要約

  • DFINFRAとAS210860の登録上の関係、RIPE Databaseの更新権限、IRRの経路オブジェクト、BGPで観測される発信、RPKIのROA、物理的なネットワーク運用、商業的所有権は、それぞれ異なる命題である。
  • 今回の調査では、これらをつなぐ公開情報の候補を特定したが、対象エンドポイントをライブ取得していない。そのため、現在の経路、RPKI認可、ピアリング、法人、顧客、収益への影響は確認済みの事実として扱えない。
  • 決定的な次の観測は、同一の識別可能な運営主体が、AS210860の登録情報、実際のBGP発信、IRRまたはRPKIの認可、継続的な接続性、そして運営者が管理するサービスまたは一次法人記録に一貫して現れることだ。

DFINFRAとAS210860をめぐる議論は、ASNの名前やデータベース上の組織欄を見て、直ちに「誰がネットワークを運営しているか」という結論へ進みやすい。しかし、インターネットの資源記録は、企業登記簿やルーターの管理画面と同じものではない。ある組織名が自律システム番号に関連付けられていること、誰かがRIPE Databaseのオブジェクトを更新できること、ある経路がBGPで観測されること、RPKIのROAがそのASNを認可していることは、相互に関連し得るが、同一ではない。

今回の調査が prior coverage を超えて明らかにするのは、結論そのものよりも、結論に到達するための検証可能な鎖である。公開情報は、DFINFRAとAS210860の関係を検討するための入口を提供する。しかし、現在の運用支配や商業的効果を閉じた因果関係として示すには、各層を時間と主体の両面で一致させなければならない。

まず登録情報が示すもの

最初に確認すべき資料は、RIPE DatabaseのAS210860に関するaut-numオブジェクトである。そこでは、登録された名称、関連組織、連絡先、maintainer、ルーティングポリシー、作成日や更新日を確認できる。これは「どの主体が公開データベース上でASNと関連付けられているか」を調べるための主要な資料である。RIPE DatabaseのAS210860 aut-numオブジェクト

DFINFRAという文字列をRIPE Database全体で検索すれば、組織オブジェクトやrole、person、inetnum、inet6num、route、route6などに同じ名称、住所、電話番号、電子メールドメイン、maintainerハンドルが現れるかを調べられる。複数の記録が一致すれば、単一のASN名より強い関連性が得られる可能性がある。DFINFRAのRIPE Database検索

しかし、ここで止まると誤る。データベースの連絡先は、LIR、登録代理人、外部のネットワーク管理者、スポンサー、過去の担当者である可能性がある。maintainerはオブジェクトを更新する権限を示すが、物理的なルーターへのアクセス、RPKI証明書の保有、上流事業者との契約、企業の資金や顧客関係を示すものではない。

したがって、登録層が答えられる問いは限定される。「公開記録上、どの識別子がAS210860と結び付いているか」は答えられるが、「その主体が現在、ネットワークを運用しているか」「その主体がアドレス資源を所有しているか」「そのASNが収益を生む顧客サービスを支えているか」は、別の証拠を必要とする。

IRRの経路オブジェクトは認可の一部にすぎない

次の層は、AS210860をoriginとして記載するrouteまたはroute6オブジェクトである。RIPE Databaseのinverse-origin検索は、どのプレフィックスがAS210860を意図したoriginとして登録されているか、そして各オブジェクトを誰が維持できるかを調べる起点になる。AS210860をoriginとするRIPE Database検索

この情報は、ネットワークの構成を読むうえで有用だ。routeオブジェクトが存在し、そのmaintainerがaut-numや組織記録と一致すれば、登録上の経路方針に一定の一貫性があると判断できる。しかし、IRRオブジェクトは、現在のBGP発信を保証しない。古いオブジェクトが残っている可能性もあり、逆にBGPで発信されていてもRIPE IRRに対応するオブジェクトがない場合もある。

さらに、routeオブジェクトの更新権限は、プレフィックスの法的所有権やルーターの物理的管理権を証明しない。RIPEの文書が説明するのは、routeオブジェクトを作成・変更するためのデータベース上の認可経路であり、運用主体の企業支配そのものではない。RIPE Databaseにおけるrouteオブジェクト空間の保護

この区別は、DFINFRAの運用上の意味を評価する際に決定的である。IRRが示すのは、ある主体が経路の意図されたoriginをデータベースに記録し、一定の更新経路を持つ可能性だ。そこから、実際のトラフィック、顧客契約、ルーターの管理、料金請求へ進むには、BGP、RPKI、接続相手、サービスの証拠が必要になる。

BGPで見える活動は、技術的な存在を示すが、企業支配を示さない

RIPEstatや独立したBGP集約サービスは、AS210860が発信したと観測されたプレフィックス、ルーティング状態、履歴、隣接ASを検証する候補である。RIPEstatのASN概要 RIPEstatの発信プレフィックス RIPEstatのルーティング状態

発信が繰り返し観測され、複数のコレクター、複数の時点、複数のサービスで一致すれば、ASNが単なる休眠登録ではなく、少なくとも技術的には利用されているという見方は強くなる。履歴データは、いつプレフィックスが現れ、いつ消えたかを、登録オブジェクトの更新や上流接続の変化と比較する材料になる。RIPEstatのASN近隣情報 RIPEstatのルーティング履歴

ただし、コレクターで見えることは、世界全体から到達可能であることと同義ではない。単一の観測は、設定ミス、経路リーク、ハイジャック、短期間の試験、上流事業者の作業によって生じる可能性がある。発信の存在は技術的な活動を示すが、それだけでDFINFRAがルーターを所有または管理していることにはならない。

第三者の集約サービスは相互検証に役立つ。bgp.toolsはプレフィックス、上流、ピア、経路履歴、WHOISやRPKIに関する情報をまとめる可能性がある。bgp.toolsのAS210860プロファイル Hurricane ElectricのBGP Toolkitも、観測された近隣や経路の別の表示を提供し得る。Hurricane ElectricのAS210860プロファイル Cloudflare Radarも、AS210860に関する公開観測の別の比較材料になり得る。Cloudflare RadarのAS210860情報

しかし、これらのサービスが示す「upstream」や「neighbor」は、料金を伴うトランジット契約や直接の商業関係を意味しない。AS-path上の隣接は、トランジット、ピアリング、顧客関係、ルートサーバー、あるいは一時的な経路漏洩を区別できないことがある。CAIDAやBGPViewの関係推定も、契約書の代替ではない。BGPViewの推定上流情報 CAIDA AS RankのAS210860情報

RPKIは経路originを認可するが、事業者を特定しない

RPKIは、登録や観測とは異なる種類の証拠を提供する。ROAは、特定のプレフィックスを特定のASNがoriginとして発信することを認可する。RFC 6482は、ROAがこのorigin認可を表す仕組みを定義している。RFC 6482Cloudflareの公開VRPデータをASN 210860で照合すれば、該当するプレフィックスと最大長、そして観測された発信との整合性を検討できる。CloudflareのRPKI検証済みROAペイロード

BGP発信とROAが一致すれば、資源保有者または権限を持つ主体が、そのASNをoriginとして認可したことを示す技術的な証拠になる。IRR、BGP、RPKIが同じプレフィックス、ASN、時間軸で一致すれば、単なるASN名の関連より強い制御の兆候となる。

それでも、ROAが証明する範囲は狭い。ROAはorigin認可であり、誰がルーターを運用しているか、誰が上流契約を締結したか、誰が企業の利益を受けるかを示さない。VRPがない場合も、それは通常「NotFound」を意味し、発信が無許可だと直ちに証明するものではない。RPKIの結果は、経路の認可を調べる層であって、企業の実質所有を調べる層ではない。

物理運用と商業支配に到達するには別の証拠が必要だ

DFINFRAとAS210860の関係が市場や顧客にとって意味を持つには、技術的活動だけでなく、運用と商業の主体を特定しなければならない。PeeringDBにAS210860の記録があり、そこにDFINFRA、運営ウェブサイト、ネットワーク種別、トラフィック規模、接続拠点、交換参加、連絡先が明示されていれば、公開レジストリだけより強い自己提示となる。PeeringDBのAS210860ネットワーク検索

運営者が管理するウェブサイトがAS210860を明示すること、一次の会社登記がRIPEの組織記録と住所・役員・登録番号・電子メールドメインで一致すること、データセンターやトランジット契約の資料があること、同じ主体に帰属する顧客向けサービスが確認できることも、重要な追加証拠になる。

インターネットスキャンは、AS210860に属するアドレスで稼働するホスト、証明書、サービスバナー、ホスト名を発見する手掛かりになり得る。CensysのAS210860ホスト検索 だが、ホストや証明書は顧客、テナント、再販事業者、第三者サービスに属している可能性がある。IPアドレス上にDFINFRAらしい名前が見つかっても、それだけでネットワーク所有権やサービス収益を確定できない。

法人情報も同様である。OpenCorporatesの検索は、DFINFRAという名称を持つ候補法人、管轄、登録状況、役員、住所を見つける入口になる。OpenCorporatesのDFINFRA検索 IPinfoのAS210860情報も、公開されたネットワーク識別情報を比較する補助的な観測源である。IPinfoのAS210860情報 しかし、名称の一致だけでは足りない。法人番号、所在地、電話番号、役員、電子メールドメインなどがRIPE記録や運営サイトと一致し、さらに一次登記で確認されて初めて、AS210860との法的な関連性を主張できる。

今回、何が確認されていないのか

今回の調査パッケージは、検証価値の高い公開エンドポイントと、それぞれが答えられる問いを整理した。しかし、これらのURLの現在の内容をライブ取得していない。したがって、現在の発信プレフィックス、隣接AS、上流、IRRオブジェクト、RPKIのVRP、PeeringDBの有無、ホスト、法人、顧客サービス、料金、キャッシュフローについて、確認済みの数値や状態は提示できない。AS210860の公開観測候補一覧

この制約は、調査の価値をなくすものではない。むしろ、何が事実で、何が未確認の推論かを分けることで、将来の更新を再現可能にする。現時点で安全に言えるのは、DFINFRAとAS210860の関係を評価するには、登録名だけでなく、同じ主体が異なる証拠層に連続して現れるかを調べる必要があるということだ。

検証は、同じ観測時刻または明確な時間窓を持つ証拠セットとして行うべきだ。第一に、AS210860のaut-numとDFINFRAに関連する組織・連絡先・maintainerを記録する。第二に、同じ時点のrouteオブジェクトとRPKIのROAを取得する。第三に、BGPで観測されたプレフィックスと発信期間、隣接関係を複数の観測源で照合する。第四に、PeeringDB、運営サイト、施設・トランジット情報、一次法人記録を同じ識別子で接続する。最後に、どの顧客サービス、継続性、価格、収益、キャッシュフローに変化があるのかを示す必要がある。

結論：重要なのは「あるか」ではなく、誰が何を動かせるかだ

現段階で、公開資料からDFINFRAの経済的影響やAS210860の実質的運用支配を断定することはできない。登録情報、IRR、BGP、RPKI、物理運用、商業支配は別々の証拠層であり、どれか一つが強くても、全体の因果関係が閉じるとは限らない。

一方で、調査対象は明確になった。DFINFRAとAS210860を結び付ける同一の識別可能な主体が、登録情報を維持し、routeオブジェクトを変更し、RPKIでoriginを認可し、実際に経路を発信し、持続的な上流またはピアリングを使い、運営者が管理するサービスや一次法人記録に現れるなら、運用支配の主張は大きく強まる。そこに顧客、継続性、価格、収益またはキャッシュフローの影響が加われば、企業・市場上の意味まで分析できる。

逆に、AS210860の発信が確認されても、登録者、ROAの資源保有者、ルーター運用者、上流契約者、法人、顧客サービスの主体が互いに異なるなら、DFINFRAへの帰属は弱まる。活動しているASNと、DFINFRAが支配する事業は同じ命題ではない。

次に必要なのは、時間付きの公開証拠セットである。そこでは、同じ主体がAS210860のaut-numと関連オブジェクト、実際のBGP発信、対応するIRRまたはRPKI認可、持続的な接続性、運営者管理のサービスまたは一次法人記録に現れなければならない。その鎖が確認されるまで、DFINFRAについて最も正確な結論は、重要な検証課題が定義されたが、現在の運用支配と商業的効果はまだ公的証拠によって閉じられていない、というものだ。