要約

  • AFRINIC-32で報告された約五分という値は、AS0オブジェクトの発行または失効に関する試験結果であり、全リポジトリ、全バリデータ、全ルーター、全顧客の回復時間を保証するものではない。
  • Draft 2で確認できるDraft 1からの唯一の追加は、レジストリが生成するAS0オブジェクトを独立TALの下に置き、少なくとも初期展開では採用を任意にし、通常の保有者ROAから分けて測定できるようにする選択肢だった。
  • 独立TALは、正しく限定された信号を認証済みの運用証拠にしつつ、受信しない自由も守る。その利益は本物だが、台帳の誤り、緊急訂正、キャッシュ収束、損失負担まで自動的に解決しない。
  • AFRINICの役割は、私的な技術台帳の管理、署名、撤回調整、測定結果の公表に限られる。RPKIの検証状態を監視、優先度低下、拒否、無視のどれに結び付けるかは各ネットワークが決める。
  • 安全な設計には、正確な対象範囲、発行前の衝突確認、認証された緊急異議経路、撤回時刻、複数地点での観測、訂正状況、責任境界を公開し、独立TALを交換可能な入力として扱うことが必要である。

発行者の五分と、インターネットの長い時計

2020年9月17日のAFRINIC-32で、職員はAS0オブジェクトの失効に約五分を要したという試験結果を報告した。短く、覚えやすく、運用上も魅力的な数字である。新たな割当ての前に誤解を招く署名済みオブジェクトを取り除く必要があるなら、五分で済むという説明は安心材料になる。だが同じ場で参加者が注意したように、オブジェクトを発行または失効させることは一段階にすぎない。発行者が操作を完了した時計と、その結果を受け取る側の時計は別に動く。

この区別は細部ではない。発行側では、台帳の状態を変え、該当オブジェクトを失効させ、リポジトリから見えなくする処理を確認できる。一方、受信側では、リポジトリの取得間隔、バリデータの更新、キャッシュの保持、ルーターへの反映、各組織の運用手順が重なる。あるネットワークは訂正後の状態を見ていても、別のネットワークはなお古い状態を持ち得る。したがって「五分で撤回できた」は発行者側の有用な実測であっても、「五分で到達性が回復する」という普遍的な約束にはならない。

ここで問題となるAS0 ROAは、対象プレフィックスとそのmore-specificsが経路起点として使われるべきではない、という署名済みの技術信号である。その信号を選んだ受信者にとっては、通常の起点が想定されないアドレス空間を識別する助けになる。だが、経路起点検証が返す状態は技術的な入力である。法的判断でも、所有権の判断でも、制裁でもない。AFRINICが署名した瞬間に経路がインターネットから消えるわけでもない。ルートを監視対象にするか、優先度を下げるか、拒否するか、何もしないかは、それぞれのネットワークが自ら選ぶ。

Draft 2が実際に変えたもの

Draft 2の意味を過大にも過小にも評価しないためには、変更線を狭く保つ必要がある。すでに示されていた基礎部分は、AFRINICが自らの管理する未割当て・未指定のIPv4およびIPv6空間にAS0 ROAを作成すること、保有者が自分のアカウント下の資源について任意にAS0オブジェクトを作れること、そして覆っているAS0オブジェクトを割当て前に失効させ、リポジトリから見えなくすることだった。Draft 2はこの骨格を置き換えなかった。

確認できる追加は一つである。レジストリ生成のAS0オブジェクトを通常の保有者ROAとは別のTALの下に置けるようにし、その特別なサービスを少なくとも初期には任意採用にし、分けて測定できるようにするという選択肢だ。「できる」であって「必ずそうする」ではない。独立TALを既定にするか、どう展開するか、何を指標とするかを含む運用の詳細は、AFRINIC側に残された。

この狭さこそ、評価の焦点になる。Draft 2が新たな公的権限を作ったわけではないし、運用者の判断を置き換えたわけでもない。誤り訂正の全工程を定義したわけでもない。それでも、特別なレジストリ生成信号を通常の信頼経路から切り離せることは、現実の抑制として意味を持つ。採用者は入口で「受け取る」を選び、非採用者は「受け取らない」を選べる。観測者はこの信号群だけを分けて追跡できる。この二つは、強制力を増やさずに可観測性を上げる、薄い調整の設計に近い。

どの資源に、どの順序で信号が付くのか

職員の評価では、自動的なレジストリ発行の対象は、利用可能または予約済みとして記録されたIPv4・IPv6在庫だった。IANA/PTIから新たに受け取ったプレフィックスには直ちにAS0オブジェクトを付け、返却または回収されたプレフィックスにも付ける、という解釈が示された。他方、すでに会員へ割り当てられた資源は、その自動発行範囲の外に置かれる。保有者が自分のアカウント下の資源にAS0を作る経路は別に残る。

この区分は、単なる分類表ではない。レジストリの在庫状態が署名済みの信号へ変換される境界を決めるからだ。正しい台帳なら、利用可能・予約済みの資源に通常の起点が現れたとき、受信を選んだネットワークへ認証済みの注意材料を提供できる。誤った台帳、遅れた更新、係争中または処理未完の返却・回収状態が混じれば、同じ仕組みは正当な起点をInvalidに見せる方向へ働き得る。信号の暗号学的な真正性は、その基礎となる在庫記録の実質的な正しさを保証しない。

割当てまたは指定の前には、対象を覆うAS0オブジェクトを失効させ、リポジトリから見えない状態にする必要がある。この撤回ゲートは重要である。新しい利用者へ資源を渡す一方で、以前の「使われるべきでない」という信号を残す矛盾を避けるためだ。少なくとも提案は、撤回を後片付けではなく、委任前の安全条件として扱った。しかし、正確な有効期間や解放手順は職員の内部手順に委ねられた。ゲートの存在が明記されても、誰がどの証拠で開閉し、どこまでの不在を確認すればよいかは十分に示されていない。

独立TALが守る二つの自由

独立TALの最も強い善意の説明は、セキュリティと選択の両方を守るというものだ。利用可能または予約済みであることが正しく記録された資源について、レジストリがその同じ在庫記録を根拠に署名した信号は、採用者の監視負担を下げ得る。通常の経路起点が期待されない空間に起点が現れたとき、ばらばらの推測ではなく、検証可能な証拠として扱えるからだ。

もう一つは退出の自由である。通常の保有者ROAと一体化されていなければ、ネットワークはこの特別なレジストリ生成クラスだけを受け取らない選択ができる。最初は監視だけに使い、精度や訂正の実績を見てから、より強いローカル対応を検討することもできる。研究者や会員側の観測者は、普通のROAから分離した統計を取り、誤検知、発行、撤回、伝播の振る舞いを比較できる。これは、採用前に実装の現実を知るための価値ある構造である。

ただし、独立TALは安全弁であって、万能の訂正装置ではない。入口を切り分ければ、誤った信号から距離を置くことは容易になる。だが、すでに採用しているネットワークへ届いた誤りを誰が発見し、どの本人確認で異議を受け、何分以内に台帳を直し、どの地点で古い状態が消えたと判断するかは別問題である。選べることは損害を限定し得るが、選んだ者に対する回復契約を代替しない。

私的台帳から出る証拠の限界

AFRINICが自らのレジストリサービス内の未割当て在庫について署名できるのは、専属的な技術管理と署名能力を持つからである。それを「権限」と呼ぶ場合でも、意味はこの私的な管理範囲に限定しなければならない。AFRINICは主権者でも、立法者でも、規制機関でも、警察でも、検察でも、処罰者でも、没収者でも、所有者でも、公法上の裁判所でもない。プレフィックス、保有者、運用者、顧客、国家に命令する地位はない。

Heng Luの薄い調整という見方は、ここで判断の軸を明確にする。レジストリの正当な仕事は、一意性のための私的台帳を維持し、そこから技術証拠を出し、誤りがあれば速やかに記録と署名を直すことである。ネットワークの判断を中央に吸い上げることではない。独立TALは、この境界に沿う可能性を持つ。AFRINICは証拠を提供し、運用者は使うかを選ぶ。証拠の品質が悪ければ、運用者がそれを外せる余地も残る。

NRSの役割も同じ線上にある。NRSは会員側から台帳、署名済みオブジェクト、リポジトリ観測、訂正記録を照合し、退出手段や冗長性を検討できる。しかし、NRSが割当主体や経路指令者になるのではない。独立した検証者が必要なのは、新しい中心を作るためではなく、中心の主張を外部から点検可能にするためだ。交換可能性と複数の観測点があるほど、誤りは権威の争いではなく、証拠の差として扱いやすくなる。

この段階で言えるのは、Draft 2が独立TALという有意義な抑制を追加したことまでである。それが採択された、実装された、本番で使われた、特定の運用者が選んだ、便益や損害を生んだとは言えない。五分の数字も試験の主張にとどまる。実際のプレフィックス、拒否された経路、障害、保有者の損失をこの記録から導くことはできない。価値を認めることと、効果を実証済みと扱うことは違う。