要約

  • RFC 6493 は RPKI CA 管理者の最小限の連絡先を署名オブジェクトで発見可能にするが、その記録は身分証明書ではなく WHOIS の代替でもないと明記する。
  • 完全な検証を通過したオブジェクトは、署名、RFC 6488 のオブジェクト検査、RFC 6493 のバージョンおよびペイロード・プロファイル検査が成功したことを示すが、宛先が監視され、人が問題を確認し、是正を承認できることまでは示さない。
  • 実用的な対応台帳は、オブジェクトの有効性、連絡先の範囲、通信路の到達性、人の確認、行動権限、エスカレーションまたは引き継ぎを別々に記録する。

Ghostbusters Record が扱う実務上の問題は狭いが重要である。Route Origin Authorization からトラストアンカーまでの経路にある証明書の有効期限が切れた、満了が迫っている、あるいは証明書失効リストが古いと、ルーティングに関わる利用が脅かされる。RPKI 証明書名は人を探す手掛かりとして意図的に弱いため、RFC 6493 は「対応が必要な CA 証明書について誰に連絡するか」という単純な問いに答える。

その答えは、厳しく制限された vCard をペイロードに持つ署名オブジェクトである。CA 証明書を担当する個人または役割を示し、住所、電話番号、電子メールのいずれかを含められる。プロファイルは vCard の枠、バージョン、表示名に加えて少なくとも一つの連絡手段を要求する。目的は職員名簿ではなく、必要最小限のデータである。

この節度は利点であると同時に境界でもある。RFC 6493 は Ghostbusters Record が身分証明書ではないとする。これは当該 CA 証明書の管理者による連絡先データの表明であり、資源レジストリの WHOIS データでもない。記録が示すのは CA 証明書の管理者であって、番号資源の保有者とは限らない。

検証が答えるのも限定された問いである。記録は RFC 6488 の署名オブジェクト形式と EE 証明書を用いる。リライングパーティーはオブジェクトを検証し、バージョンを確認し、vCard を抽出してプロファイルへの適合を確認する。その後に初めてアプリケーションへ連絡先が渡る。これは特定の署名ペイロードが所定の暗号学的・構文的検査を通ったという強い証拠である。

しかし、今日そのメールボックスを誰かが読む証拠ではない。仕様は連絡先が自己申告であり、上位 CA 証明書の発行者による確認を受けていないと警告する。記録は任意で、CA はゼロ個以上を公開できる。有効なオブジェクトが個人、管理上の役割、NOC を示しても、当番表、確認期限、委任された権限、代替連絡先、エスカレーション経路は分からない。

証明書や CRL の問題に時間制約があると、この差は重大になる。メッセージを送ることは責任ある応答者に届くことと同じではない。人に届いても、証明書の変更、修正オブジェクトの公開、継続手順の発動を許可できるとは限らない。一つの署名済み連絡先をインシデント指揮体系全体の証明へ膨らませてはならない。

対応台帳なら、プロトコルを変えずに差を保存できる。第一段階はオブジェクトのハッシュ、検証時刻、証明書経路と結果。第二段階は連絡先が個人、役割、組織のどれを主張し、どの種類の通信路を含むか。第三段階は機微な運用情報を公開しない限定的な到達性試験。第四段階は具体的な問題の受領確認。第五段階は応答者が行動権限を持つか、上申が必要か。第六段階は引き継ぎ、実施結果、または権限者に届かなかった事実である。

この台帳は編集上のガバナンス提案であり、RFC の要件ではない。非公開の勤務表を露出させたり、監視記録を作ったり、連絡先を本人確認に変えたりしてはならない。異なる六つの主張を「連絡済み」の一語に潰さないためのものだ。一回の試験は局所的な証拠にすぎず、Ghostbusters の普遍的な導入や別の CA の即応性を証明しない。

公開連絡先にはコストもある。RFC 6493 は電話番号への迷惑電話やメールアドレスへのスパムの危険を挙げる。試験には予測可能な上限、限定的な開示、嫌がらせ対策が必要で、連絡先を更新しても過去の記録が存在した証拠は失わない設計が要る。

Number Resource Society が提唱できるのは控えめな立場である。署名済みの連絡経路が今も利用でき、エスカレーション責任が明確かどうかを示す限定的な証拠の公開を促せる。一方で CA の認証、本人確認、リポジトリ運用、インシデント終了の宣言はできない。権限は対象証明書と公開工程を管理する運用者・組織に残る。

出典