要約

  • DFINFRAとAS210860の関連は、調査を始めるための登録上のシグナルであり、所有権、日常的なネットワーク運用、顧客関係、収益の帰属を単独で証明するものではない。
  • 管理主体を立証するには、同一の識別可能な事業者が、AS番号の登録情報、維持権限、対応する経路オブジェクト、観測された経路発信、必要に応じた有効なRPKI認証、さらに運用または商業上の結果に結び付く必要がある。
  • 現時点で公開候補資料はこの一連の結び付きを完成させていない。次に必要なのは、同じ時間窓で取得した登録、経路、RPKI、事業者情報を突き合わせることだ。

登録情報が変えるのは「疑問」であって「結論」ではない

DFINFRAは、公開Directory上のグローバルなEntityとして記載されている。関連する調査対象はAS210860であり、RIPE Databaseのaut-num、RIPEstatのWHOIS、RDAP、IRRのrouteおよびroute6オブジェクト、AS-set、BGP観測、RPKIデータ、PeeringDBなどを順に確認できる構造になっている。対象の公開Directory情報はDFINFRAのDirectoryページで確認できる。

ただし、ここで重要なのは、各データベースが異なる問いに答えることだ。RIPE DatabaseのAS210860 aut-numオブジェクトは、登録されたAS名、組織参照、連絡先、maintainer、状態、作成日や更新日を示し得る。RIPEstatのWHOIS表示は同じ登録情報を別の形式で提示し、RDAPのAS210860記録は番号範囲、エンティティ参照、状態、イベントを補助的に確認するために使える。

これらが一致すれば、AS210860にどの組織名や管理情報が公開上結び付いているかは明確になる。しかし、登録上の組織は、実際にルーターを操作する主体、アドレス空間の所有者、契約上のサービス提供者と同一とは限らない。管理業務を代行する事業者や、技術的な登録を維持する第三者が存在する可能性もある。したがって、登録情報が証明するのは「誰がどの情報を登録したか」に近く、「誰がネットワーク状態を変更できるか」ではない。

IRRオブジェクトは宣言された経路権限を示す

次の層は、RIPE Databaseに登録されたrouteおよびroute6オブジェクトだ。AS210860をoriginとして検索するIPv4・IPv6経路オブジェクトの逆引き結果は、プレフィックス、origin、データベースのsource、maintainer、作成日、更新日を確認する入口になる。さらに、AS210860を含むAS-setの検索は、宣言されたルーティングポリシー上のグループを示す可能性がある。

しかし、IRRオブジェクトはBGPでその経路が実際に見えていることを意味しない。オブジェクトが残っていても、経路が撤回されていることはある。逆に、BGPで見える経路にRIPEのrouteオブジェクトが存在しない場合もあり、別のIRRデータベースや別の認証経路が使われている可能性がある。maintainerがrouteオブジェクトを更新できることも、アドレス空間の所有権や顧客契約を示すものではない。

この区別は、DFINFRAとAS210860の関係を経済的な主張へ広げる際に決定的になる。経路オブジェクトの維持権限は、技術的な許可経路を示すことはあっても、誰が有料トランジットを販売し、誰が顧客から料金を受け取り、誰が障害時の責任を負うかまでは説明しない。

BGP観測は「見えた状態」を示すが、契約関係までは示さない

運用状態を調べるには、登録情報とは別に、時間を明示した観測が必要になる。RIPEstatの発表プレフィックスとルーティング状態は、AS210860がどのプレフィックスを発信しているように見えたか、いつ観測されたかを確認する材料になる。ルーティング履歴は、初回確認や最後の確認、過去の可視性を時系列で比較するために使える。AS近隣情報は、観測されたASパス上の隣接ASを示す。

BGP.ToolsのAS210860表示やHurricane ElectricのBGP Toolkit記録は、別の観測系による照合材料になる。複数の観測元が同じプレフィックスとoriginを同じ時間帯に示せば、AS210860による発信がその時点で可視だったという主張は強くなる。ただし、観測されたoriginから、法的な運用者、アドレスの所有者、支払いを受ける事業者を直接特定することはできない。

ASパスの隣接関係も同様だ。隣接ASは、上流、ピア、下流の候補を示すが、経路観測だけでは有料トランジット契約や顧客関係を確定できない。ルートサーバー、観測地点、経路の変換によって、実際の双方向の関係が見えにくくなる場合もある。したがって、BGPは「ネットワーク状態に関する観測証拠」であり、「企業間契約に関する証拠」ではない。

RPKIは暗号学的な発信許可を示す

RPKIの検証済みペイロードは、AS210860が特定のプレフィックスを、指定された最大長まで発信することをROAが認証しているかを確認する材料になる。RPKIの有効な一致が、実際に観測されたプレフィックス長と対応すれば、発信認証の技術的な連続性は強まる。ROAの仕様に関するRFC 6482は、この認証の意味と限界を理解するための基礎資料だ。

しかし、ROAは「AS210860がそのプレフィックスを発信することを認証した」と示すだけである。AS210860が基盤ネットワークを運用していること、アドレス空間を所有していること、現在も経路を発信していること、その発信から収益を得ていることまでは証明しない。ROAが存在していてもBGP発表が撤回されていることはあり、逆に、観測された経路が最大長を超えて無効になることもある。

このため、RPKIを企業支配の証拠として扱うには、登録主体、ROAの発行主体、経路の観測、運用者の一次資料を同じ時間窓で結び付けなければならない。暗号学的な認証は強い証拠だが、それが認証する対象は経路発信の許可であって、企業の経済的な支配ではない。

相互接続データは運用面を補うが、自己申告の限界がある

PeeringDBのAS210860向けネットワークAPIにネットワークプロフィールが存在すれば、ネットワーク名、組織識別子、ウェブサイト、種別、地域、施設、IX接続、ルーティングポリシーなどの自己申告情報を確認できる。これは、RIPE登録名と事業者が自ら示すネットワーク上の身元を照合するために有用だ。

しかし、PeeringDBの情報は自己申告の運用メタデータであり、会社登記簿や契約書の代替ではない。プロフィールが空であることも、ASが停止している証拠にはならない。逆に、プロフィールが存在しても、ポートやBGPセッションが現在稼働していること、記載された組織が顧客契約の当事者であることまでは確定しない。RIPE Databaseの文書が示すように、公開レジストリの項目を読む際には、登録上の役割と運用上の役割を分けて扱う必要がある。

支配の連鎖が切れる場所

DFINFRAとAS210860について、最も慎重な結論は、現在の公開候補資料だけでは一つの管理主体による完全な支配の連鎖が確認されていないということだ。調査上の連鎖は少なくとも次の順序を必要とする。

  1. AS210860の登録記録が、識別可能な組織または事業者を示す。
  2. その同じ主体が、maintainer、routeオブジェクト、AS-set、ROAの管理または認証経路に現れる。
  3. 同じ時間窓で、AS210860によるプレフィックス発信が独立した観測系から確認される。
  4. 発信された経路とRPKIの最大長・origin認証が一致する。
  5. 一次資料、公式会社登記、顧客開示、契約、サービス説明のいずれかが、技術的能力を運用上または経済上の結果に結び付ける。

最初の四つが揃っても、第五段階が欠ければ、ネットワーク資源の技術的な関係を企業の市場支配やキャッシュフローへ翻訳することはできない。逆に、会社登記やサービス資料が見つかっても、BGP観測やRPKIと結び付かなければ、実際のネットワーク運用への関与は未確認のままだ。

何が仮説を強め、何が弱めるのか

仮説を強めるのは、同じ識別子、同じ維持主体、同じプレフィックス、同じ観測時刻が複数の独立ソースで一致することだ。例えば、RIPEのaut-numとRDAPが同じ組織参照を示し、routeオブジェクトのmaintainerがその組織に対応し、RIPE RISと別のBGP観測が同じoriginを確認し、さらにRPKIがその発信を有効と判定する。そのうえで、公式の事業者資料や登記情報がAS210860を自社のネットワークまたはサービスに明示的に結び付ければ、技術的関係から運用主体への推論は強くなる。

一方、登録名、maintainer、PeeringDBの組織名、BGP表示名が食い違う場合、単なるデータ更新の遅れなのか、管理業務の委託なのか、別の事業者が運用しているのかを区別しなければならない。IRRとBGPが一致しない、RPKIが存在しない、あるいはRPKIの最大長が観測経路を認証しない場合も、支配仮説は弱まる。ただし、単一の不一致だけで運用主体が存在しないと結論付けることはできない。観測範囲、キャッシュ、撤回、データベースの違いを確認する必要がある。

次に確認すべき条件

この調査を前進させる最も重要な条件は、同一の時間窓で取得した証拠セットだ。そこには、RIPEの登録とmaintainer情報、routeまたはroute6オブジェクト、観測されたBGP発信、対応するRPKI認証、PeeringDBなどの接続情報、そして識別可能な事業者の一次資料を含める必要がある。会社登記の正式名称、管轄、法人番号が確認できれば、DFINFRAという公開名と法的主体との距離も測定できる。

その結果が一致すれば、DFINFRAとAS210860の関係は、単なる登録上の関連から、限定された運用支配の証拠へ進む可能性がある。しかし、経路発信だけが確認されて法的主体やサービス資料が見つからなければ、結論は「AS210860による観測可能な発信」にとどまる。登録とRPKIだけが確認され、BGPが確認できなければ、技術的な認証は現実の運用状態に接続しない。

現時点で、DFINFRAの公開上のAS210860との関連は、調査に値するシグナルである。しかし、それを所有、運用、顧客依存、収益、または市場支配へ拡張するには、登録、権限、観測、暗号学的認証、法的・商業的証拠を一つの主体へ結び付ける必要がある。次に観測されるべきなのは、名前の一致ではなく、同じ主体がネットワーク状態を変更し、その結果に対して運用または契約上の責任を負っていることを示す証拠だ。

参照資料