要約

  • Draft 3の新しい核心は、資源の回収を開始しただけでは足りず、回収が終了してから初めてAFRINIC生成のAS0 ROAに含める、と順序を限定した点にある。これは暫定的な私的主張を、署名された経路起点の否定情報へ早まって変換しないための実質的な抑制である。
  • AS0 ROAは所有権の宣言でも経路削除命令でもない。AFRINICが台帳状態を記録して署名し、選択したトラストアンカーを取り込む検証器が技術的な起点検証状態を算出し、各ネットワークが監視、優先度低下、拒否、現状維持のいずれを採るかを決める。
  • 提案本文とスタッフ評価は、回収終了を証明する公開基準、対立する主張の隔離、緊急の異議経路、訂正期限、独立した観測を定義していない。必要なのは、対象、直前状態、根拠、未解決事項、時刻、発行・撤回履歴を結ぶ版管理された最終性記録である。
  • 公開資料が証明するのはDraft 3の公表内容までであり、実運用、特定のAS0オブジェクト、採用ネットワーク、誤判定、経路拒否、障害、損失、測定済みの便益ではない。制度設計上の危険と、実際に発生した出来事は分けて読まなければならない。

「終了」を証明させる一文

2021年4月19日に提出されたVersion 3の改訂履歴は、その変更を「回収された資源への考慮」と要約している。提出者はHaitham El-NakhalとYazid Akanhoであり、文書識別子はAFPUB-2019-GEN-006-DRAFT03である。そこで新たに明示された要点は極めて狭い。AFRINICは、回収された資源を回収手続きの終了時にのみ、自ら生成するAS0 ROAの対象へ加えるべきだというのである。

短い一文だが、重要なのは動詞より時点である。「回収している」は動きの途中を示す。「回収が終了した」は、少なくとも台帳の発行側が、対象資源を未配分・未割当の集合へ移すための事実状態が確定したと扱う時点を示す。この二つを同義にすると、レジストリ内部の調査、通知、主張、記録修正などの途中状態が、外部のネットワークによって利用される暗号署名付きの否定情報に直結しかねない。Draft 3は、その直結を一文で拒んだ。

ここで「終了」を法律上の勝訴や所有権の確定と読み替えてはいけない。AFRINICは私的な会員制の技術レジストリであり、番号資源の一意性を支える記録管理者・調整者にすぎない。国家でも、立法者でも、規制当局でも、警察でも、検察でも、処罰機関でも、没収機関でも、裁判所でもない。回収という私的な管理過程について公法上の裁定を下す力はなく、その署名が保有者や利用者に対する管轄権を生むこともない。

公式文書にある、未配分・未割当の資源についてAFRINICだけが該当ROAを作成できるという趣旨は、AFRINIC自身が運営する認証・公開サービス内の技術的、管理的能力に限定して理解すべきである。それはプレフィックスの所有を意味しない。ある利用者のネットワークを支配することでもない。検証結果を受け取る通信事業者に経路の扱いを命じることでもない。この限定を外すと、台帳を整えるための狭い能力が、現実を作り替える一般権限へと膨張してしまう。

暫定状態を署名しないという抑制

回収の最中には、台帳上の値がまだ動き得る。たとえば、通知を送った、調査を始めた、契約上の問題を主張した、返却記録が完全には整っていない、内部担当者が一定の見解を持った、異論が未解決である、といった状況を想定できる。これはDraft 3で実際にそのような事案が起きたという意味ではない。あくまで、どの状態を「終了」と誤認してはならないかを示す反実仮想の点検項目である。

そのどれか一つを機械処理の開始条件にすれば、台帳の一時的な分類が署名に変わる。署名はリポジトリへ出され、該当する信頼経路を選んだ検証器へ届き、通常のASを起点とする競合広告に技術的なInvalidという分類を与え得る。その後の措置は各ネットワークの判断であるとしても、元の分類に誤りがあれば、その誤りは一つの組織の内部画面にとどまらず、異なる運用方針を持つ多数の受信者へ運ばれる。だからこそ、署名前の状態は「暫定だが恐らく正しい」ではなく、「否定情報として公表できるだけの終了状態」でなければならない。

Draft 3が置いた順序は、回収を開始した事実を、回収が完了した証拠の代わりに使わないという最小限の良識である。AS0の対象入りが回収手続きの圧力手段になれば、署名は記録の説明ではなく、争いを有利に進めるための道具になる。逆に、終了後に限るならば、少なくとも提案の論理上は、署名は既に完了した台帳状態を後から表現する。信号が先に現実を決めるのではなく、確定した記録が先にあり、信号がそれを正確に記述する。この順序にDraft 3の制度的価値がある。

正しい場合の便益を過小評価しない

この境界を論じる際、AS0の発行自体を危険物として退けるのも正確ではない。AFRINICの台帳が、あるIPv4またはIPv6空間を本当に未配分、未割当、あるいは最終的に回収済みと正しく記録しているなら、そこから通常の公開起点が現れることは期待されない。AS 0は通常のBGP起点として使うものではなく、AS0 ROAは対象プレフィックスを通常の起点から広告する意思がないことを示す、機械可読で認証可能な否定情報になり得る。

手作業で更新されるボゴン一覧だけに依存するよりも、資源台帳に近い発行者が範囲を正確に保ち、署名された情報を定型的に提供する方が、受信側には一貫した観測材料を与えられる。検出のための照合作業、古い一覧の追跡、出所不明の警告の確認といった費用を下げられる可能性もある。Draft 3は、未配分・未割当のIPv4・IPv6空間へのAFRINIC生成ROA、資源保有者が自身のアカウントまたは管理下の資源についてAS0 ROAを作る選択、後の配分前に被覆するAS0 ROAを撤回してリポジトリから見えなくする順序を維持した。

スタッフ評価は、拡張委任統計ファイルにおけるavailableとreservedを未配分・未割当の在庫として解釈し、現在および新規の在庫を扱う自動化、在庫システムの更新、発行時点の調整、内部統制と監視の更新が必要になるとした。また、新たに入るIANAまたはPTI由来のプレフィックスは直ちにAS0 ROAを受け、返却・回収されたプレフィックスは在庫処理を通じて対象になるという見方を示した。ここでも核心は、正しい在庫状態を効率よく署名へ移すことにある。自動化は正確な前提を速く反映するには有用だが、未確定の前提を確定させる能力は持たない。

したがって最も強い善意の説明は明快である。正しく限定されたAS0は、通常の起点が期待されない資源について、参加を選ぶネットワークへ認証済みの警告を届ける。Draft 3の「終了時のみ」という条件は、その便益を守るための抑制であって、便益に敵対するものではない。問うべきは、AFRINICが否定信号を一切出せるかではなく、出す直前の終了状態を第三者が追試できるほど精密に残せるかである。

公開文書が残した空白

ところが、提案本文とスタッフ評価は、回収が終わったと判断する公開の試験を定義していない。対立する主張がある場合に何をもって解消とするか、争いが残る資源を自動処理から隔離する状態、緊急に異議を伝える経路、誤りを直す期限、発行と撤回が複数の検証地点でどのように観測されたか、誤った否定信号による費用をどう扱うかも示していない。

これは、内部に追加の手続きや記録が存在しなかったという証明ではない。公開された範囲からは確認できない、という証拠上の限界である。存在を確認できないものを「なかった」と断定するのも、逆に「当然あった」と補うのも不適切だ。公開信号を評価する読者に言えるのは、外から再現できる最終性の証跡が提案文面に定義されていなかったことだけである。

また、この記録はDraft 3の公表と内容を証明するにとどまる。実際に特定のAS0オブジェクトが作られたこと、運用に入ったこと、事業者が採用したこと、あるプレフィックスが影響を受けたこと、誤判定や経路拒否や障害が起きたこと、保有者が損失を被ったこと、攻撃が減ったこと、測定可能な便益が得られたことは証明しない。以下で扱う運用上の連鎖は、提案が持つ作用可能性を分解するための分析であり、発生済みの事故報告ではない。

本稿が扱うのは、Draft 3が置いた回収終了という最終性の境界と、未完成の私的主張を尚早な否定署名へ変えることで生じ得る誤判定の境界だけである。公開記録は、実運用、特定のAS0オブジェクト、事業者による採用、実際の誤判定、保有者の損失、測定された便益を証明しない。