Cloudflare のルートリーク対応は、検証可能な修復を安心感よりも重要にした

要約

• 2019年6月、小規模ネットワーク、ルート最適化ツール、そして Verizon が関与した BGP ルートリークにより、Cloudflare および他のサービスの到達性が妨げられた。Cloudflare の公式な対応は、自社の直接的なネットワークの外側におけるルーティングセキュリティの失敗を正しく強調した。
• 新たな視点は、安心感に対する検証可能な修復である。ルートリークの後、プロバイダーの顧客が必要とするのは、自信に満ちた説明だけではなく、経路起点の権限、上流フィルタリング、検証、および監視が改善されたという証拠である。
• Cloudflare は公的記録上、元のリーク発生源ではなかったが、自らの経路権限、RPKI の提唱、顧客コミュニケーション、監視、トランジット圧力、そして残留リスクの公共的な説明について、実際的な制御を持っていた。
• Verizon とリークネットワークは、高レバレッジの伝播点を制御していた。したがって、説明責任マップは、インターネットを顔のない事故として扱うのではなく、発信元、増幅者、影響を受けたプロバイダー、検証ネットワーク、および顧客を分離する。
• 永続的な教訓は、ルーティングインシデントは測定可能な成果物を残すべきであるということだ。すなわち、ROA、無効な経路の拒否、フィルターの変更、ピア要件、公開経路データ、インシデントタイムライン、そしてプロバイダーの行動だけでは何が安全にでき、何ができないかについての顧客ガイダンスである。

証拠記録とその使用方法

本記事では、Cloudflare の公開インシデント分析を一次被影響プロバイダーの報告として、ルーティングセキュリティの文脈では外部のルーティングおよび業界情報源を、そして現在の BGP、RPKI、ルートリーク制御については RFC や政府ガイダンスを用いている。後の基準は、検証可能な修復を枠組みとして用いるために使用されており、2019年の参加者すべてに対する遡及的な法的義務としてではない。

安心感は修復ではない

ルートリークは、予測可能な公開コミュニケーション問題を生み出す。影響を受けたプロバイダーは、停止が自らの直接的な制御の外側で発生したことを顧客に安心させようとする。それは事実かもしれない。2019年6月、Cloudflare の公開分析は、Verizon と、より小規模なネットワークが使用していたルート最適化ツールが関与する経路伝播の挙動を特定した。Cloudflare は影響を受けたプロバイダーであり、不正なルーティング情報の元の発生源ではなかった。しかし、顧客が購入するのは責任の所在だけではない。到達可能なサービスを購入しているのだ。ルーティングインシデントの後には、安心感は修復の証拠とならなければならない。

修復の証拠は、安心感では答えられない問いに答える。影響を受けたプロバイダーは、自社のプレフィックスに対して正確な経路起点認可を公開したか？そのトランジットプロバイダーは無効な、または認可されていない経路を拒否するか？プロバイダー自身は、他者からの無効な経路を拒否しているか？ルーティングの衛生状態に基づいてピアに圧力をかけたり、選別したりしているか？顧客は、公開ルーティングデータが事後分析を裏付けるかどうかを確認できるか？プロバイダーは、自らの制御の及ばない残留リスクを開示しているか？イベント後にどの制御が変更されたか？

Cloudflare の対応が興味深いのは、同社がすでに自らをルーティングセキュリティの提唱者として位置づけていたからだ。RPKI の説明を公開し、経路フィルタリングと検証の必要性に注意を喚起した。その提唱は価値がある。説明責任の問いは、それをどう検証可能にするかである。プロバイダーは、ルーティングシステムの改善が必要だと言うことができる。顧客が知る必要があるのは、プロバイダー自身が何をしたかである。すなわち、ROA、検証ポリシー、トランジット要件、監視、顧客コミュニケーション、そしてインシデント訓練である。

この区別は些細ではない。インターネットルーティングは、多くの私的な関係を持つ信頼システムである。顧客はすべてのトランジットフィルターやピアポリシーを検査することはできない。したがって、公開証拠が不可欠である。経路コレクター、RPKI リポジトリ、MANRS 参加、インシデントタイムライン、プロバイダーの声明はすべて、直接検査の代替となる。公開証拠が強固であればあるほど、顧客はブランドの信頼に依存する必要が少なくなる。

安心感にはまた、賞味期限がある。インシデント直後には、顧客を落ち着かせるかもしれない。数ヶ月後、重要な問いは、相互接続の脆弱性が小さくなったかどうかである。ブログ記事だけを残したルートリークは、測定可能な検証、より良いフィルター、そして公開の説明責任圧力を残したリークよりも、インターネットに教えるところが少ない。表題の教訓は、修復は検査可能でなければならないということだ。

リークには発信元、増幅者、被害者の役割があった

ルーティングインシデントは、あたかもインターネットが全般的に故障したかのように記述されることが多い。その言い方は説明責任にとっては曖昧すぎる。有用なルートリークマップは役割を分離する。あるネットワークが問題のある経路情報を漏洩または生成した。より広範なリーチを持つ別のネットワークがそれを受信し、伝播させた。Cloudflare のような影響を受けたプロバイダーは、トラフィックが迂回されたり、到達性が損なわれたりした。他のネットワークは、その経路を受信、拒否、または観測した。顧客は、それらのルーティング決定のいずれも制御しないまま、サービス障害を経験した。

この役割マップは二つの誤りを防ぐ。第一の誤りは、あらゆる到達性障害について影響を受けたプロバイダーを責めることである。Cloudflare は Verizon の経路受信や、小規模ネットワークのルート最適化ツールを制御していなかった。第二の誤りは、リークが他から発生したという理由で、影響を受けたプロバイダーを完全に免責することである。Cloudflare は依然として、自らの経路権限、自らの検証態勢、自らの監視、自らの顧客コミュニケーション、そしてネットワークパートナーに対する自らの商業的圧力を制御していた。説明責任は分散しており、解消されるものではない。

Verizon の役割が重要だったのは、増幅が爆心地を決定するからである。小規模ネットワークの不正な経路は、上流がそれをフィルタリングすれば小規模にとどまる。大手トランジットプロバイダーによる伝播は、それをグローバルにし得る。これが、上流フィルタリングが任意の礼儀ではない理由である。それは、到達性を販売するネットワークにとっての安全義務である。プロバイダーのリーチが大きければ大きいほど、伝播するものをより注意深く検証しなければならない。

ルート最適化ツールの角度は、自動化に関する警告でもある。BGP の決定を最適化するツールは、高いレバレッジを持つルーティング変更を生み出し得る。そのようなツールがプロバイダー関係を越えて経路を漏洩させることが許されるなら、商業的なトラフィックエンジニアリングが公共の停止に変わり得る。自動化は説明責任を減らすものではなく、制約、経路ポリシーテスト、監視の必要性を高める。

Cloudflare の被影響プロバイダーとしての役割は、異なる義務を伴う。すなわち、外部制御の失敗を可視化し、正確に説明し、そのイベントをより強力なルーティングセキュリティ要求へと転換することである。これは、正当な形の説明責任である。プロバイダーは、自らが元のリークを引き起こしていない場合でも、エコシステムの修復を支援できる。鍵は、修復を測定可能にすることである。

RPKI が証拠基準を変える

RPKI が重要なのは、経路権限に関する一部の問いを、暗号学的に検証可能なデータに変えるからである。リソース保持者は、どの自律システムがどのプレフィックスを、どの最大長で発信することを認可されているかを述べる、経路起点認可を公開できる。経路起点検証を実行するネットワークは、受信した経路を分類し、ポリシーが求める場合には無効な起点を拒否できる。これはすべてのルートリークを解決するわけではないが、何が証明可能かを変える。

Cloudflare にとって、RPKI は単なる技術的修正ではなかった。それは説明責任の道具だった。同社が自社のプレフィックスに対して正確な ROA を公開すれば、顧客や他のネットワークは権限記録の一部を検査できる。ネットワークが無効な経路を拒否すれば、一部の不正な起点のアナウンスは危険性が低下する。Cloudflare が採用を測定し提唱すれば、依然として無効な権限を受信しているネットワークに圧力を生み出す。修復は、私的な保証への依存度が低くなる。

RPKI は魔法の盾ではない。ルートリークは、経路が起点有効でありながらも、元の起点 AS が依然として認可されている一方で、パス関係が間違っている場合に発生し得る。だからこそ、RFC 7908のルートリーク分類や、後の BGP ロールのようなメカニズムが重要である。経路起点検証は誰が発信できるかに答える。ルートリーク防止はまた、その経路が特定の関係を越えて伝播されるべきかどうかを問う。検証可能な修復には、起点検証と関係認識型フィルタリングの両方を含めなければならない。

この微妙な違いは、正直な顧客コミュニケーションにとって重要である。プロバイダーは、RPKI があらゆるルーティングインシデントを不可能にすると示唆すべきではない。RPKI が防げるもの、防げないもの、そしてどのような補完的制御が必要かを説明すべきだ。そうすれば、顧客は残留リスクを理解できる。制御を誇張することは、修復を伴わない安心感の別の形である。

RPKI の公共的価値は、それが成果物を生み出すことにある。ROA はチェックできる。無効経路拒否は測定できる。採用は追跡できる。ネットワークオペレーターは、なぜ検証するのか、しないのかを問われることができる。これらの成果物は、顧客にインシデント後の謝罪よりも確かなものを与える。Cloudflare のルーティングセキュリティ提唱は、このような検査可能な証拠と結びついたときに最も強力になる。

MANRS スタイルの規範が私的ルーティングを公共の期待に変える

MANRS が重要なのは、ルーティングセキュリティは一つのプロバイダーだけでは解決できないからである。発信するネットワーク、受信する上流、伝播するピア、検証する下流のすべてが結果を形作る。フィルタリング、アンチスプーフィング、調整、グローバル検証のような自主的規範は、私的な相互接続の行動を公共の期待として可視化する。それらは遵守を保証するものではないが、責任あるオペレーターが示せるべきものを定義する。

2019年6月のインシデントに対して、MANRS レンズは直接的である。リークが有害になったのは、不正なルーティング情報が関係境界を脱出し、広範に伝播されたからである。顧客アナウンスのフィルタリングと正確なルーティング情報の維持は、中心的な防止義務である。リークが進行中の調整と連絡先の準備は重要である。経路を受信するネットワークでの検証も重要である。システムはこれらの制御すべてを必要とする。なぜなら、単一の層ですべての障害を捕捉できるわけではないからである。

したがって、Cloudflare の対応は、同社がその市場での地位を利用して、それらの規範をどの程度推進したかによって部分的に判断されるべきである。トランジットプロバイダーに、より良いルーティング衛生を要求したか？フィルタリングの役割を公表したか？ルーティングセキュリティの採用を容易に、または可視化したか？顧客が、自らのプロバイダーの上流選択がなぜ重要かを理解できるよう、公共教育を支援したか？これらの行動は、停止をエコシステムへの圧力に変え得る。

顧客もまた、調達において MANRS スタイルの問いを用いることができる。プロバイダーは顧客経路をフィルタリングするか？RPKI を検証するか？正確な経路オブジェクトを維持しているか？24時間対応のルーティングセキュリティ連絡先があるか？認知されたルーティングセキュリティイニシアティブに参加しているか？ルーティングに問題が生じた際にインシデント報告を公開するか？エッジセキュリティを購入する顧客は、エッジがルーティングシステムを通じてのみ到達可能であるため、ルーティングセキュリティについて尋ねるべきである。

要点は、自主的規範が規制や契約に取って代わるということではない。要点は、ルーティング行動はしばしば私的契約と公的被害の間に存在するということである。MANRS スタイルの期待は、顧客とピアにその行動について尋ねるための語彙を与える。検証可能な修復は、テスト可能な語彙に依存する。

公開 BGP 証拠はインシデント記録の一部である

ルートリークは、インフラインシデントの中でも異例である。なぜなら、外部者がその重要な部分を観測できるからだ。RouteViews、RIPE RIS、その他のコレクターは、プライベートなルーターの意図を明らかにするわけではないが、多くの観測地点からのアナウンス、撤回、AS パス、タイミングを示すことができる。その公開証拠は、インシデントのナラティブを検証または異議を唱えるのに役立つ。また、影響を受けたプロバイダーが、顧客にすべての主張を鵜呑みにするよう求めずに、何が起こったかを説明するのにも役立つ。

Cloudflare の公開分析は、ルーティング証拠を用いて停止がどのように展開したかを示した。それは良い慣行だ。ルートリークの事後分析は、メカニズムを理解可能にするのに十分な公開経路データを含むべきである。どのプレフィックスが影響を受けたか、どの AS パスが関与したか、時間とともに何が変化したか、伝播がいつ停止したか、どのような緩和策が重要だったか。目標は、読者を BGP テーブルで圧倒することではない。因果関係のストーリーを監査可能にすることだ。

公開証拠はまた、曖昧な非難から守る。プロバイダーが上流が経路を漏洩したと言うなら、経路記録がその主張を裏付けるべきである。上流がフィルタリングを修正したと言うなら、その後の経路挙動は修正と一致すべきである。ネットワークが無効な RPKI 経路を拒否すると言うなら、公開測定がそれを大まかにテストできるべきである。ルーティングセキュリティの主張が測定可能になるほど、評判だけの修復の余地は少なくなる。

顧客は、利用可能な形でのインシデント後の経路証拠を求めるべきである。短いナラティブは経営陣にとって有益だ。技術的な付録はネットワークチームにとって有益だ。タイムラインはインシデント管理者にとって有益だ。変更された制御のリストはリスクオーナーにとって有益だ。顧客は、プロバイダーが説明から修復へと移行したかどうかを理解するために、BGP の専門家である必要はない。

公開経路証拠には限界がある。すべてのプライベートピア、ポリシー決定、内部アラームを捕捉できるとは限らない。ノイズがあるかもしれない。専門家の解釈を必要とするかもしれない。しかし、その限界はそれを省く理由にはならない。ルーティングの説明責任において、不完全な公開証拠は、私的な安心感だけよりはまだましである。

トランジットプロバイダーの説明責任が高レバレッジポイントである

2019年6月のインシデントは、トランジットプロバイダーが高いレバレッジを持つことを再び示した。小規模ネットワークは漏洩し得る。ルート最適化ツールは誤動作し得る。しかし、大手トランジットプロバイダーは、その経路が広く信じられるようになるかどうかを決定し得る。プロバイダーの顧客フィルター、プレフィックス制限、経路検証、関係ポリシーは、不正な情報がどこまで伝わるかを決定するため、公共の安全制御である。

ここで商業的インセンティブが機能しなくなる可能性がある。トランジットプロバイダーは、リーチ、パフォーマンス、価格で競争する。フィルタリングと検証は運用上の努力を必要とし、顧客との摩擦を生み出す可能性がある。市場がルーティング衛生に報いなければ、プロバイダーはインシデントが評判上のコストを生むまで、投資を怠る可能性がある。したがって、顧客と影響を受けたネットワークは、ルーティング衛生をベンダー選定とピアリング圧力の一部とすべきである。

Cloudflare が増幅ポイントを公に批判したことは、有用な市場機能を果たした。高レバレッジの失敗を名指ししたのだ。しかし、名指しは始まりに過ぎない。検証可能な修復には、トランジットポリシーが変更されたこと、無効または認可されていない経路が拒否されること、顧客経路セットが維持されること、ルートリークが迅速な封じ込めを引き起こすことの証拠が必要である。その証拠の一部は、公的なコミットメントから、一部は測定から、一部は契約上の要件から、一部は監査を伴う将来のインシデント不在から来るかもしれない。

影響を受けたプロバイダーにもレバレッジがある。大規模なエッジネットワークは、トランジット関係を選択し、ピアリングの選好を設定し、ルーティングセキュリティ要件を公開し、顧客にプロバイダーの衛生について教育することができる。インターネット上のすべてのネットワークに検証を強制することはできないが、自らの相互接続の周囲でインセンティブをシフトさせることができる。プロバイダーがセキュリティと信頼性を販売するならば、ルーティングセキュリティの調達は製品の一部であり、単にネットワークチームのバックグラウンド作業ではない。

より広範な政策の教訓は、上流フィルタリングはリーチに付随する義務として扱われるべきだということである。ネットワークが販売するグローバルリーチが大きければ大きいほど、不正な経路を受け入れることによって生み出し得る公的被害も大きくなる。その義務は、規範、契約、監査、インシデント後報告において可視化されるべきである。

顧客の継続性にはルーティング障害下での限界がある

顧客はしばしば、プロバイダーの停止後に自分たちに何ができたのかと問う。大手エッジプロバイダーに影響を与えるルートリークでは、その答えは不快かもしれない。事前に独立した配信パスを構築していない限り、リアルタイムではあまり多くはない。パブリックインターネットがプロバイダーの正当なパスからトラフィックをルーティングする場合、顧客のオリジンは健全であっても、期待されるエッジを通じて到達可能でない可能性がある。DNS フェイルオーバーは一部のアーキテクチャで役立つかもしれないが、キャッシュ、証明書のセットアップ、オリジンのキャパシティ、代替プロバイダーの準備によって制約され得る。

これは顧客が無力であることを意味しない。重要なサービスを分類し、代替のステータスページを維持し、選択されたワークロードに対してマルチ CDN または直接オリジンフォールバックを使用し、多様なネットワークから監視し、すべての公開コミュニケーションチャネルを同じプロバイダーの背後に置くことを避けることができる。しかし、これらの対策には計画が必要である。ルートリークの最中には、即興ではほとんど不十分である。

したがって、Cloudflare の顧客に対する説明責任は部分的に説明的である。RPKI、経路監視、トランジット選定を通じて Cloudflare が低減できるリスクと、顧客のアーキテクチャを必要とするリスクを顧客に伝えるべきである。インターネットのすべてのルーティング障害を吸収できると示唆するプロバイダーは、誤った信頼を招く。残留リスクを説明するプロバイダーは、顧客がより良い継続性の決定を下すのを助ける。

顧客契約とリスク評価はこれを反映すべきである。サービスレベルコミットメントは、ルートリークの完全な運用上の影響をカバーしないかもしれない。クレジットはサービスを到達可能に保たない。顧客は、重要なワークロードに配信の多様性が必要かどうか、その多様性が真に独立しているかどうか、緊急通信チャネルが同じルーティング障害を生き延びるかどうかを問うべきである。答えはワークロードによって異なるかもしれないが、問いは高インパクトのサービスには必須である。

ルートリークのインシデントはまた、依存リスクが障害まで不可視であり得ることを示している。顧客は、プロバイダーを通じた到達性をどのトランジット関係や経路ポリシーが形作っているかを知らないかもしれない。これが、プロバイダーの透明性が重要である理由である。顧客は、プロバイダーが理解可能にすることを拒否するものを管理することはできない。

検証可能な修復にはチェックリストが必要である

信頼できるルートリーク修復記録は、観測可能な要素を持つべきである。第一に、経路伝播、検知、緩和、回復の正確なタイムライン。第二に、発信元、増幅者、影響を受けたプレフィックス、既知の場合は検証ネットワークを特定する役割マップ。第三に、経路起点証拠：ROA、maxLength の選択、検証態勢。第四に、フィルタリング証拠：顧客経路セット制御、無効経路拒否、ルートリーク防止手法。第五に、調整証拠：責任あるネットワークとの連絡先、エスカレーション、コミュニケーション。第六に、残留リスクと可能な継続性設計に関する顧客ガイダンス。

このようなチェックリストがあれば、2019年6月のイベントは単なるナラティブ以上のものになっただろう。Cloudflare は実質的な公開説明と提唱を提供した。次の説明責任のステップは、あらゆる主張を持続的な成果物に結びつけることである。RPKI が答えの一部ならば、採用を示す。上流フィルタリングが答えの一部ならば、上流への期待を述べる。公開経路コレクターがタイムラインを裏付けるならば、検査するのに十分なデータを含める。顧客がアーキテクチャの変更を必要とするならば、直接そう言う。

このチェックリストは、影響を受けたプロバイダーも保護する。プロバイダーが ROA を公開し、経路を検証し、公開 BGP を監視し、責任あるトランジットを選定し、迅速にエスカレーションしたことを示せるとき、顧客は残留リスクがより広範なルーティングエコシステムから来たことを理解できる。その証拠がなければ、顧客は安心感だけを聞くかもしれない。証拠は、プロバイダーが本当に故障の原因ではない場合の、プロバイダーの最も強力な防御である。

検証可能な修復は、インシデントを越えて反復可能であるべきだ。同じ構造は、CDN、クラウドプロバイダー、銀行、政府ポータル、ソフトウェアリポジトリに影響を与えるリークに適用できる。詳細は異なるが、説明責任の要素は変わらない。経路権限、伝播制御、検証、監視、調整、顧客継続性である。

チェックリストはまた、技術の進化に伴って更新されるべきである。RFC 9234における BGP ロールと Only-to-Customer メカニズムは、RPKI 起点検証だけでは解決できない関係認識型のリーク防止に対処する。プロバイダーは、修復モデルを2019年に利用可能だった制御に凍結すべきではない。真の修復プログラムは、展開可能になった時点でより良いメカニズムを採用する。

提唱は調達と組み合わせることでより強力になる

Cloudflare はしばしば、その公開プラットフォームを使ってより良いルーティングセキュリティを提唱してきた。ルーティングセキュリティは集団行動の仕事であるため、提唱は重要である。しかし、提唱は調達と運用上のコミットメントと組み合わせることでより強力になる。プロバイダーは RPKI について書きながら、同じ価値観を反映するパートナー、ピア、トランジットアレンジメントを選ぶことができる。自らのネットワーク購入において気にかけていることを示しながら、顧客に気にかけるよう求めることができる。

この組み合わせが重要なのは、ルーティングセキュリティの採用がフリーライダーのダイナミクスに悩まされる可能性があるからだ。責任あるネットワークが検証しても、無責任なネットワークが依然として不正な経路を伝播すれば、誰もが露出したままである。大規模プロバイダーは、ルーティング衛生を商業関係の一部にすることでインセンティブを変えることができる。弱いフィルタリングのために重要な顧客を失うリスクを負うトランジットプロバイダーは、改善するより強い理由を持つ。経路オブジェクトを維持できないピアは、より多くの精査に直面する。無効を拒否するネットワークは、その成熟度を宣伝できる。

顧客も同じインセンティブを強化できる。エッジプロバイダーに、どのトランジットプロバイダーを使用しているか、RPKI を検証しているか、MANRS のような制御を維持しているか、リークにどのように対応するかを尋ねることができる。すべての詳細が公開されるわけではないが、繰り返される購買者の圧力は会話を変える。ルーティングセキュリティは、信頼性調達の一部となるべきであり、ニッチなネットワークエンジニアリングのトピックではない。

Cloudflare の被影響プロバイダーとしての立場は、このアジェンダを推進する信頼性を与える。同社は被害を経験し、それを幅広い聴衆に説明することができた。説明責任の基準は、その信頼性を測定可能なエコシステム圧力に変換し続けることである。説得力のあるブログ記事は有用だが、変化したルーティング市場はより良い。

同じ原則は、安全な到達性を販売するすべてのプロバイダーに適用される。製品の約束に顧客をオンラインに保ち保護することが含まれるならば、ルーティングセキュリティの調達は製品の仕事である。ネットワーク運用と顧客の信頼の境界は、停止中には人為的なものである。

ルートリークはエッジ冗長性の限界を露呈する

Cloudflare は大規模なグローバルエッジネットワークを運用しているが、ルートリークのインシデントは、物理的およびソフトウェアの冗長性がドメイン間ルーティングへの依存を排除しないことを示した。プロバイダーは多くのデータセンター、多くのサーバー、洗練されたトラフィック管理を持ち得るが、インターネットが不正なパスを信じるときには影響を受け得る。プロバイダーの資産内部の冗長性は必要だが、それはルーティングの独立性と同じではない。エッジへのパブリックパスはサービスの一部である。

これは顧客の期待にとって重要である。顧客はしばしば、規模が免疫を生み出すと想定してエッジサービスを購入する。規模はキャパシティと多くの回復オプションを生み出すが、それはまた、より多くの相互接続関係と、他者のルーティング決定へのより多くの露出も生み出す。大手トランジットプロバイダーが不正な経路を伝播すれば、グローバルエッジは特定の方法でグローバルに誤到達され得る。顧客は、プロバイダーの内部の回復力と、インターネットの外部のルーティング衛生は異なる層であることを理解する必要がある。

Cloudflare の公開コミュニケーションは、サービスの回復力とルーティングエコシステムのリスクを区別することによって、この期待ギャップを縮小できる。事後分析は、どの部分が Cloudflare の制御下にあり、どの部分が外側にあり、どの緩和策が境界を橋渡しするかを述べるべきである。RPKI の公開は一つの橋である。無効経路拒否は別の橋である。トランジット選定とピアリングポリシーも別の橋である。公開 BGP 監視もそうだ。高重要度のワークロードについては、顧客側のマルチプロバイダー配信も別の橋かもしれない。この階層化された説明がなければ、顧客はプロバイダーを過信するか、あらゆる外部経路障害について誤って非難するかもしれない。

エッジ冗長性の教訓は、インシデント訓練にも影響する。プロバイダーは、データセンターの喪失やソフトウェアのリグレッションだけでなく、経路ハイジャック、ルートリーク、無効起点受信、トランジットプロバイダーの誤動作のシナリオもテストすべきである。これらの訓練には、顧客コミュニケーションを含めるべきである。なぜなら、ルーティングインシデントは非ネットワークチームにとって混乱を招くからだ。一部の地域から断続的なエラーを見ている顧客は、その問題がオリジンの健全性、DNS、CDN ソフトウェア、ISP フィルタリング、経路伝播のいずれかを知らないかもしれない。プロバイダーが迅速に層を説明する能力は、回復力の一部である。

したがって、最良の修復証拠はシナリオカバレッジを含む。プロバイダーはルートリーク検知をテストしたか？トランジットエスカレーションをリハーサルしたか？ROA の正確性を検証したか？不審な AS パスを監視したか？ルーティングインシデントに備えた顧客向けの表現を準備していたか？これらの問いは、ルーティングを専門家だけの領域から、説明責任のあるサービス義務へと変える。

偽のパスは信頼債務を生み出す

ルートリークは信頼債務のイベントである。ネットワークが受け入れるべきでなかったパスを受け入れたこと、または関係を越えて伝播させるべきでなかった経路を伝播させたことを明らかにする。債務は停止中に影響を受けたプロバイダーとユーザーによって支払われるが、その後も、根本的な信頼の仮定が修正されなければ残り続ける。安心感はその瞬間を静めることができる。修復は債務を返済する。

信頼債務は累積する。公のルートリークのたびに、顧客はインターネットの到達性が自らが見ることができない制御に依存していることを学ぶ。対応がナラティブだけならば、次のインシデントが不可避に感じられるため、信頼は弱まる。対応が測定可能な改善を生み出すならば、システムがより検査可能になるため、信頼は回復し得る。RPKI の採用、経路フィルタリングのコミットメント、公開経路監視は、単なる技術的な衛生ではなく、信頼を再構築するツールである。

Cloudflare の役割は複雑である。なぜなら、同社はルーティングの信頼障害の被害者であると同時に、インターネットの信頼サービスの販売者でもあるからだ。その二重の役割が基準を引き上げる。顧客は、同社が単に回復するだけでなく、インターネットの弱点を説明し、信頼できる修正を提唱することを期待する。Cloudflare がルーティングセキュリティの解説を公開するとき、同社は自らのインシデントを公共教育に変換しているのだ。次のステップは、その教育のどの部分が自社のネットワークと商業関係において運用化されているかを示すことである。

信頼債務は増幅ネットワークにも属する。不正な経路を受け入れて伝播するトランジットプロバイダーは、その直接の顧客を超えて信頼を損なう。その債務は、将来の調達とピアリングの会話に持ち越されるべきである。フィルターを変更したか？より多くの経路を検証したか？ルーティングセキュリティ規範に参加または適合したか？透明性をもって報告したか？そうでなければ、市場は同じ行動が再発しないと信じる理由をほとんど持たない。

顧客にとって、信頼債務はリスクレジスターに現れるべきである。重要なサービスがグローバルルーティングインシデントにさらされるプロバイダーに依存しているならば、リスクは障害モードと制御を名指しすべきである。一般的なインターネット停止の表現の下に隠されるべきではない。具体性こそが、修復を測定可能にするものである。

最大長はガバナンスの決定である

RPKI による修復は、単に ROA を作成することだけでなく、注意深く作成することにかかっている。ROA は起点 AS を認可し、最大プレフィックス長を設定できる。その最大長が重要である。広すぎる場合、保護を弱めるような、より特異的なアナウンスを認可する可能性がある。狭すぎる場合、正当なトラフィックエンジニアリングや緊急時の細分化が無効になる可能性がある。したがって、経路起点の証拠は、単にチェックボックスを付けた公開ではなく、ガバナンスを必要とする。

グローバルエッジプロバイダーにとって、maxLength の決定は文書化されたルーティングの実例と結びつけるべきである。通常、どのプレフィックスがアナウンスされるか？トラフィックエンジニアリングにはどのより特異的なものが使用されるか？緊急時にどれが使用される可能性があるか？どれが決して現れるべきでないか？誰が変更を承認するか？ROA は公開前にどのようにテストされるか？エラーはどれだけ迅速に修正できるか？これらは顧客に影響を与える運用上の問いである。

2019年6月のルートリークの議論はこれを具体的にする。なぜなら、ルートリークやハイジャックはしばしば、より特異的な経路の選好や伝播の誤りを悪用するからだ。RPKI は一部の偽の起点を無効にすることができるが、ROA が過度に寛容であれば、誤った安心感を生み出す可能性もある。したがって、検証可能な修復は、経路権限が正確であり、維持されているという証拠を含まなければならない。古くなった、またはずさんな ROA 記録は修復ではない。それは新たなリスク源である。

顧客はすべての ROA を一行一行検査する必要はないが、洗練された顧客や公開の観測者は、プロバイダーが規律ある RPKI 態勢を持っていることを確認できるべきである。公開ツールは存在と有効性をチェックできる。プロバイダーの声明はポリシーを説明できる。インシデント報告は、経路起点検証が役立ったか、または役立っただろうかを記述できる。ここで技術的成果物がガバナンスの成果物になる。

経路権限は顧客のオンボーディングとも交差する。CDN やエッジプロバイダーが顧客所有のプレフィックスをアナウンスしたり、BYOIP のアレンジメントをサポートしたりする場合、ROA の調整は顧客リスクの一部となる。プロバイダーと顧客は、起点認可、maxLength、緊急手順を整合させなければならない。不一致は無効な経路を生み出したり、保護を弱めたりし得る。検証可能な修復は、プロバイダー所有のプレフィックスだけでなく、これらの顧客エッジのケースもカバーすべきである。

関係性のリークには関係性の証拠が必要である

RPKI 起点検証は特定の問いに答える：この起点 AS はこのプレフィックスに対して認可されているか？ルートリークはしばしば異なる問いを投げかける：この経路はある関係から別の関係へ渡されるべきだったか？経路は起点有効でありながら漏洩し得る。だからこそ、経路フィルタリング、BGP ロール、Only-to-Customer メカニズムのような関係認識型の制御が重要である。検証可能な修復は、関係層に対処しなければならない。

2019年6月のイベントでは、有害なパターンは、その経路がその規模で広がるべきでなかったネットワークを越えた伝播を含んでいた。正確なプライベートポリシーは顧客に完全には可視化されないため、公開修復証拠は制御のクラスを記述しなければならない。プロバイダーは顧客固有のプレフィックスフィルターを要求したか？近隣ロールを分類したか？ビジネス関係に基づいて経路伝播を制限したか？正確な IRR および RPKI データを維持したか？通常の関係と矛盾するパス異常を監視したか？

RFC 9234が重要なのは、関係ロールを BGP リーク防止にエンコードしようとする標準化過程の試みを代表するからである。これはインシデントよりも後のものなので、2019年の行動を将来のメカニズムで判断するために使うべきではない。現在の修復基準を引き上げるために使うべきである。プロバイダーは、インシデント発生時に一般的だった制御で止まるべきではない。現在、同じクラスのリスクを低減できる、より新しいメカニズムは何かを問うべきである。

関係性の証拠は、商業関係が機微であり得るため、起点証拠よりも公開が難しい。それでも、プロバイダーは、すべての私的条件をさらすことなく、ポリシーのコミットメントを開示できる。顧客経路が期待されるプレフィックスに対してフィルタリングされること、無効な RPKI 経路が拒否されること、ピアと顧客の関係が分類されていること、ルートリークがアラームをトリガーすること、トランジットプロバイダーが経路衛生について評価されることを述べることができる。また、そのような声明を比較可能にする業界規範を支援することもできる。

顧客にとっての価値は明確さである。プロバイダーが RPKI を持っていると言いながら、ルートリークについて何も言わなければ、顧客は保護を過大評価するかもしれない。起点検証と関係性フィルタリングを区別すれば、顧客はより正直なリスク像を受け取る。正直なリスク像は修復の一部である。

インシデントの用語は因果関係を平たくすることを避けるべきである

ルーティングインシデントは技術的に濃密であり、濃密なインシデントは平たくされやすい。企業は、ルートリークが発生し、上流が原因であり、サービスが影響を受け、修復が進行中であると言うかもしれない。その言葉は事実かもしれないが不十分である。平たくされた言葉は、誰がどの制御を持っていたか、どの制御が失敗したか、どの制御が変更されたかを隠す。検証可能な修復文化は、正確な因果関係を用いる。

正確な因果関係は、リーク源、最適化ツールまたは自動化メカニズム、増幅ネットワーク、影響を受けたプレフィックス、検証または非検証の受信者、検知パス、顧客に見える症状を分離するだろう。また、公開証拠が不完全な場合には不確実性も述べるだろう。これは、あらゆる私的詳細が知られているふりをしないため、顧客が報告を信頼するのに役立つ。また、影響を受けたプロバイダーが、すべての顧客影響について上流の失敗を包括的な説明として用いることを防ぐ。

Cloudflare のインシデント分析は、ルーティングの挙動を名指しし、なぜ上流フィルタリングが重要だったかを説明したため、一般的な声明よりも強力だった。より広範な基準は、あらゆる主要なルーティングインシデントが、顧客が制御を更新するのに十分な因果構造を含むべきであるということだ。セキュリティチームは問うことができるはずだ：RPKI は役立っただろうか？ルートリーク防止は役立っただろうか？マルチプロバイダー配信は役立っただろうか？プロバイダーは迅速に監視したか？自らのステータスコミュニケーションは生き残ったか？

言葉はまた、公共のインセンティブに影響を与える。報告がルーティングインシデントを回避不能なインターネットの奇妙さとして記述するならば、オペレーターは改善する圧力が少なくなる。報告が、欠落していた正確なフィルターや検証の失敗を記述するならば、責任あるネットワークは精査に直面する。要点は、それ自体のための公開の辱めではない。市場が修復に報いることができるように、障害モードを十分に具体的にすることである。

正確さは回復の主張にも及ぶべきである。プロバイダーは、経路撤回、経路伝播の収束、サービス回復、顧客に見える回復、インシデント後の監視を区別すべきである。これらのマイルストーンは異なり得る。経路は、キャッシュ、セッション、顧客モニターが正常に戻る前に修正されるかもしれない。顧客は、自らの報告のためにその微妙さを必要とする。

タイポグラフィ

タイポグラフィとは、文字を配置して書かれた言語を判読可能、読みやすく、視覚的に魅力的にする技術と手法である。書体、ポイントサイズ、行長、行間、文字間隔の選択が含まれる。

• タイポグラフィは、15世紀にヨハネス・グーテンベルクが活字を発明したことに始まる。
• 主要な要素には、フォントの選択、カーニング、トラッキング、リーディングが含まれる。
• 優れたタイポグラフィは可読性を高め、デザインにおいてムードやトーンを伝える。

修復の基準は公的証明である

Cloudflare の2019年6月のルートリーク対応は、目に見えないルーティングの失敗を幅広い読者に理解可能にしたという点で価値がある。しかし、本記事の説明責任の基準は説明よりも高い。影響を受けたプロバイダー、増幅を行ったトランジットプロバイダー、そしてより広範なルーティングコミュニティは、弱点が低減されたという公的証明を残すべきである。証明は部分的でよい。技術的なものでもよい。RPKI リポジトリ、経路コレクター、MANRS のコミットメント、プロバイダーのポリシー、インシデント報告に分散していてもよい。しかし、それは信頼以上のものでなければならない。

Cloudflare は、その証明の重要な部分を制御していた。すなわち、自らの経路権限、監視、公共教育、検証態勢、顧客ガイダンス、そして商業的圧力である。Verizon とリークネットワークは、他の部分を制御していた。すなわち、フィルタリング、経路ポリシーの規律、伝播である。顧客は、事前に構築された継続性の選択肢と調達圧力のみを制御していた。この制御マップが、安心感だけでは不十分である理由を説明する。各アクターは、自らが制御するポイントで修復を示さなければならない。

永続する教訓は、インターネットの到達性は自ずと実行される信頼ではないということである。それは、BGP、DNS、レジストリ、契約、ピアリング関係を通じて交換される一連の運用上の約束である。それらの約束が破綻したとき、対応は検査可能でなければならない。グローバルエッジプロバイダーを混乱させるルートリークは、誰が発信でき、誰が伝播でき、誰が検証し、誰が監視し、誰が回復できるかについての、より良い公的記録を生み出すべきである。

リーク後の Cloudflare の最善の貢献は、単に別のネットワークが問題を引き起こしたと言うことではなかった。それは、ルーティングセキュリティ問題を可視化したことだった。次なるステップは、すべてのプロバイダーにとって、修復も可視化することである。顧客は、ブランドを信じることと経路を理解することの間で選択を強いられるべきではない。安心感がより安全なルーティングになったという証拠を見ることができるべきである。