性の一部にもし得る。危険は、あらゆる RPKI の行為が疑わしいということではない。危険は、セキュリティレイヤーが、それへのアクセスを制御するガバナンスレイヤーと区別しにくくなり得ることである。
ツールとレバーの違いが決定的な区別である。ルーティングセキュリティツールは、リソース保持者が運用上の事実、すなわち、この ASN がこのプレフィックスを発信する権限がある、という事実を表現するのを助ける。これは検証ネットワークの曖昧さを減らす。顧客とトランジットプロバイダにより強い信号を与える。それは退屈で、正確で、検証されたリソース権限に結びついているべきである。ガバナンスレバーはそれとは異なる。アカウントステータス、契約範囲、移管認識、レガシー姿勢、紛争分類、請求状態、あるいは機関の選好に関するレジストリの決定が、ルートオリジン表明の信頼性や継続性を変えることを許すのである。
ある程度のレジストリ管理は不可避である。レジストリは、侵害されたアカウントに偽の ROA を公開させてはならない。認識された保持者でない当事者にプレフィックスを認証させてはならない。完了した移管を無視してはならない。返却されたか誤って登録されたリソースの証明書を有効なままにしてはならない。偽の権限を訂正し、合法的な決定に従うことができなければならない。偽の表明を取り消したり制約したりできない信頼サービスは、信頼に値しない。
しかし、不可避な管理は、無制限の裁量ではない。RPKI の採用が進むほど、認証、公開、サービス利用資格に関する ARIN の決定は、購入者、融資者、レッサー、顧客、ネットワーク運用者によって価格付けされるようになる。ARIN は、2025 年末までに数千の組織が RPKI サービスにサインアップし、ホスティング型 RPKI が利用の圧倒的多数を占めたと報告している。これは採用とサービス価値の表れである。それはまた、依存の集中の表れでもある。ホスティングサービスが支配的なモデルである場合、レジストリは単に便利なポータルを運用しているだけではない。ほとんどの参加者のルートオリジン公開において、運用上の保管者になりつつあるのだ。
これはホスティング型 RPKI を間違いにするものではない。これは、そのガバナンスを重要にするのである。枯渇後のレジストリにおける最高のテクノロジーは、レジストリの中心性を最大化するテクノロジーではない。それは、ルーティングリスクを低減しつつ、機関の権限を制約し続けるテクノロジーである。暗号チェーンは、保持者が安全に運用、移管、リース、融資、顧客サービスを行える能力を強化すべきである。それは、レジストリがセキュリティサービスを運営しているからといって、あらゆるサービス境界、アカウントルール、契約条件が、より広範な管理の手段として用いられ得るという暗黙の論拠と化してはならない。
ホスティング型の利便性が依存を集中させる
ホスティング型 RPKI が魅力的なのは、固定費を下げるからだ。リソース保持者は、独自の認証運用を完全に構築することなく、レジストリシステムを使用して ROA を作成・維持できる。小規模ネットワーク、大学、企業保持者、地域 ISP、ホスティング事業者、公共機関は、独立した RPKI 公開システム、専門スタッフ、鍵管理プロセス、リポジトリ監視体制を望まない可能性が高い。彼らは、適切な発信元を追加し、適切な最大長を設定し、古い認証を避け、明確な変更履歴を見られる安定したサービスを望む。レジストリがそれを安全に提供すれば、採用は進み、ルーティングの衛生状態は改善する。
ARIN が報告した採用パターンは、これがなぜ重要かを示している。数千の組織が RPKI サービスにサインアップし、そのほぼ全てがホスティング型 RPKI を使用している。この比率は驚くに当たらない。ホスティングサービスは便利なデフォルトである。それは、多くの保持者が既に ARIN Online をレジストリ管理に使用している方法と一致する。ネットワークエンジニアは、独立した証明書運用スタックからではなく、認識されたアカウントから作業できる。ROA の変更は、運用負担が高すぎるために他の方法では RPKI を先送りしたであろう組織にとって、利用しやすくなる。
依存は利便性の別の側面である。ホスティングモデルでは、保持者がルートオリジン権限を表現する能力は、ARIN のアカウント管理、サービス可用性、公開システム、サービス条件、サポート応答性、利用資格の解釈に依存する。保持者は認証したい内容を決定できるが、レジストリ運営のシステムが公開経路である。アカウント権限が不明確なら、保持者は待つ。契約範囲がアクセスを妨げれば、保持者は法的関係を変更するか別の経路を見つけなければならない。移管が保留中なら、新旧当事者はレジストリ側の手順を通じて調整する必要がある。紛争マーカーが出現すれば、レジストリは何を安全に変更でき、何を保持すべきかを判断しなければならない。
この依存は、境界が明確な場合にのみ管理可能である。保持者は、リソース登録、アカウント認証、契約範囲、料金状態、侵害の疑い、移管状態、法的制約、返却リソース、証明済みの偽の権限、または技術的事象といった、どのような事実がホスティング型 RPKI アクセスに影響し得るかを知っておくべきである。また、歓迎されない商用モデル、リースに対する姿勢、レジストリポリシーへの批判、攻撃的だが合法的な IPv4 戦略、あるいはアドレス収益化全般への抵抗感といった、定義されたルールによる場合を除いて RPKI に影響すべきでない事実についても知るべきである。第一のカテゴリーが狭く、第二のカテゴリーが排除されている時に、サービスは信頼に値する。
ホスティング型 RPKI はまた、サービス信頼性をガバナンスの指標とする。ポータルの停止、リポジトリの事象、サポートキューの遅延、不明確なエスカレーション経路が、ルーティング問題になり得る。害悪は全面的な停止ではないかもしれない。移行ウィンドウの逸失、顧客オンボーディングの遅延、契約が検証を期待していた経路が未検証のままになること、あるいは新しい発信元がより厳格なネットワークから見て無効に見えるようにする古い ROA が、それに当たる。コストは保持者、その顧客、検証ネットワークが負う。ARIN にとっての直接的な財務エクスポージャーははるかに小さいかもしれない。
適切な対応は、ホスティングサービスを思いとどまらせることではない。適切な対応は、ホスティングモデルを監査可能にすることである。ARIN は、集約されたサービスの可用性、RPKI リクエストに関するチケット処理時間、公開事象のカテゴリー、復旧時間、緊急ロックの利用、失効カテゴリー、移管関連の ROA 遅延、手動ではなく自動で処理された変更の割合を示せるべきである。個別のアカウント詳細を公開する必要はない。市場が、ホスティング型 RPKI が信頼できるセキュリティサービスなのか、それとも顧客移行時に初めて遅延が露見する隠れたキューなのかを知るのに十分な情報を公開すべきである。
ホスティング型の利便性は、もしそれが制度的な謙虚さと対になっているならば、公共財になり得る。レジストリは安全な道筋を容易にするべきであって、容易な道筋を広範な管理への入り口とすべきではない。ホスティング型 RPKI を利用する保持者は、セキュリティ基盤を利用しているリソース保持者として扱われるべきであり、セキュリティ機能に必要とされる以上の大きな裁量的依存を受け入れた当事者として扱われるべきではない。
委任型管理は負担を伴う移植性である
委任型 RPKI はその反対方向を指し示す。レジストリのホスティング型公開経路に全面的に依存する代わりに、能力あるリソース保持者は、レジストリの信頼関係の下で、自らより多くの認証環境を運用することができる。これにより、単一の機関への依存を減らし得る。大規模ネットワーク、クラウド事業者、通信事業者、セキュリティプロバイダ、専門のアドレス管理者は、RPKI を自社の変更管理、監視、インシデント対応システムに統合できる。これにより、公開のタイミング、内部承認、運用レジリエンスに対するより直接的な管理を保持者に与え得る。
委任は、レジストリからの独立ではない。信頼チェーンは依然としてレジストリの認識から始まる。保持者は、リソース関係を認識し、親証明書関係を維持するために、依然としてレジストリに依存している。レジストリ記録が誤っている場合、保持者の登録が争われている場合、リソースが移管される場合、証明書関係が制約される場合、あるいは法的命令がリソースに影響を与える場合、委任された運用はレジストリが存在しないふりをすることはできない。委任は運用上の作業を下流に移すが、制度的な根本を廃止するものではない。
経済的トレードオフは、移植性と引き換えの能力である。小規模ネットワークは、委任された基盤を運営する負担が独立性に見合わないため、ホスティング型 RPKI を好むかもしれない。大規模事業者は、依存のコストが技術的運用のコストよりも高いため、委任型管理を好むかもしれない。融資者や顧客は、委任型 RPKI を、保持者が成熟した管理策を有している証拠と見るかもしれないが、それらの管理策が監査されているか、レジストリ関係が安定しているかも問うかもしれない。購入者は、委任サービスがクリーンなログと手順を備えた売り手を好むかもしれないが、それでもクロージング時に委任がどのように終了または移行するかを知る必要がある。
委任はまた、それ特有の故障モードを生み出す。鍵は保護されなければならない。リポジトリは利用可能であり続けなければならない。スタッフは証明書ライフサイクル、マニフェスト、失効資料、バリデータ、経路変更タイミングを理解しなければならない。設定ミスのある委任設定は、ホスティング型の遅延と同程度に、到達可能性の信頼を損ね得る。保持者は、一つのレジストリポータルからの独立性を得る一方で、少数の内部チームへの依存を作り出すかもしれない。保持者が買収、再編、破産、または事業部門間で分割される場合、委任された管理は調整を要する別の権限ファイルになり得る。
ARIN にとってのガバナンスの教訓は、ホスティング型と委任型の RPKI が単純な成熟度階層として扱われるべきではない、ということである。ホスティングサービスは二級品ではない。委任サービスは完全な逃避ではない。それらは運用負担と制度的依存の異なる配分である。レジストリは両方の選択肢を明瞭にすべきだ。すなわち、ARIN が何を管理し、保持者が何を管理し、移行がどのように起こり、どのような監査証拠が存在し、移管中に何が起こり、どちらかが失敗した場合にどのような緊急措置が利用可能かを明らかにすべきである。
移植性の問題は特に重要である。保持者が、裁量的な妨害なしに、ホスティング型から委任型サービスに移行でき、あるいは移管を通じて RPKI の継続性を維持できるならば、レジストリの管理はより狭いものとなる。もしホスティング型依存から委任型管理への実際上の経路が不明確で、費用がかかり、あるいは無関係なアカウント条件に対して脆弱なのであれば、ホスティング型採用はロックインを生み出し得る。ロックインはサービス指標にとっては便利かもしれないが、希少なネットワーク識別子の上に構築された市場にとっては健全ではない。
したがって、委任型 RPKI は改革の適正な方向性を示している。目標は、ARIN を信頼チェーンから取り除くことではない。それは RPKI のリソース認証設計を誤解することになる。目標は、より多くの運用責任を負う能力を有する保持者が、透明な条件の下でそうできるようにし、ホスティングサービスを利用する保持者が、より負荷の低い経路を選んだことによって不利を被らないようにすることである。成熟したレジストリは、異なる管理モデルを支持しつつ、いずれかを影響力に転換すべきではない。
移管決済には、今やルートオリジンの引き継ぎが含まれる
IPv4 移管は RPKI ガバナンスを具体的なものにする。なぜなら、移管は金銭が動いた時点で経済的に完了するのではないからだ。それは、レジストリ記録、アカウント権限、ルーティング権限、逆引き DNS、不正利用連絡先、およびルートオリジン資料が、受取人の意図する運用と整合した時に完了する。認識された登録を受け取ったが、古い ROA、欠落した ROA、または ROA アクセスの遅延を継承した購入者は、期待した完全な継続性パッケージを受け取っていない。ブロックは経路制御できるかもしれない。契約は締結されたかもしれない。公開上の保持者は変更されたかもしれない。しかし、購入者の顧客コミットメントは、依然として RPKI がクリーンかどうかに依存し得る。
ARIN の移管ガイダンスは、すでに運用上の問題を認識している。移管の文脈における移転元組織は、既存の ROA を確認し、移管するプレフィックスを削除または編集し、最大長設定を確認し、ルーティングレジストリエントリを更新し、逆引き DNS 委任を調整することが期待される。このガイダンスは実践的かつ重要である。これは、移管が単に法的または行政的なイベントではないことを示している。それは、他のネットワークが消費し得るセキュリティおよび命名状態の変化である。
決済上の問題はタイミングである。移転元は、購入者が新しい ASN からアナウンスする前に、古い ROA を削除する必要があるかもしれない。購入者は、顧客移行の前に新しい ROA を作成する必要があるかもしれない。リソースが合併または再編の経路を通じて移動する場合、ネットワークまたは運営事業がエンティティと共に移動したため、受取人は継続性を期待するかもしれない。リソースが特定受取人の経路を通じて移動する場合、移転元と受取人のチケット、契約、料金、受取人の資格が整合しなければならない。移管が RIR 間である場合、別のレジストリのルールと検証プロセスが手順に加わる。各ステップは、私的な期待と公的なルートオリジン信頼との間にギャップを生み出し得る。
エスクロー条項は、ますますそのギャップを考慮する必要がある。真剣な購入者は、移転元が現在の登録保持者であるかどうか、移管経路が利用可能かどうかだけを問うべきではない。全ての既存 ROA が棚卸されているか、どの ASN が認証されているか、最大長値が購入者の計画と一致しているか、誰が古い資料を削除するか、購入者がいつサービスアクセスを得るか、契約範囲が必要かどうか、レジストリが移行ウィンドウ前に変更を処理できない場合どうなるかを問うべきである。売り手は、アカウント権限を欠いているか、レガシー契約ステータスが関連サービスを妨げる場合に、セキュリティ状態の引渡しを約束すべきではない。
この問題は、完全な移管に限定されない。RPKI は、登録を移管しないリースや顧客移行にも影響する。多くのリース構造では、保持者が ARIN に認識された登録者のままであり、別のネットワークがプレフィックスを発信する。この取り決めは運用上合法的であり得る。ROA は、保持者がレッシーの ASN を認証していると表現できる。しかしレッシーは、ROA を公開・維持するために保持者またはレッサーに依存する。レッサーが遅い場合、サービスアクセスが契約条項に依存する場合、保持者レベルで紛争が生じた場合、あるいはレジストリ側の再検討が変更を制限する場合、レッシーは直接のレジストリ制御なしに顧客エクスポージャーを負う。
実際的なクロージングファイルには、今やルートオリジンセクションが必要である。それには、全てのプレフィックス、全ての現在の ROA、全ての認証された発信元、全ての最大長値、全ての意図されたクロージング後の発信元、全ての依存する顧客移行、状態を変更する権限を持つ全ての当事者を列挙すべきである。古い ROA がレジストリ認識の前か後に削除されるのか、一時的な重複が安全か、段階的なアナウンス計画が無効を生み出すか、受取人がサービスアクセスをテスト済みかどうかを明記すべきである。これは ARIN が私的な契約起草に責任を負うことを意味しない。レジストリ認識とルートオリジン継続性が、今や同じ決済パッケージの中で出会うことを明確にするのである。
ポリシー原則は単純明快である。RPKI 状態は、検証されたリソース権限と運用上の認証に、可能な限り予測通りに従うべきである。移管保留は、移転元が未確認、リソースが争われている、書類が一貫していない、アカウントが侵害されている、または法的制約が適用される場合に正当化され得る。運用上の認証が明確であり、遅延の唯一の効果が有効な移行をよりリスクの高いものにすることである場合、遅延ははるかに正当化し難い。市場に自らの証明書チェーンを信頼してほしいと望むレジストリは、ROA 移行を決済の最終性の一部として扱うべきであり、後付けとして扱うべきではない。
レガシーリソースはサービス利用資格をガバナンスの境界線に変える
ARIN のレガシーリソース境界は、RPKI がガバナンスとなる最も鮮明な場所の一つである。レガシーリソースは、ARIN の現代的契約構造より前にレジストリに入っていた可能性がある。ARIN の公的立場は、現行の契約外でも引き続き利用可能であり得る基本的なレガシーレジストリサービスと、RPKI やインターネットルーティングレジストリサポートを含む特定の追加サービスを区別してきた。後者は、リソースが ARIN の契約の対象であることを必要とする。その区別は、法的および運用上の観点から擁護可能かもしれない。それはまた、経済的にも重大な結果をもたらす。
RPKI が珍しかった頃は、それへのアクセスはオプションのサービスとして扱うことができた。契約を拒否したレガシー保持者は、ルートオリジン認証が必須でないと判断しながらも、基本的な公開記録と逆引き DNS を維持できたかもしれない。RPKI が通常のルーティング衛生、顧客保証、取得デューデリジェンスの一部となるにつれて、同じサービス境界の性格が変わる。保持者は、歴史的な主張が変わったからではなく、現代の取引相手が今や認証を期待するからこそ、契約の枠組みに入る圧力を感じるかもしれない。サービス条件が、レガシー依存を取り巻くガバナンスの境界線になるのだ。
これは単純な強制の非難ではない。セキュリティサービスは現実のリスクを伴う。レジストリは、保持者が他のネットワークが依拠する表明を公開できるようにする前に、より明確な法的関係を望むことは合理的であり得る。レジストリは、誰が行動できるか、どのリソースが対象か、どの条件が適用されるか、料金がどう扱われるか、移管時に何が起こるか、そして虚偽または侵害された公開に対する救済策が何かを知る必要がある。RPKI は、静的な公開リストのような受動的な表示サービスではない。
問題は比例性である。RPKI に契約範囲が必要とされる場合、その契約はどの特定のリスクを解決するのか。それは認証、責任、料金回収、サービス条件、失効権限、ポリシー組込み、あるいはそれら全てを同時に解決するのか。どの条項がセキュリティサービスに必要であり、どの条項が保持者のより広範なポリシー変更へのエクスポージャーを拡大するのか。レガシー保持者は、無関係な期待を変える広範な関係ではなく、狭く調整されたセキュリティ関係を通じてルートオリジン認証にアクセスできるのか。契約対象外のステータスから契約対象のサービスへ移行する間、既存のライブルートは保護され得るか。
取引相手は、これらの問いを契約神学として解析しない。彼らはそれを価格付けする。クリーンな記録と利用可能な RPKI サポートを備えたレガシーブロックは、保持者が法的論争なしに ARIN ホスティング RPKI にアクセスできない類似のブロックよりも、高い信頼を獲得するかもしれない。購入者は、ルートオリジンの引き継ぎがより容易に見えるため、既に現行契約の下にあるブロックを好むかもしれない。融資者は、顧客がますます RPKI を期待する場合、契約外のレガシーポートフォリオを割り引くかもしれない。レッサーは、契約対象のプールから ROA サポートを提供できれば、優位性を得るかもしれない。レガシー保持者は、同じ動きを、セキュリティサービス圧力による歴史的独立性の喪失と見るかもしれない。
ARIN の正統性は、ここでの率直さにかかっている。RPKI アクセスが契約範囲を必要とするならば、その理由は、広範なスチュワードシップの修辞に包むのではなく、サービス固有の言葉で述べられるべきである。レジストリは、契約がどのように信頼サービスを保護するのか、どの権利と義務がサービスに限定されているのか、ポリシー変更がどのように保持者に影響するのか、誤りがどのように訂正されるか、サービス紛争がどのように再検討されるかを説明すべきである。ルートオリジンセキュリティが運用上望ましいものになったという事実に依拠して、経済的影響を認めることなく、レガシー保持者をより広範な裁量的領域に引き込むべきではない。
レガシーリソースは、現代的なセキュリティ規律から免除されるわけではない。古い連絡先、不明確な後継者、侵害されたアカウント、偽りの権限は、誰にとっても有害であり得る。しかし、レガシーステータスはまた、サービスバンドルを通じて搾取されるべき弱点でもない。適正な基準は狭い。すなわち、実際の権限と責任の問題を解決する条件でセキュリティサービスを利用可能にしつつ、歴史的な依存をゲートキーパー依存に不必要に転換することを避けることである。
失効権限は稀だが、経済的に価格付けされる
最も劇的な RPKI ガバナンスの恐怖は、失効である。証明書または関連する公開資料が撤回され、かつて経路を支えていた ROA が消失するか、もはや適切に連鎖しなくなり、バリデータがその見解を変え、ルートオリジン検証を使用しているネットワークがアナウンスを異なって扱うかもしれない。実際には、多くの RPKI リスクはそれよりも静かである。必要な ROA が期限内に作成されない。移行後に古い ROA が残留する。移管受取人が迅速にサービスにアクセスできない。権限確認中に保持者のアカウントがロックされる。リポジトリの事象が不確実性を生む。しかし失効が重要なのは、それがシステムの核心にある力を明らかにするからだ。
レジストリは、いくつかの状況下で失効できなければならない。リソースが返却、移管、誤登録され、証明済みの偽の権限の対象となり、鍵侵害の影響を受け、誤って重複し、または合法的決定によって制約された場合、古い認証資料を保持することは安全でないかもしれない。アカウント侵害が偽の ROA を生み出した場合、緊急措置が必要かもしれない。保持者があるプレフィックスに対する権限をもはや有していない場合、そのルートオリジンを認証し続けることはルーティングシステムを誤らせるであろう。いかなる真剣な RPKI ガバナンスモデルも、失効を廃止することはできない。
経済的問題は、いつ失効が許容されるか、誰がそれを再検討するか、どのように通知が行われるか、どのような安全状態が保持されるか、そして誤りがどのように修復されるかである。失効権限は稀であり得るが、それでも価格付けされる。融資者は、担保権がどれほどの頻度で争われるかだけを問うのではない。争われた場合に何が起こるかを問うのである。顧客は、プロバイダが今日 ROA を持っているかだけを問うのではない。そのプロバイダが、紛争、更新、合併、請求エラー、またはアカウント回復を通じて、検証された状態を維持できるかどうかを問うのである。購入者は、稀なリスクが無関係であるとは仮定しない。その結果が移行ウィンドウや顧客の到達可能性に影響し得るならば。
ARIN の法的およびサービス上の姿勢が重要なのは、レジストリの責任が保持者のビジネスエクスポージャーよりもはるかに小さいかもしれないからである。その不一致は、あらゆる制限を非合法化するものではない。レジストリは、すべての経路の下流経済全体を現実的に保証することはできない。検証ネットワークは自らのルーティングポリシーを選択する。保持者は自らのアカウントと経路計画を管理しなければならない。しかし、この不一致はレジストリの裁量を狭めるべきである。レジストリの下振れが限られている一方で、保持者の顧客コストが相当になり得るならば、厳格な RPKI 措置は、特定の再検討可能な根拠に結び付けられるべきである。
最も強力な失効モデルは、事例を分類するであろう。セキュリティ侵害はリソース返却とは異なる。移管完了は不払いとは異なる。法的制約は古い連絡先確認とは異なる。リソースに対する虚偽の主張は、商業的リース紛争とは異なる。完了した移管は、古い ROA の撤回と新しい ROA の作成を必要とするかもしれない。争われた移管は、リスクのある新しい変更をブロックしつつ、最後に検証された安全状態を保持することを必要とするかもしれない。請求問題は、公表されたルール、通知期間、および治癒経路がその結果を明確かつ比例的でない限り、自動的にルートオリジン事象になるべきではない。
非公開についても、同様の規律が適用されるべきである。レジストリは、不利な決定を公表せずに、遅延によって継続性を害し得る。ARIN が顧客移行前に必要な ROA 変更を処理できない場合、事業者は、約束した検証態勢なしにサービスを延期するか、アナウンスを行うかもしれない。レガシー保持者の契約経路が不明確であれば、セキュリティ採用が遅れるかもしれない。移管受取人がアカウントアクセスを待つ場合、決済の最終性は不完全である。各事例には合理的な説明があるかもしれない。ガバナンス問題は、その説明が可視的で、時間制限があり、エスカレーションに開かれているかどうかである。
最も安全な基準は、可能な場合のライブセキュリティの保持である。ライブルートに対する既存の有効な ROA は、ルーティングに無関係な紛争が存在するというだけで乱されるべきではない。新しいまたは変更された ROA は、権限が不明確な場合に再検討を必要とするかもしれないが、その再検討は、漠然とした懸念の背後に隠れるのではなく、権限の欠陥を特定すべきである。緊急措置は、事前の通知がリスクを生む場合、記録され、通知され、事後に再検討されるべきである。厳格な措置は、それが保護するネットワークサービスよりも証明書を乱すのが容易になるべきではない。
バリデータはアカウント上の決定をアカウントの外に伝播させる
RPKI ガバナンスは、ARIN とリソース保持者の間の問題だけではない。バリデータと検証ネットワークは外部性を生み出す。トランジットプロバイダ、クラウドバックボーン、エクスチェンジルートサーバ、コンテンツネットワーク、企業セキュリティチーム、または上流フィルタが、ルーティングポリシーの一部としてルートオリジン検証を使用するかもしれない。これらの当事者は ARIN アカウントを管理していない。彼らは保持者の移管履歴、レガシーステータス、またはサービス関係を知らないかもしれない。彼らは検証結果を見て、それに応じて行動を調整する。
したがって、レジストリ側の決定は外部へと伝播する。ROA が間違っている、遅延している、失効している、または古くなっている場合、その影響は、アカウントチケットに全く関与していないネットワークに現れるかもしれない。移管が私的に完了したが、ルートオリジン資料が移転元に残っている場合、検証ネットワークは矛盾したシグナルを見るかもしれない。レッサーがレッシーの新しい ASN 用の ROA を更新できない場合、レッシーの顧客は、レッシーが登録された保持者でなくても、到達可能性の苦情に直面するかもしれない。レジストリ側のサービス事象が公開に影響を与える場合、下流の事業者は問題が局所的か、地域的か、それとも全体的かを判断しなければならない。
外部性は自動化によって強まる。公的登録記録を読む人間は、記録が歴史的、乱雑、または不完全であり得ることを理解するかもしれない。検証ポリシーを適用するルータは、企業のニュアンスを解釈しない。それはローカルポリシーに従って検証結果を扱う。一部のネットワークは有効な経路を好むかもしれない。一部は無効を拒絶するかもしれない。一部は監視するがフィルタしないかもしれない。ポリシーは分散しているが、信号はレジストリにリンクした信頼チェーンから来る。その組み合わせは強力である。集中化された権限が、他者による分散化された執行を通じて表現されるのだ。
だからこそ、RPKI ガバナンスはアカウントレベルのサービス条件だけで判断されるべきではない。影響を受ける集団には、ARIN のメンバーシップシステムに決して現れないかもしれない顧客、下流ネットワーク、ホスティングされたテナント、コンテンツ利用者、融資者、購入者、検証事業者が含まれる。ARIN のメンバーシップとコミュニティ参加は重要な制度的チェックだが、それらは外部性を完全には代表しない。リソース保持者は投票または参加し得る。経路に依存する顧客はそうでないかもしれない。検証を適用している検証ネットワークは、保持者とのいかなる関係も持っていないかもしれない。誤った認証事象の間の被害当事者は、2 つ契約を隔てた下流にいるかもしれない。
外部性があるからといって、ARIN がすべての事業者によるすべてのルーティング選択に対して責任を負うべきだということにはならない。検証ネットワークは自らの検証ポリシーを選択する。保持者は自らの経路計画を選択する。レッサーとレッシーは自らの契約を選択する。しかし、レジストリは認証関係を十分に強く管理しているため、厳格な措置の前に外部効果を考慮すべきである。失効、緊急ロック、移管関連の保留、または公開遅延は、内部ルール遵守のためだけでなく、下流の継続性のためにも再検討されるべきである。
したがって、成熟したレジストリは、集約された外部性指標を公開するであろう。移管、アカウント回復、侵害の疑い、レガシー契約ステータス、公開事象、最大長誤り、または誤った発信元変更に関連した RPKI サポートケースはいくつあったか。それらはどれほど迅速に解決されたか。いくつの有効な経路が影響を受けたか。いくつが、保持者や依存当事者への緊急連絡を要求したか。変更が元に戻されたのはどれほどの頻度か。ホスティングサービス対委任サービスが関与したのはいくつのケースか。これらの数字は、プライベートなセキュリティ詳細を露出することなく集約できる。
そのような透明性の目的は、非難することではない。リスク値付けである。RPKI を採用している事業者は、信頼サービスが通常の変更の下で安定しているかどうかを知る必要がある。購入者は、ROA 引き継ぎが決済の日常的部分なのか専門リスクなのかを知る必要がある。顧客は、ルーティングセキュリティのコミットメントが脆弱でないという保証を必要とする。検証ネットワークは、レジストリ側の事象が稀で、伝達され、訂正されるという確信を必要とする。これらの信号がなければ、採用統計は誤解を招くものになり得る。高い採用率は多くの保持者がサービスに依存していることを示す。それは、その依存を取り巻くガバナンスが強固かどうかを示すものではない。
RPKI は、外部性がポジティブである場合にのみ成功する。すなわち、リークの減少、ハイジャックリスクの低減、ルートオリジン信頼の向上、より規律ある運用計画である。外部性が、低視認性のレジストリ選択に対する隠れた依存になれば、制度的に失敗する。ARIN の課題は、第二の効果を測定し制約しつつ、第一の効果を維持することである。
責任ギャップは継続性コストのプレミアムとなる
RPKI における構造的ミスマッチは、信頼サービスを管理する当事者が、信頼失敗の全コストを負わないかもしれないことである。保持者は、顧客信頼を失い、移行を遅延させ、サポートコストに直面し、サービスコミットメントを破り、より低い移管価格を受け入れ、またはルートオリジン問題の解決に管理時間を費やすかもしれない。レッシーは、レッサーまたはレジストリアカウントが ROA を更新できないために、到達可能性信頼を失い得る。購入者は、セキュリティ状態が未解決のまま、決済を待つことがある。融資者は、アドレスに裏付けられた収益を割り引くことができる。同じ連鎖に対する ARIN の直接的な法的エクスポージャーは、サービス条件によって、そして経路結果を単一のレジストリ行為に帰することが実際上困難であることによって、制限され得る。
このミスマッチは ARIN に固有なものではなく、また不誠実の証拠でもない。レジストリは希少な識別子を調整しており、無制限の責任はおそらくそれらを機能不能にするであろう。検証ネットワークは自らのルーティングポリシーを選択する。保持者は自らのアカウントと経路計画を管理しなければならない。事業者は検証状態を監視しなければならない。レジストリの行為と顧客の問題の間には多くの原因が存在する。
それでもなお、制限された責任は権限を規律すべきである。低責任のレジストリは、それが狭く、監査可能な簿記役および信頼サービス運用者として行動するならば、正統であり得る。もしそれが、セキュリティアクセス、契約レバレッジ、失効タイミング、または移管関連の公開に対して広範な裁量を行使しつつ、下流のコストの大部分を外部化するならば、正当化がより困難になる。影響を受ける当事者が利用可能な救済策が狭いほど、裁量の領域も狭くあるべきである。
RPKI は、ルートオリジン検証がライブトラフィック処理に影響を与え得るため、この原則をより鮮明にする。誤った公開一覧はデューデリジェンスチームを誤らせ得る。誤った逆引き DNS 委任はメールの評判を害し得る。誤ったまたは欠落した ROA は、厳格なネットワークが経路を扱う方法を変え得る。その影響の速度と自動化は、ガバナンスの基準を引き上げる。レジストリの行為がバリデータやフィルタを通じて伝播し得るならば、その行為は決定記録、理由カテゴリー、再検討経路、訂正時計を有するべきである。
同じ基準がサービス利用資格にも適用されるべきである。レガシー保持者が RPKI にアクセスするために契約に署名しなければならないならば、責任とサービス条件は、セキュリティ取引の一部として明確に説明されるべきである。ホスティングサービスが採用を支配するならば、保持者はサービスのコミットメントと限界を知っておくべきである。委任サービスが保持者により多くのリスクを課すならば、ARIN はその境界を明確にすべきである。移管ガイダンスが移転元と受取人に ROA 整理責任を課すならば、当事者は ARIN がタイミングをどのようにサポートするか、一方が行動できない場合に何が起こるかを知っておくべきである。いずれの場合も、リスクは危機的状況で価格付けされる前に、名前を挙げられるべきである。
私的契約が責任ギャップを埋める。購入契約はレジストリステータスと ROA 整理に関する保証を追加する。エスクローは、移管とサービス移行が完了するまで資金を保持する。顧客はルーティングセキュリティのコミットメントを要求する。融資者はアドレス管理について問う。レッサーは ROA サポート条件をリースに書き込む。保険会社は曖昧なレジストリの失敗を除外するかもしれない。これらの手段は合理的だが、コストがかかる。それらは、不確かな公的トラスト基盤の私的コストである。
ARIN は、その RPKI ガバナンスをより予測可能にすることで、そのコストを削減できる。誤りが決して起こらないと約束する必要はない。誤りが孤立し、迅速に訂正され、明確に説明され、無関係なリソースに対する広範なレバレッジに変わるのを防いでいることを証明する必要がある。厳格な措置が、ルーティングセキュリティを保護するのであって、機関の裁量を拡大するのではないことを示す必要がある。責任が結果に完全には追随できない場合、視認性と制約が代替物となる。
測定はトラスト層を明らかにすべきである
RPKI の測定は、しばしば採用から始まる。すなわち、何組織がサインアップしたか、いくつのプレフィックスが ROA を持っているか、いくつの経路が検証されるか、いくつの無効が存在するか、いくつのユーザーがホスティングサービスを選び、いくつが委任型の取り決めを利用しているか、といったことだ。これらの数字は有用だが、十分ではない。採用はどれだけの依存が存在するかを測定する。ガバナンス測定は、その依存が安全かどうかを示すべきである。
ARIN のサービス進化がその点を示している。ARIN Online における ROA 変更ログや、テスト環境での ASPA サポートといった、公に説明された改善は意味のある発展である。変更ログは保持者が自らの認証に何が起こったかを確認するのに役立つ。ASPA の作業は、より広いルーティングセキュリティ自動化を指し示す。しかし、各改善はまた、監査可能性の必要性を高める。もしルーティングセキュリティサービスがより豊富で、より自動化され、レジストリアカウントとより統合されるなら、それらのサービスを取り巻くガバナンスはより可視的にならなければならない。
第一の測定カテゴリーは、依存構造であるべきだ。ARIN RPKI ユーザーのうち、どれだけの割合がホスティングサービスに依存しているか。どれだけの割合が委任サービスを利用しているか。その割合は、保持者の規模、リソースタイプ、レガシーステータス、サービスプランカテゴリーによってどのように異なるか。どれだけのレガシー保持者が、リソースが契約対象でないために ARIN RPKI から除外されているか。どれだけが後に、主にルーティングセキュリティサービスにアクセスするために契約の枠組みに入るか。これらは、集約して報告されるならば、私的な秘密ではない。それらは、セキュリティ採用が制度的依存を拡大しているのか、それとも集中させているのかを市場に伝える。
第二のカテゴリーは、継続性であるべきだ。RPKI サービスの可用性はどの程度か。公開事象はどれほどの頻度で発生するか。手動介入が必要な場合の ROA 作成、修正、削除サポートの中央値と裾野の時間はどの程度か。移管関連の ROA 変更が、移転元の権限、受取人のアクセス、契約の履行、またはアカウント回復が未解決であるために遅延するのはどれほどの頻度か。保持者が移行ウィンドウの前に緊急サポートを要求するのはどれほどの頻度か。サービス可用性だけでは不十分である、もしサポート遅延が真の継続性コストであるならば。
第三のカテゴリーは、失効と制限であるべきだ。リソース返却、完了した移管、アカウント侵害、誤った公開、偽の権限の疑い、法的制約、不払い関連のサービス問題、技術的エラー、またはその他のカテゴリーに分類して、年間にどれだけの証明書に影響する行為が発生するか。いくつが緊急か。いくつが後に元に戻されるか修正されるか。どれだけが事前通知を受けるか。いくつが事後の再検討を必要とするか。一般の人々は、厳格な行為が稀で、よく分類され、再検討可能かどうかを知るために、名前やプレフィックスを必要としない。
第四のカテゴリーは、移管とリースの現実味であるべきだ。移管は、完了件数だけでなく、セキュリティ状態の引き継ぎによっても測定されるべきである。移管後も移転元の ROA が残っているのはどれほどの頻度か。受取人が定義された期間内に新しい ROA を作成するのはどれほどの頻度か。ルーティングレジストリエントリと逆引き DNS が遅れるのはどれほどの頻度か。購入者が最大長値に関するガイダンスを要求するのはどれほどの頻度か。レガシーステータスがセキュリティサービスアクセスを複雑にするのはどれほどの頻度か。このような指標は、購入者、売り手、ブローカーが RPKI を後付けではなく決済構成要素として扱うのを助けるであろう。
第五のカテゴリーは、事象からの学習であるべきだ。成熟したレジストリは、悪用可能な詳細を露出させることなく、RPKI サポート事象からの集約された教訓を公開すべきである。故障は技術的か、権限関連か、文書化関連か、サービス境界関連か、それともユーザーエラー関連だったのか。事象後に何が変わったのか。ARIN は、アカウントロール、通知、検証警告、移管リマインダー、変更ログ、サポートエスカレーション、またはメンバー教育を改善したか。機関が、ニアミスが停止になる前にそれから学べることを示せば、信頼は成長する。
測定はガバナンスの目的を持つ。それは、セキュリティのレトリックが機関のレバレッジを隠すのを防ぐ。数字が、ホスティングサービスが信頼でき、失効が稀で理由があり、移管引き継ぎが迅速で、レガシー障壁が理解され、事象が訂正されることを示せば、ARIN の権威はより信頼できるものになる。もし数字が欠けているなら、取引相手は逸話、プライベートブローカー、顧客事象から推測しなければならない。ネットワークに暗号的事実に依拠するよう求めるセキュリティサービスは、市場に制度上の神秘に依拠するよう求めるべきではない。
移植性はセキュリティのロックインに対する保護策である
RPKI 採用は、一つの運用モデルへの永続的な依存を要求すべきではない。ホスティング型 RPKI から始めた保持者は、後に委任運用へと成熟し得る。ネットワークを取得した企業は、証明書運用を統合したいかもしれない。クラウドまたは通信事業者グループは、異なる事業単位に対して異なる管理を必要とするかもしれない。大学は運用をアウトソースし、後にそれを戻すかもしれない。移管受取人は、売り手のセキュリティ状態からのクリーンな決別を望むかもしれない。いずれの場合も、移植性が、RPKI がセキュリティ改善なのかロックイン装置なのかを決定する。
移植性には三つの部分がある。第一は情報である。保持者は、プレフィックス、現在の ROA、認証された ASN、最大長設定、公開ステータス、アカウントロール、および関連するサービス条件の完全な一覧を必要とする。もし保持者が自分が何に依存しているかを見ることができなければ、安全に移行できない。第二は手続きである。保持者は、ホスティングモデルと委任モデルの間で移行し、アカウントロールを変更し、鍵を交換し、ROA 変更を段階的に進め、エラー後にサービスを復旧するための明確な手順を必要とする。第三は制度的である。レジストリは、移行を、無関係な条件を課したり、定義されたセキュリティ要件を満たした保持者を遅延させたりする機会として利用してはならない。
これは、大規模な保持者と同様に小規模な保持者にとっても重要である。小規模 ISP は決して委任型 RPKI を運用しないかもしれないが、ホスティング利用が罠でないことを知ることから利益を得る。ホスティング事業者は、スタッフが限られているためにホスティングサービスから始め、顧客のルーティング要件が成熟した後に、より直接的な管理を必要とするかもしれない。公共セクターネットワークは、単純さのためにホスティングサービスを望むが、請求またはアカウント維持の問題が、ライブルートオリジンの公開を予期せず乱すことがないという厳格な保証を要求するかもしれない。移植性は、ほとんどの保持者がそれを行使しなくても、レジストリを規律する。
移管の移植性はより要求が厳しい。購入者は、認識直後にクリーンな RPKI 態勢を確立できるか、売り手の古い ROA を安全に削除できるか、顧客の切り替えが無効状態なしに段階的に行えるか、委任された取り決めを受け入れるか置き換えることができるかを知るべきである。答えが、目に見えるルールではなく、その場限りのサポート判断に依存するならば、購入者はその不確実性を取引に価格付けする。もし答えが予測可能ならば、ルートオリジンセキュリティは、決済のハザードではなく、資産の特徴となる。
移植性はまた、ARIN を保護する。明確な移行をサポートするレジストリは、ホスティングの支配が、制度上のロックインではなくユーザーの利便性を反映していることを示せる。セキュリティサービスアクセスが契約依存を拡大するために使用されているという疑念を招くことなく、採用を奨励できる。厳格な認証と広範なレバレッジを区別できる。保持者が、合法的で、正確かつ安全な認証を維持するための実行可能な経路を有していたので、失効が必要な時にそれを擁護することができる。
テストは、能力があり協力的な保持者が、継続性を失ったり、無関係の権利を放棄したり、個人的介入に依存したりすることなく、RPKI 運用モデルを変更できるかどうかである。そうであれば、信頼サービスは基盤のように振る舞う。そうでなければ、すべての採用統計は、公表されていない第二の数字を内包している。すなわち、そのルートオリジンセキュリティがレジストリの裁量にロックインされている市場の割合である。
建設的な ROA 継続性テスト
実際的なガバナンステストは、事業者が始める場所から始めるべきである。すなわち、ルートオリジン表明は通常のビジネス変更を通じて安全に維持され得るか、ということだ。第一の問いは、誰が証明書関係を制御するかである。リソースはホスティング型 RPKI、委任型 RPKI の下にあるか、それとも ARIN RPKI サービスがないか。どのアカウントロールが ROA を作成、変更、削除できるか。そのロールは請求、投票、法的代表、一般的なアカウント管理から分離されているか。技術的権限は、他のあらゆる形態の制度的権限と偶発的にバンドルされるべきではない。
第二の問いは、どの記録が ROA を支えるかである。リソースは現在の保持者に登録されているか。連絡先は最新で検証済みか。契約範囲が必要で存在するか。レガシー境界はあるか。紛争マーカー、法的制約、保留中の移管、またはアカウント回復問題はあるか。RPKI は、未解決の同一性問題を書類で糊塗するのではなく、検証されたリソース権限を表現すべきである。
第三の問いは、移管中に何が起こるかである。どの既存 ROA が削除、保持、または修正されなければならないか。最大長再検討の責任者は誰か。受取人はいつサービスアクセスを得るか。移転元は古い認証を整理する権限を持っているか。エスクローは ROA の引き渡しに依存するか。購入者の顧客移行は、特定の日付までに検証状態に依存するか。移管クロージングは、ルートオリジンチェックリストを含むべきである。なぜなら、ルートオリジン継続性は展開可能性の一部だからである。
第四の問いは、リースまたは顧客委任の間に何が起こるかである。認識された保持者は、登録の移管を暗示することなく、レッシーの ASN を認証できるか。どのような契約上の義務が、タイムリーな ROA 更新を強制するか。リースが終了、更新、債務不履行、または争われた場合に何が起こるか。定義された治癒期間中に下流の顧客は保護され得るか。レジストリはあらゆる商業的条件を承認する必要はないが、セキュリティサービスは、各リースをポリシー裁判に変えることなく、合法的な運用認証を表現できるべきである。
第五の問いは、厳格な措置の前にどのような再検討が存在するかである。ROA が削除されようとしている、公開が制約されようとしている、ホスティングアクセスが一時停止されようとしている、または証明書関係が変更されようとしている場合、どの理由カテゴリーが適用されるか。通知はあるか。緊急例外はあるか。高い影響を持つケースに対する独立した、または上級者による再検討はあるか。保持者は、ネットワーク運用に十分な速さで、その措置に異議を申し立てることができるか。運用時間内に再検討できないルートオリジン制御は、安全な信頼サービスではない。
第六の問いは、誤りがどのように隔離されるかである。一つのプレフィックスが争われている場合、無関係のプレフィックスは安定したままか。アカウントが侵害されている場合、公的な誇張なしに変更がロックされるか。請求問題が存在する場合、ルールが許す場所でライブルートオリジン表明は保持されるか。移管が一時停止されている場合、最後に検証された安全状態は維持されるか。レジストリは、一つのファイルの不確実性をポートフォリオ全体の影に変えることを避けるべきである。
第七の問いは、保持者が依存を移植できるかである。能力ある保持者は、明確な条件の下でホスティングサービスから委任サービスに移行できるか。委任事業者は、内部システムが故障した場合に回復できるか。移管受取人は、回避可能な遅延なしに、クリーンな新しいサービス関係を確立できるか。レガシー保持者は、無関係な義務の不必要な拡大なしに、狭いセキュリティ関係に入ることができるか。移植性は、採用がロックインになるリスクを低減する。
第八の問いは、誰が停止または検証の不確実性を負うかである。ARIN の措置が必要な場合、アカウントの外で影響を受ける可能性が高いのは誰か。顧客、レッサー、レッシー、上流プロバイダ、ルートサーバ、融資者、取得者、公共サービスか。プライベートデータを明かさずに、コミュニケーションが害を減らせるか。決定記録は、なぜその措置が裁量を拡大するのではなく、ルーティングを保護するのかを示せるか。
第九の問いは、どのような独立した証拠が、その措置がセキュリティ関連であることを証明するかである。証拠は、アカウント侵害、偽の権限、完了した移管、リソース返却、法的制約、重複認証、技術的故障、または明確なサービス条件であり得る。一般的な機関の懸念では十分ではない。レジストリが RPKI 措置を、定義されたセキュリティ、権限、または法的根拠に結びつけられないならば、その措置はガバナンスレバーになるリスクを冒す。
このテストは、ARIN を受動的にするものではない。それは、強い措置をより信頼できるものにする。偽の ROA は、その権限が偽であるために削除される。侵害されたアカウントは、そのアカウントが侵害されているためにロックされる。移管されたリソースは、認識された保持者が変わったために再認証される。争われたケースは、紛争が分類されている間、最後に検証された安全状態で保持される。各結果は、漠然としたレジストリ権限の主張ではなく、信頼サービスを指し示すだろう。
経路はゲートキーパーよりも安全であるべきだ
RPKI は、事業者、顧客、セキュリティチームがルートオリジン検証を常態化するにつれて、一層重要になる。それは、ガバナンスアーキテクチャが十分に強靭ならば、良い発展である。インターネットは、偶発的なリークや敵対的な発信元主張に対するより良い保護を必要としている。顧客は、プロバイダに信頼できるルーティングセキュリティ態勢を求めることができるべきである。購入者は、クリーンなルートオリジン引き継ぎを伴ってアドレス取引を完了できるべきである。レッサーとレッシーは、商業的な認証を、信頼できるルーティング証拠に変換できるべきである。レガシー保持者は、セキュリティ採用があらゆる歴史的期待を書き換えると感じることなく、セキュリティを改善できるべきである。
条件は、経路がより安全になるべきだが、制約のないゲートキーパーにより依存するべきではない、ということである。ARIN の RPKI の役割は、それが狭い時に最も強い。すなわち、リソース権限の検証、アカウントの安全確保、信頼できるホスティング型および委任型の選択肢の提供、公開の維持、移管引き継ぎのサポート、定義された根拠の下での偽または安全でない資料の失効、集約されたパフォーマンスの公開、厳格な措置に対する再検討の提供、である。認証アクセスが、広範な契約レバレッジ、不透明なサービス境界、測定されていない遅延、または合法的な商業利用に対する裁量的判断と絡み合うとき、それは最も弱い。
北米の状況は、この問題を過小評価しやすくする。ARIN は、RIR システムにおける劇的な危機のケースではない。その整然さは本物である。その文書化されたプロセス、サービス改善、メンバー構造、移管ガイダンスは、この地域が IPv4 経済の中心部分であり続ける理由を説明するのに役立つ。しかし、秩序はガバナンスリスクを排除しない。それはリスクをより静かにし得る。成熟したレジストリは、どのサービスがどの契約を必要とするか、アカウント権限がどれほど迅速に回復されるか、移管が ROA をどう扱うか、失効カテゴリーがどのように書かれるか、そしてどれだけの RPKI 依存がレジストリシステム内にホスティングされたままかを定義することによって、依然として行動を形成し得る。
その静かな力は、悪条件で試される前に制約されるべきである。より良いモデルは、RPKI を裁量的なアドオンとしてではなく、重要な信頼基盤として扱う。安全性が許す通常の紛争の間、既存の有効なルートオリジン公開は保持されるべきである。厳格な変更は分類され、再検討されるべきである。移管決済はルートオリジン継続性を含むべきである。レガシーサービス境界は、サービス固有の言葉で説明されるべきである。ホスティングの支配は、強力なサービス指標によって見合うものとされるべきである。委任オプションは、能力ある保持者にとって現実的なままでなければならない。責任制限は、透明性と比例性によって相殺されるべきである。
取引相手は、その答えを価格付けするであろう。移管、リース、移行、アカウント変更を通じてルートオリジン権限が安定しているブロックは、そのセキュリティ状態が曖昧なレジストリ裁量に依存するブロックよりも価値がある。ROA 継続性を示せるプロバイダは、より少ない顧客の質問に直面するであろう。RPKI 引き継ぎを段階的に行える購入者は、エスクローと移行リスクを低減するであろう。サービス依存関係を理解する融資者は、アドレスに裏付けられた収益をより正確に価格付けできる。意味のある RPKI ガバナンスデータを公開するレジストリは、自身の信頼チェーンを取り巻く隠れたリスクプレミアムを引き下げるであろう。
最後の問いは、ROA 継続性の問いである。事業者は、ARIN に希少なネットワーク識別子に対する新たな裁量的スイッチを渡すことなく、セキュリティ基盤として RPKI に依存できるか。答えがイエスならば、RPKI はそれが約束するものになる。すなわち、発信元の主張を検証されたリソース権限に結びつけることで、ルーティングをより安全にする方法である。答えがノーならば、採用は依然として続くかもしれないが、すべての有効な経路はその背後に第二の問いを伴う。すなわち、ASN が認証されているかどうかだけでなく、その認証の背後にある機関が、信頼されるに足るほど制約されているかどうか、という問いである。
ネットワークに自らの証明書を信頼してほしいレジストリは、そのテストを歓迎すべきである。暗号は表明を認証できる。規律あるガバナンスのみが、その表明の背後にある権限を、依拠しても安全なものにすることができる。