要約

  • 2010年4月8日に BGPMon が観測した AS23724 と AS4134 を含む経路事象では、AS23724 が通常の規模を大きく超える約37,000の一意なプレフィックスを約15分間アナウンスしたとされる。ただし、BGPMon 自身が後に明確にした通り、プレフィックス比率はトラフィック比率ではなく、この数字から世界のインターネット通信量の一定割合が迂回したとは言えない。
  • 責任の焦点は、悪意の断定ではなく、AS23724 の輸出、AS4134 の輸入とその後の広告境界、プレフィックス認可、関係性を踏まえたフィルタ、外部からの伝播測定、RPKI で防げる範囲と防げない範囲、そして独立した観測点による撤回確認を、どこまで反証可能な運用記録として残せるかにある。

2010年4月8日の事象は、BGP の制御プレーンにおける異常なアナウンスとして扱うべきであり、データプレーン上でどのパケットがどこを通ったか、誰が何を見たか、あるいはどれだけの利用者影響が発生したかを、そのまま証明するものではない。BGPMon の初期報告では、AS23724 が非常に大きなプレフィックス集合を発信し、その観測された共通パスに AS4134 と AS23724 が含まれていた。最初の異常アナウンスの観測時刻は2010年4月8日17時54分31秒 UTC、最後の観測時刻は18時10分14秒 UTC とされている。この約15分という範囲は、BGPMon のコレクタが見た制御プレーン上の窓であって、世界中のすべてのルータで同時に始まり、同時に終わったことを意味しない。

AS23724 は、公的な経路記録では China Telecom のデータセンター系ネットワークとして識別される AS であり、通常はおよそ40プレフィックスを発信していたと BGPMon は説明している。その AS が約37,000の一意なプレフィックスをアナウンスしたという点が、この事象の中心的な異常信号である。重要なのは、この異常が「プレフィックス数」の異常であることだ。BGP においてプレフィックスは到達性の単位であり、制御プレーンの可視性、経路選択、ポリシー適用、広告の有無を議論するための単位である。プレフィックス数が大きいからといって、そのまま通信量が同じ比率で流れたことにはならない。大きなプレフィックスと小さなプレフィックスでは実際の通信量が異なる。あるプレフィックスが経路表に存在しても、その瞬間に有意な通信が存在しない場合もある。したがって、BGPMon が後に述べた通り、約37,000プレフィックスが当時の経路表の約11%に相当するという説明は、トラフィックの約11%が移動したという意味ではない。

この区別は、当時広がった「インターネットの10%が乗っ取られた」という見出しを評価するうえで不可欠である。BGPMon は、異常にアナウンスされたプレフィックスのうち、中国国外の観測点へ伝播したものは約10%だったと説明している。また、分析に使った RIPE RIS コレクタの28%が、この事象の一部を検出したとも述べている。ここでの約10%は外部へ伝播したプレフィックス集合に関する観測であり、全世界の通信量、利用者セッション、アプリケーションデータ、あるいはパケット転送量の比率ではない。外部伝播が限定的だったことは、この事象を軽視する理由にはならないが、数字の読み方を狭く保つ理由にはなる。

制御プレーン上で確認できることは、AS23724 が本来割り当てられていない多数のプレフィックスを発信したこと、その観測パスに AS4134 が含まれ、AS4134 のピアが異常集合の少なくとも一部をさらに伝播したこと、そしてその伝播が一部の外部観測点で見えたことである。確認できないことも同じくらい重要だ。公開された証拠だけでは、AS23724 または AS4134 を実際に通過したパケット量、特定のプレフィックスごとのデータプレーン経路、パケット内容の閲覧、保存、改変、悪意ある意図、あるいは単一の世界的な迂回経路を証明できない。BGPMon の著者は、設定ミスの可能性がより高いと考えたが、それは当該ネットワークの技術者に確認した結論ではなく、明示的に推測として扱われている。後の整理でも、意図と、もしリダイレクトされたデータがあったとして何が起きたかは不明のままだとされている。

このため、この記事では「route leak」「hijack」「misconfiguration」という語を、事実の範囲を分けて使う。route leak は、ある AS が本来の関係性やポリシーに反する経路を外部に広告し、その経路が別の AS へ伝播する現象として扱う。hijack は、権限のない AS がプレフィックス到達性を発信し、第三者の経路選択に影響を与えうる状態を指す場合に限って使う。misconfiguration は、意図ではなく運用上の誤設定を示す仮説として扱う。この事象では、AS23724 による大規模な起点アナウンスと、AS4134 を含む経路での外部伝播は議論できる。しかし、悪意やデータ閲覧を断定することは、証拠の境界を越える。

時系列を実務上の責任境界として読むと、最初の点は AS23724 の輸出である。AS23724 は、約37,000プレフィックスを自 AS の起点としてアナウンスした観測対象であり、その出口ポリシー、許可されたプレフィックス集合、学習済み経路やフルテーブルを誤って外部に出さない制御、最大プレフィックス閾値、設定変更の検証手順が問われる。通常およそ40プレフィックスを発信するネットワークが約37,000プレフィックスを発信する状態は、単なる細かな差分ではなく、輸出側で認可集合が破綻したか、学習経路が誤って起点化または広告された可能性を疑うべき規模である。

第二の点は AS4134 の輸入境界である。観測された共通パスに AS4134 と AS23724 が含まれていた以上、AS4134 は最初に見える大規模な受け側境界として扱われる。AS4134 がどの商業関係で AS23724 から経路を受け、どのポリシーで選択し、どの隣接ネットワークへ広告したかは、公開された観測だけでは完全には分からない。それでも、責任ある運用の観点では、直接隣接する AS から通常規模を桁違いに超えるプレフィックス集合を受けた場合、明示的なインポートポリシー、顧客プレフィックスフィルタ、関係性を踏まえた伝播制限、最大プレフィックス警告とハード停止、例外の期限管理が存在したかを確認しなければならない。AS4134 の役割は、AS23724 の誤広告を発生させた主体であるという意味ではなく、その誤広告を受け入れ、選択し、さらに外へ出すかどうかを決める境界であるという意味で重要である。

第三の点は、AS4134 の先にいたピアやトランジットネットワークの境界である。BGP は分散したポリシーの連鎖であり、ある AS が受け取った経路を必ず同じように外へ流すわけではない。隣接関係が顧客、ピア、上流のどれであるか、ローカルプリファレンス、AS パス長、経路フィルタ、RPKI origin validation の扱い、最大プレフィックス制限、コミュニティの解釈、運用例外によって、経路の採用と広告は変わる。BGPMon が、異常集合の約10%だけが中国国外へ伝播したと説明したことは、この分散境界の存在を示している。すべての経路が一様に外へ出たわけではなく、一部の外部観測点で一部の異常が見えた、というのが証拠の正確な読み方である。

第四の点は、観測者の境界である。BGPMon、RIPE RIS、その他の経路コレクタは、ルーティング更新を保存し、異常な起点、異常なプレフィックス量、AS パス、伝播範囲の一部を可視化する。だが、コレクタは世界中の全ルータではない。あるコレクタで見えなかったから存在しなかったとは言えないし、あるコレクタで見えたからすべての利用者に影響したとも言えない。コレクタは証拠を保持するが、本番の転送面そのものではない。BGPMon の観測時刻は、異常を見た時刻であり、すべてのネットワークでの開始時刻、撤回時刻、収束時刻を直接代表するものではない。したがって、異なる報告で影響プレフィックス数や経路数が異なる場合、観測点、時間窓、重複排除の方法、プレフィックスとルートの定義、デアグリゲーションの扱いを見なければならない。

この観測限界は、責任を曖昧にするためのものではない。むしろ、責任の単位を正確にするために必要である。AS23724 には、何を起点として外へ出してよいかを限定する責任がある。AS4134 には、隣接 AS から入ってくる経路を関係性と認可情報に照らして選別し、異常を外へ流さない責任がある。さらに外側のネットワークには、自らの受け入れ、選好、フィルタ、再広告を管理する責任がある。プレフィックス保有者には、ROA や IRR などの認可情報を可能な範囲で正確に保ち、外部監視と連絡経路を持つ責任がある。ただし、プレフィックス保有者は他 AS のルータフィルタを直接操作できない。エンドユーザーにも BGP 状態を直接制御する手段はない。この非対称性を認めたうえで、誰がどの境界で何を防げたかを問う必要がある。

プレフィックス認可は、この事象の中心的な防御層である。ある AS がどのプレフィックスを起点として広告してよいかは、レジストリ、IRR、RPKI ROA などの記録によって表現できる。しかし、記録は経路を自動的に止めるものではない。実際に止めるのは、ルータ上で動く受け入れポリシー、生成されたフィルタ、最大プレフィックス制御、例外管理、そして異常検知後の運用判断である。記録が正確でも、ルータがそれを参照しなければ制御にはならない。逆に、ルータ上の手作業フィルタが古くなれば、正確な記録があっても効果が薄れる。2010年の事象が今も重要なのは、記録と実行中のポリシーの差を、外部観測で突き付けたからである。

RPKI origin validation は、この問題の一部に有効である。正しい ROA が存在し、受け側ネットワークが無効な起点を拒否するポリシーを実行していれば、権限のない AS があるプレフィックスを起点として広告した場合に拒否できる可能性がある。しかし、RPKI は万能ではない。origin validation は主に「この起点 AS はこのプレフィックスを発信してよいか」を見る仕組みであり、AS パス全体の商業関係や、顧客経路がピアへ漏れたかどうか、あるいは正しい起点を含む別種のリークをすべて防ぐものではない。起点が有効でも、経路が本来流れるべきでない関係を横断する場合がある。そのため、RPKI はプレフィックス認可の重要な層であっても、関係性を踏まえたフィルタや BGP Roles のような漏えい防止の層を置き換えない。

関係性を踏まえた制御は、AS4134 のような受け側および再広告境界で特に重要である。顧客から受けるべきプレフィックス集合、ピアから受けた経路をどこへ再広告してよいか、上流から受けた経路をどの関係へ出してよいかは、単純な起点認可とは別の問題である。BGP Roles やリーク防止ポリシーは、この関係性の誤りを抑えるための考え方であり、単に AS パスに特定の番号が見えるかどうかだけではなく、経路がどの関係から入り、どの関係へ出ていくかを制御する。2010年の事象では、AS23724 の輸出だけでなく、AS4134 の輸入とその後の広告が責任分析の中心に入る。ある AS が間違った経路を出しても、隣接 AS が関係性と認可範囲に基づいて止めれば、外部伝播は抑えられる。反対に、直接隣接する大きなネットワークが受け入れて再広告すれば、局所的な誤りは広域の制御プレーン事象になる。

最大プレフィックス制御は、約37,000という数字に対して最も直感的な防御である。通常およそ40プレフィックスを発信する相手から、桁違いの数の経路が突然入ってきた場合、警告、セッション保護、段階的停止、手動確認、例外承認が動くべきである。ただし、最大プレフィックスも万能ではない。閾値が高すぎれば検知しない。閾値が低すぎれば正当なデアグリゲーションや緊急時の経路変更を壊す。顧客、ピア、上流、地域、プレフィックス保有者、運用例外ごとに閾値を管理しなければならない。責任ある制御は、単に「最大プレフィックスを設定した」と言うことではなく、根拠あるベースライン、警告閾値、遮断閾値、例外の期限、変更承認、実際に発火した場合の記録を持つことである。

独立した撤回確認も、見落とされがちな責任境界である。異常経路を止めたと内部で判断しても、外部の経路コレクタやアクティブ測定で通常状態に戻ったことを確認しなければ、回復の証拠としては弱い。BGPMon の観測では、最後の異常アナウンスは18時10分14秒 UTC とされているが、これは観測点での最後の記録であり、全隣接ネットワークでの完全収束を意味するものではない。検証可能な回復記録には、異常輸出がいつ始まったか、どの隣接ネットワークがいつ受け入れたか、誰にアラートが届いたか、どの設定を変更したか、撤回がいつ送られたか、どの独立観測点でいつ期待状態へ戻ったかが必要である。撤回確認は、内部チケットの終了ではなく、外部から反証可能な収束記録でなければならない。

この事象を現在の制御スタックで読み直すと、単一の対策で閉じる問題ではないことが分かる。IRR やレジストリ記録は、認可の台帳として有用である。RPKI ROA は、起点検証の材料として重要である。RFC で整理されたフィルタリング慣行、外部セッションのデフォルト拒否、明示的なインポートとエクスポートのポリシー、BGP Roles、AS 関係性に応じたリーク防止、異常検知、最大プレフィックス、設定生成、差分レビュー、段階的適用、撤回後の観測確認は、それぞれ異なる失敗クラスに効く。2010年の AS23724-AS4134 事象が問うているのは、これらの層のどれか一つを採用していたかではなく、異常なプレフィックス集合がどの境界を越え、どの境界で止まり、どの証拠で止まったと言えるかである。

責任分析の結論は、過去の非難ではなく、現在の反証可能性に置くべきである。もし AS23724 または AS4134 の当時のルータログが、開始操作、設定差分、意図、撤回操作を明らかにすれば、原因評価は変わりうる。もし同時期のデータプレーン測定が、特定プレフィックスで実際にどの程度の転送が起きたかを示せば、影響評価は狭くも広くもなる。もし現在の設定 SHA、生成済みフィルタ、実行中ポリシー、RPKI 検証結果、関係性制御、リプレイ試験が、同じ無認可経路集合が AS23724-AS4134 境界を越えられないことを示せば、再発リスクの評価は変わる。逆に、そうした証拠がなければ、「もう同じことは起きない」という主張は運用上の願望に近い。