要約

  • 現在の調査パッケージは、AS210860について登録、経路、認可、トポロジー、測定の各層に関係する18の公開ソースを特定している。ただし、この実行では動的な応答をライブ取得していない。
  • 登録情報やBGPの観測は重要な手掛かりになるが、それだけではDFINFRAがAS210860を所有、運用、または統制していることを示さない。変更を開始、承認、実行、撤回できる主体に結びつく証拠が必要である。

まず、何が分かっているのか

既存の報道や公開情報は、DFINFRAとAS210860の間に公的な登録上の関連がある可能性を示してきた。しかし、登録名、aut-numオブジェクト、routeオブジェクト、maintainerの記録は、原則として管理上の事実を示す。そこから直ちに、現在のネットワーク運用、法的所有権、あるいは次の経路変更を実行できる人物の身元を導くことはできない。

今回の調査パッケージは、AS210860に関連する18の公開ソースを対象としている。対象には、RIPE NCCの経路・履歴・隣接ASに関する統計、RIPEデータベースのaut-numとroute検索、RDAP、RPKI公開データ、BGP観測サイト、PeeringDB、CAIDA AS Rank、RIPE Atlasが含まれる。RIPEの経路統計やルーティング状態は、ある時点の経路可視性を検証する入口になる。RIPEのaut-num記録やroute検索は、登録された宣言と管理主体を確認するための資料である。

しかし、この実行時点で動的応答はライブ取得されていない。したがって、現在のプレフィックス、件数、RPKI状態、maintainer、隣接AS、施設、交換ポイント、変更日時を確認済みの現在事実として扱うことはできない。

五つの証拠層を混同しない

DFINFRAとAS210860の関係を検証するには、少なくとも五つのリンクを別々に調べる必要がある。

第一は、登録またはRDAP上のアイデンティティである。登録データは、どの名称や組織が番号資源に関連づけられているかを示す。これは行政・登録上の事実として重要だが、運用の現場に誰がアクセスできるかを示すとは限らない。RDAPのAS情報と過去のWHOIS情報は、登録の継続性や変更履歴を見るための候補である。

第二は、IRRの宣言とmaintainerオブジェクトである。routeオブジェクトが存在すれば、あるプレフィックスとASの組み合わせがデータベース上で宣言されていることを示せる。ただし、宣言を作成、更新、削除する権限が、実際のルーター運用者や法的所有者と同一であるとは限らない。IRRの記録は「宣言された」と表現すべきであり、「運用されている」と短絡してはならない。

第三は、RPKIの認可または検証状態である。CloudflareのRPKIデータは、観測された時点で、特定のプレフィックスと最大長に対するorigin authorizationや検証状態を調べる候補になる。しかしRPKIが示すのは、どのorigin ASがどの範囲を広告できるかという認可であって、ルーターを誰が操作するか、AS番号を誰が所有するかではない。

第四は、BGPの観測である。BGP更新の履歴、ルーティング履歴、looking glassの結果、bgp.toolsのAS情報、Hurricane ElectricのASページは、ある時間帯にどの経路が見えたか、どのorigin挙動が観測されたかを確認するための候補である。BGP観測は時間に拘束された可視性やorigin挙動を示せるが、法的所有権や、次の変更を命じられる人物の身元までは示さない。

第五は、変更を起こし、維持し、変更し、撤回できる主体の能力である。ここが、公開データの単純な突合では最も欠けやすい層だ。誰が変更を依頼したのか、誰が承認したのか、誰の認証情報で実行されたのか、誰が同じ変更を元に戻せるのかを、独立した証拠で結びつけなければならない。登録記録とBGP観測が一致していても、そこにこの主体帰属のリンクがなければ、DFINFRAの運用統制を立証したことにはならない。

相互接続データは補助線であって決定打ではない

PeeringDBのネットワーク情報、CAIDA AS Rankの推定関係、RIPE Atlasのプローブ情報は、ネットワークの接続面や測定可能性を理解するために役立つ。PeeringDBのネットワーク記録は自己申告された接続情報の候補であり、CAIDA AS Rankは推定された関係や順位づけの候補である。RIPE AtlasのIPv4プローブとIPv6プローブは、測定可視性を検討する材料になる。

ただし、これらの現在値は今回の実行では検証されていない。さらに、接続先が確認できたとしても、その事実は通常、DFINFRAがそのASを法的に所有していることや、経路を変更する認証権限を持つことを意味しない。接続情報は、制御の証拠ではなく、制御を検証するための候補経路である。

「一致しない」ことから別の支配者を推測してはならない

登録名、経路観測、RPKI状態、PeeringDBの記載が一致しない場合、それは追加調査の理由になる。しかし、沈黙、欠落、更新の遅れ、名前の不一致だけから、別の所有者や秘密の運用者を推測することはできない。企業名の変更、委託運用、レジストリ更新の遅れ、複数組織による分業など、同じ表面上の不一致を生む説明は複数あり得る。

したがって、現時点で安全に言える結論は限定される。公開情報は、DFINFRAとAS210860を調べるための登録上の手掛かりを提供する。しかし、供給された資料は、DFINFRAがAS210860を所有、運用、または統制していることを実証していない。実証に必要なのは、時間を固定したベースライン、その後の重要なBGPまたは認可変更、そしてDFINFRAがその変更を開始、承認、実行、または撤回できたことを独立に確認する証拠である。

次に観測すべき条件

次の調査では、まず特定日時の経路、origin、IRR、RPKI状態を同時に保存する。その後、意味のある経路または認可変更が発生した時点で、複数の観測点から同じ変化を再確認する。さらに、変更に関する組織発表、管理記録、認証主体、撤回操作の証拠を結びつける必要がある。

その証拠が得られれば、「登録上関連づけられている」という段階から、「ある時点の変更を実際に起こし、維持し、または戻せる主体である」という段階へ推論を進められる。逆に、そのリンクがなければ、BGPやRPKIの一致は有用な観測にとどまり、運用統制の立証にはならない。

DFINFRAに関する今回の証拠は、問いを狭めるところまでは進んでいる。だが、答えを確定するところまでは進んでいない。現在の公開資料から確実に言えるのは、AS210860の登録、経路、認可、接続、測定を横断して調査する枠組みがあること、そしてその枠組みがDFINFRAの主体的な変更能力をまだ示していないことである。

出典