要約

  • AFRINICは2023年3月15日、架空の組織が、AFRINICは実施していないとする理事選のために委任状とMyAFRINICの認証情報を求めている、と会員へ注意を促した。
  • AFRINICが説明したアカウントの機能には、投票、組織情報、移転、逆引きDNS、RPKI、IRRデータが含まれた。一つの秘密が、代表権と技術管理という別種の領域に接近できる点が制度上の核心である。
  • 封印された事実関係からは、依頼の送り手、運営者、所属、場所、意図、動機、受信者数は分からない。誰かが委任状や認証情報を渡したこと、アカウントが利用されたこと、記録やネットワーク関連データが変わったことも確認されていない。
  • AFRINICによる警告は、虚偽だとされた選挙の前提を否定し、会員が公式の依頼と誤認しないための適切な民間サービス上の対応だった。統合ポータルにも、本人関係を一元化し、支援や日常管理を簡潔にする明確な利点がある。
  • 改善の焦点は、AFRINICを捜査・処罰機関のように扱うことではない。選挙専用の認証、範囲と期限を絞った委任、高影響操作の追加確認、帰属可能な記録、迅速な取消し、紛争中の技術状態の継続を組み合わせることである。

警告は、まず正しいサービス行為だった

この件を、起きたと確認されたことから始める必要がある。AFRINICの同日付告知によれば、架空の組織が、理事選への参加に関係する委任状とMyAFRINICの認証情報を求めていた。AFRINICは、そのような理事選を組織していないと述べ、依頼を公式なものとして扱わないよう会員へ知らせた。ここで「架空」「実施していない」という判断の主体はAFRINICである。公開記録は、その依頼を誰が作り、誰が送り、どこから運営し、何を最終目的にしていたかを示していない。したがって本稿も、送り手に名前、属性、所在地、意図、犯罪性を付け加えない。

警告そのものには、二つの即時的な効用があった。第一に、選挙があるという依頼の土台をAFRINIC自身が否定したため、会員は「理事選のため」という説明だけを公式性の証拠にせずに済む。第二に、求められていたものが単なる連絡先ではなく、委任状とポータル認証情報だったことを明示し、注意すべき対象を具体化した。民間のサービス提供者が、自らの名称や手続が誤って利用され得る場面で、正規の手続を説明し、利用者へ警告し、自分のシステムと記録を守る。それは過剰な権力行使ではなく、サービス運営の範囲内にある保護行為である。

告知を「何かが奪われた後の発表」と読むのは正確でない。確認されていない事柄の方が多い。委任状を渡した会員がいたか、認証情報を伝えた会員がいたか、アカウントへのアクセスが成立したかは分からない。投票が行われたことも、組織情報、移転、逆引きDNS、RPKI、IRRのいずれかが変更されたことも、損失や通信障害が生じたことも示されていない。警告の重要性は、被害の大きさを推測することではなく、被害が確認される前でも見える「権限の束」を読み解ける点にある。

一つの窓口が便利であるという最善の説明

統合された会員ポータルを採用する理由は理解できる。会員とレジストリの関係を一つの認証済み窓口で扱えば、部署ごとに異なる本人情報を抱える必要が減り、連絡先の不一致も抑えやすい。正当に権限を与えられた担当者は、関連するサービスを見渡し、支援を受け、変更状況を追える。運営側も、ばらばらの照会に同じ本人確認を繰り返すより、一貫した会員関係を保ちやすい。利用者が少ない組織では、選挙事務と日常の番号資源管理を別々の担当者へ分ける余裕がないこともあり得る。一つの入口は、そうした現実に沿った設計になり得る。

2020年にAFRINICが公表した理事選手続は、適格で会費等の状態が良好な会員の電子投票がMyAFRINICと統合される仕組みや、MyAFRINICから作成する委任の書面、または所定の権限条件を満たす会員のレターヘッド上の委任状について説明している。この資料は、本人関係、会員資格、投票、代理を一つの会員基盤に結び付ける運用上の合理性を理解する背景になる。ただし、2020年の説明は2023年3月に有効な理事選が存在した証拠ではなく、その後も全く同じ規則だったことや、実際に誰かへ代理権が与えられたことを示すものでもない。

便利さを公正に評価することは、危険を軽視することではない。むしろ、単純に「一つにまとめるな」と言うより、会員関係の一貫性は残しつつ、行為の結果に応じて認証と承認を分ける方が、実務に耐える答えになる。単一の画面や単一の利用者名を直ちに問題視する必要はない。問うべきなのは、その入口の内側で、選挙上の意思表示、法人の代表、番号資源に関する指示、経路安全性に関わる表明が、同じ秘密を提示するだけで連続的に扱えるのか、それぞれに別の根拠と確認が要るのかである。

警告が見せたのは「送り手の物語」ではなく権限の地図だ

人は、虚偽の依頼を目にすると、誰がなぜ送ったのかを知りたくなる。しかし、この資料群が確実に語れる中心はそこではない。AFRINICは求められた認証情報から到達可能な機能を自ら列挙した。その一覧が、見えない送り手についての推理より、はるかに制度的な情報を持つ。投票は会員組織の意思を選挙に表す。組織情報は、レジストリが誰を会員側の連絡先や担当者として扱うかに関わる。移転は番号資源に関する登録上の移動を扱う。逆引きDNS、RPKI、IRRは、それぞれ異なる方法でアドレス空間と名称、経路起点の許可、経路方針の情報を外部へ示す。

これらは同じ行為ではなく、同じ法的意味も持たない。それでも、一つのアカウントの認証情報を求める依頼が、すべてに接近する可能性を帯びていたとAFRINIC自身が説明した。だから問題は、特定の攻撃技法の巧妙さではなく、異なる権限の入口が共通の認証失敗に依存する設計である。何も変更されなかったとしても、どの権限を同時に危険へ近づけ得るかは、告知に現れた機能一覧から検討できる。

ここでは言葉の節度が重要になる。「到達できる機能」と「実際に行使された権限」は別である。「変更できる設定」と「変更された記録」も別である。「経路に関係するデータ」と「AFRINICがパケットを経路制御すること」も別である。本稿が扱うのは潜在的な失敗領域の広さであり、成功した侵害の報告ではない。その線を守るからこそ、推測ではなく設計へ焦点を戻せる。