要約

  • 9月20日の個人Internet-Draftは、ROAにRegionIdentifierを加え、ルーターが算出した受信地域と照合する仕組みを提案する。
  • 不一致は調査に値する。しかしRIR、国、ピアリング地点、geofeed、経路許可を同じ事実にはできない。

現在のROAは、アドレス空間の保有者が特定ASにプレフィックスのoriginを許したことを示す。draft-geng-sidrops-regionalized-roa-00は、正しいAS番号を使った別地域の不正広告がROVではValidになり得ると指摘し、二段目のR-ROVでRegionMismatchを返そうとする。

Datatracker上ではWG採択もIETFの承認もない個人草案である。ここで評価できるのは提案の構造であり、標準化や配備の成果ではない。

一つのフィールドに三つの地図

草案はRIRコード、ISO国コード、UN M49地域コードを同じ選択肢に置く。RIRは資源登録と証明書チェーンの管理区分である。RFC 7020は、複数地域で活動し複数RIRと関係を持つLIRも記す。国コードは法域、M49は統計区分だ。いずれも経路が入ってよい地点を自動的には表さない。

保有者が運用範囲を宣言することは可能だ。署名はその宣言者を確認できる。ただしanycast、リモートピアリング、国際transit、災害復旧を考えれば、証明書の地域と合法な受信地点は一致しない場合がある。

受信地域も作られた記録である

Region_Ctxはpeer設定、BGP Community、トポロジーやtelemetryから得る。インターフェースのラベルは移設後も残り得る。RFC 8092のLarge Communityは不透明な運用情報であり、地理測定ではない。物理IXとリモート市場も別である。

草案自身が設定ミスや偽装による誤検知を認めている。したがって、署名地域、語彙、変換規則、入口、UPDATE、AS-PATH、ローカル処置、代替経路、到達結果を別々に保存すべきだ。不一致が証明するのは二記録の差であり、ハイジャックの確定ではない。

署名geofeedは現地調査ではない

Out-of-band案はdelegated statsと地理情報から表を合成する。RFC 9632のRPKI署名は、アドレス範囲に権限を持つ鍵がgeofeedを署名したことを確認する。同RFCは別資料との照合も勧める。署名は出所を守るが、各行の物理的位置を測らない。

合成表はローカルポリシーとして、出所、期限、撤回経路を持つ必要がある。誤った位置情報で正当な経路を落としたとき、世界の証明書更新を待たず戻せなければならない。

互換性はまだ試験項目

草案は新しいRTR PDUまたは既存PDUの拡張を挙げ、旧機器が無視するとする。一方RFC 8210はversionを交渉し、未知のPDU typeをfatal errorとする。version 00には交渉、downgrade、混在cacheの詳細がまだない。「完全互換」は実装試験で確かめる目標だ。

最後の判断を受信側に残す

草案はhard drop、LOCAL_PREF低下、alarmをローカルポリシーに委ねる。この限定は重要である。最初は追跡可能なalarmから始め、anycast、remote peering、failover、設定ミスと実際の不正を分類すべきだ。dropは不一致状態そのものではなく、別の可逆な決定でなければならない。

Originだけでは見えない問題を示した点に提案の価値がある。次に必要なのは、場所を暗号学的事実に見せることではない。誰がどの地域を宣言し、いつ失効し、誤りを誰が直し、実ネットワークで何が改善したかを証明することだ。

出典