要約

  • 2022年1月、AFRINIC理事会はResolution 202201.673によりAFPUB-2019-GEN-006-DRAFT03を承認し、未割り当て・未指定のIPv4・IPv6在庫を対象にAS0 ROAを作成・公表する組織的な義務を受け入れた。
  • AS0が表すのは「通常の自律システムからの起点広告を想定しない」という否定的な意図だが、制度上起きることは、在庫を選び、オブジェクトを生成し、署名して公表するという肯定的な行為である。
  • 公表された情報を検証器が観測すれば、競合する通常の起点広告は技術上のRPKI Invalidと判定され得る。しかし、監視、優先度低下、拒否、無変更のどれを選ぶかはネットワーク運用者に残る。
  • 密封された記録が立証するのは提案の内容と理事会の承認までであり、委任、実装、実際の署名、リポジトリ掲載、検証器による観測、経路操作、障害、損失、便益は立証していない。
  • 正当なサービスに必要なのは、正確な在庫スナップショット、狭い適用範囲、決定論的なプレフィックス導出、権限分離、割り当て前の撤回、迅速な訂正、後継履歴、独立測定、運用者裁量を一つの公表受領書に結び付けることだ。

一行の決議が機械に求めたこと

Resolution 202201.673を単なる会議上の賛成として読むと、最も重い部分を取り逃がす。理事会が2022年1月に承認したAFPUB-2019-GEN-006-DRAFT03の題名は、未割り当て・未指定のAFRINICアドレス空間に対するRPKI ROAを扱う。そこから生じた実務上の約束は、方針を支持すると言うことではない。AFRINICが管理中と記録するIPv4とIPv6の在庫から対象を識別し、覆うプレフィックス集合を導出し、AS0を指定したROAを作成し、暗号鍵で署名し、第三者が取得できるリポジトリへ公表することである。

この行為は、一見すると言葉が逆向きに見える。AS0 ROAの内容は「この空間について通常の自律システムが正当な起点となることを想定しない」という否定的な起点意図だ。しかし、その意図を世に出す側が行うことは徹底して肯定的である。データベースの状態を選び、プレフィックスを計算し、署名権限を行使し、新しい暗号オブジェクトを作り、配布点に置く。何もしないことでも、単なる警告文でもない。第三者の検証器が機械的に読める状態を、AFRINIC自身が新たに作る。

ROAは、アドレス空間と許容される起点動作を結び付ける署名済み情報だと考えればよい。AS0は通常のネットワークが実際に経路を広告するための番号ではなく、「通常の起点は期待されていない」という表現に使われる。検証器がそのROAを取得し、同じ空間について通常のASを起点とする広告を見れば、その広告はRPKIの技術上の状態としてInvalidになり得る。ここで大文字のInvalidは、所有権が無効だとか、行為が違法だとかいう判断ではない。署名済みの起点情報と観測した経路の組み合わせから得られる、限定された技術分類にすぎない。

さらに、公表は経路制御そのものではない。検証器は観測し、分類する。各ネットワークはその分類を材料に、記録だけする、調査対象にする、優先度を下げる、拒否する、あるいは何も変えないという選択をする。Resolution 202201.673は遠隔地のルーターを設定しなかった。合意形成も理事会決議も、独立したネットワークの運用方針を上書きしない。この分離を曖昧にすると、便利なセキュリティ信号を統治命令へと誤読してしまう。

最も強い善意の説明

この方針には、明快で強いセキュリティ上の根拠がある。レジストリ上で利用されていないと記録されたアドレス空間でも、インターネット上で無許可の起点広告に利用される可能性はある。誰も通常の起点として使うはずのない空間について、暗号的に検証できる否定的な起点意図を公表すれば、運用者は単なる噂や画面表示ではなく、出所の追える信号を調査材料にできる。正しく限定され、在庫の変化に合わせて可逆的に扱われるなら、AS0 ROAは不正な広告の使い勝手を下げ、調査負担を軽くする可能性がある。

この便益を否定する必要はない。むしろ、便益があるから公表の品質条件を厳密にすべきだ。署名済みオブジェクトは、通常のウェブページ上の注意書きより強く、自動化された判断系へ入りやすい。誤った対象選定や撤回の遅れも、同じ経路を通って運用者の監視、調査、経路選択に波及し得る。正しい信号が無許可広告への露出を減らす一方、古い信号は正当な利用を誤って疑わしく見せる。その両面は別々の議論ではなく、一つの因果連鎖の表裏である。

したがって最初の条件は、対象を「使われていないらしい空間」と曖昧に呼ばないことだ。方針が扱うのは、AFRINICが現に管理者であり、その権威ある在庫で未割り当てまたは未指定という状態にある空間である。予約、保留中の処理、返還や回収の途中、すでに割り当て先が決まった資源、保有者が自ら作成したAS0オブジェクトとの関係は、明示的な規則で処理されなければならない。編集上の「未使用」という略語が、機械に与える選択条件になってはならない。

公表を安全なサービスにとどめる境界

第二の条件は、割り当てや指定より前に、覆っているAFRINICのAS0オブジェクトを失効させ、取り除くことだ。新しい利用者が資源を受け取った後も否定的な起点意図が残るなら、サービスは自ら作った古い情報によって正当な運用を圧迫する。撤回は後処理ではない。将来の割り当てを安全にするため、公表と同じ設計の中心に置くべき動作である。回収資源も、回収手続が終わったと確定するまで対象へ入れないという最終性が要る。

第三の条件は、オブジェクトを作る権限と実際に署名する作業を分け、導出されたプレフィックス集合を別の担当が照合できることだ。どの在庫スナップショットを使ったか、どの規則で集約または分割したか、何を除外したかが残らなければ、署名の数学的正しさだけ確認できても、対象選定の正しさは確認できない。暗号は入力の意味までは保証しない。正確でない台帳からは、正確に署名された誤りが生まれる。

第四の条件は訂正である。誤りを申告する公開窓口、受理した時刻、調査責任者、暫定措置、訂正期限、旧オブジェクトの失効、新しいオブジェクトとの対応関係を記録する必要がある。リポジトリの現在像だけでは、「前に何があり、いつ置き換わり、どの検証器が古い状態を見得たか」を説明できない。後継履歴と独立測定があって初めて、公表者の説明と外から観測できる事実を突き合わせられる。

Draft 3は、資源保有者が自らの口座または管理下の資源についてAS0 ROAを作る余地を残していた。また、別個のTrust Anchor Locatorを使い、選択的な利用や分離した測定を可能にする選択肢も文脈上の安全策となる。ここで重要なのは設計史を語り直すことではなく、AFRINICの公表だけを唯一の声にしないこと、観測と採用を区別できることだ。

立証された地点で止まる

記録上の段階は順に分けなければならない。提案があり、参加者の合意が記録され、理事会が承認した。その後に初めて、内部委任、在庫スナップショット、プレフィックス導出、署名、リポジトリ公表、検証器の観測、各ネットワークの経路判断が続き得る。本稿で確かめられるのは提案内容とResolution 202201.673による承認までである。承認された方針が公表を命じたことは、公表が実際に行われた証拠ではない。

したがって、実際のAS0 ROA、対象プレフィックス、鍵の使用、リポジトリへの掲載、検証器による取得、運用者による採用、経路拒否、障害、損失、誤判定、測定されたセキュリティ便益を、この決議から推測してはならない。理事会の正確な開催日、議題資料、定足数、出席者、利益相反、助言、票数、反対意見、委任、予算、発効日、期限、見直し条項、公開訂正窓口も、与えられた記録にはない。これは「存在しなかった」という意味ではなく、分からないという意味である。

AFRINICの位置付けも同じ精度で扱う必要がある。AFRINICは私的な会員基盤の技術台帳管理者・調整者である。正確な記録、限定された証明、セキュリティ情報の公表、訂正、継続性を担う余地はある。しかし、アフリカそのものでも、主権者でも、立法者でも、規制当局でも、公法上の裁判所でもない。理事会が自組織の機械へ仕事を命じることはできても、人や財産や独立ネットワークに対する新しい公権力を得ることはない。

この境界を保つ最小の実務は、公表のたびに検証可能な受領書を残すことだ。そこには、方針の版、在庫スナップショット、プレフィックス導出規則、署名者の権限、オブジェクト集合、リポジトリの場所、除外事項、割り当て前の撤回条件、訂正期限、後継履歴、そして経路判断は各運用者に残るという通知が必要になる。そうすれば利用者は、暗号的な信号を便利な技術サービスとして検証できる。台帳管理者を主権者に見立てる必要も、信号を処分に見立てる必要もない。