要約

  • AFRINICは3月9日、予約済みで会員に割り当てていない102.224.0.0/12から、より小さいプレフィックスがグローバルに広報されたと公表した。現行の委任統計でも、この104万8576個のIPv4アドレスはreservedである。
  • AFRINICによると、ARINからの通報後、関連するIRRエントリーを削除させ、主要なトランジット事業者とエントリー作成者とみられる当事者に連絡し、撤回監視を強めた。
  • RIPE RISの履歴は複数のプレフィックスと三つの起点ASNを記録する。ただし、すべてが同じ行為者または同じ事故だったとは証明していない。8月12日現在、328のIPv4ピアのうち/12全体を観測するものはゼロである。
  • AFRINICはIRRオブジェクト名、maintainer、作成・削除時刻、完全な対象プレフィックス一覧、撤回判定、追加防護策を公開していない。欠落は監査上の問題だが、特定企業や理事会、Receiverの関与を示す証拠ではない。

事故を六つの状態に分けて読む

この事故は「不正な経路が出て、消えた」という一文では検証できない。公開記録から確認できる状態は少なくとも六つある。

第一は資源の状態である。AFRINICの最新委任統計は102.224.0.0/12をreservedとし、104万8576個のアドレスを含む。AFRINICは、このブロックがIPv4 Soft Landing policyのために予約され、会員には割り当てられていなかったと述べた。

第二は登録情報の状態である。AFRINICによれば、公衆利用可能なInternet Routing Registry、IRRのデータが経路広報を支えた。IRR情報から受け入れフィルターを生成するネットワークでは、登録された主張が経路の伝播条件になり得る。

第三はBGP観測の状態だ。RIPE RISは、予約ブロック内の経路を複数の時点で観測した。第四は通報、第五は是正、第六は終結判定である。AFRINICはARINから警告を受け、IRR削除、上流への連絡、当事者への連絡、監視を行ったという。

この六状態のうち、公開証拠が最も薄いのは登録情報から是正、そして終結へ移る部分だ。何が作られ、いつ消され、どのフィルターに残り、どの観測面でいつ撤回が確定したのかが示されていない。

技術的な事故報告は、組織の善意を採点する文書ではない。状態遷移を他者が追跡できるようにする文書である。

登録の正確性は正当な薄い職務である

Heng Lu Note 71が示す境界では、番号資源の一意性、正確な登録、詐欺対策、理解可能なセキュリティ表明、運用継続は、レジストリに正当に求められる薄い共通機能に属する。

予約され、誰にも割り当てられていない空間について、権限を裏付けない公開オブジェクトを取り除き、経路が消えたかを確認することは、この境界の内側にある。会員の正当な割り当て、リース、移転、顧客利用を恣意的に取り締まる話とは違う。

したがって、AFRINICが削除を求め、トランジット事業者に連絡した方向は評価できる。NRSが警告するレジストリのチョークポイント権力を理由に、予約空間の不正利用まで放置すべきだという結論にはならない。

反対方向の飛躍も認められない。必要な安全業務を一度行ったことは、現在の purported board の地位、Receiverが関与する権力構造、移転制限、地域代表性、または「community」を根拠にした広い裁量を承認するものではない。

Note 70の中心は、台帳とセキュリティ機能の継続を、現職機関の権限継続と分離することにある。今回の封じ込めが正当であるほど、その機能は特定の統治主張に依存せず、監査可能で移植可能な形にされるべきだ。

公表された四つの対応と、その間にある空白

AFRINICの発表は単なる「安定性へのコミットメント」ではなく、四つの行動を記載している。

関連IRRエントリーの削除を要求し、削除を得た。影響を受けた経路の伝播を止めるため主要なInternet transit providersに連絡した。エントリーを作成したと考えられる当事者に即時停止を求めた。グローバルなルーティング監視を強化し、完全撤回を確認しようとした。

これは、データ層、伝播層、行為者とみられる層、結果確認という異なる制御面を扱う。AFRINICのニュース索引にも告知が残り、組織が事故を認識したこと自体は確認できる。

しかし、告知は対象となったrouteまたはroute6オブジェクト、利用されたIRR、maintainer、作成時刻、削除時刻を特定しない。「smaller portions」の完全な一覧もない。どのトランジットにいつ通知し、どの観測値をもってfully withdrawnとしたのかも示さない。

セキュリティ上、連絡先や対応手法の一部を伏せる合理性はあり得る。だが、固定資料には非開示理由そのものがない。個人を特定しなくても、プレフィックス、オブジェクト識別子、時刻、状態、測定基準は公開できる。

AFRINICは追加の技術的・手続的防護を検討中とも述べた。8月12日に固定した公開資料には、防護策の名称、導入日、試験結果を示す後続報告がない。「検討中」は工程の状態であって、実装済みの制御ではない。

RIS履歴は一つの物語ではなく複数の観測である

RIPEstatのrouting-historyは、AS13560が102.224.0.0/12全体を2月21日から3月7日まで起点としていたことを示す。同じASNについて、102.224.0.0/13は2月24日から3月10日、102.232.0.0/13は3月4日から3月10日まで観測された。

AFRINICの告知日は3月9日である。二つの/13が翌日まで観測されたことは、告知に書かれた継続監視と時間的に整合する。ただし、AFRINICがどの時刻に撤回完了と判断したかは公開されていない。

履歴には別の起点もある。AS214174は2月8日と21日に102.236.0.0/17を短時間広報し、AS3563は3月16日の8時間、102.224.0.0/13を起点としていた。後者は告知後なので、追加調査の対象にはなる。

だが、これらを一つの組織的キャンペーンにまとめる証拠はない。同じIRRオブジェクトが使われたのか、同じ者が制御したのか、AFRINICの告知がどの観測を指したのかも固定資料からは分からない。

RIPEの現在のAS概要はAS13560をCharter Communicationsの登録に、AS3563をPilot Network Servicesの登録に対応させる。AS214174にはholder文字列が表示されない。しかし、起点ASNは経路上の観測値であり、登録名の企業がオブジェクトを作成した、同意した、利益を得たという証明ではない。

むしろAFRINIC自身の説明は、ARIN地域の運用者が、自社ASNが資源保有者の同意なく表示されたと報告したことから始まる。ASNの表示と当事者の意思を同一視してはならない。

「0/328」が確認する範囲

8月12日現在、RIPE routing-statusは、328のRIS IPv4ピアのうち102.224.0.0/12全体を見ているピアはゼロだと返す。これは撤回と整合する明確な現在値である。

同時に、それは全インターネットの完全な証明ではない。RISは広い観測網だが、すべてのルータではない。さらに、/12全体が見えないことと、世界のどこにもより具体的な経路がないことは同じではない。

事故終結の記録には、監視対象となったすべてのより具体的プレフィックス、使用したコレクター、最終観測時刻、キャッシュまたはIRRミラーの残存確認が必要だ。これがあれば、「完全に撤回された」という文を測定結果に結び付けられる。

公開情報から言えるのは限定される。現在のRIS視点では/12全体は見えない。少なくともその範囲で、封じ込め結果と矛盾しない。そこを越えて「どこにも存在しない」と断言すれば、観測記録に現実以上の権威を与えることになる。

RPKIのunknownは拒否信号ではない

AS13560と102.224.0.0/12を組み合わせたRIPEstatのRPKI validation結果はunknownで、validating ROAはない。これはinvalidではない。

unknownは、応答が経路を検証できるカバーROAを見つけていない状態を示す。invalidは、存在するROAと起点または最大長が食い違う状態である。両者を混同すると、当時存在しなかった暗号学的拒否信号を存在したことにしてしまう。

RFC 6483は、AS0を主体とするROAが、そのプレフィックスとより具体的なプレフィックスはルーティングに使うべきでないという表明になると説明する。RFC 6491は、IANAが未割り当て資源と、ルーティングを意図しない予約資源にAS0 ROAを発行すべきだとする。

この二文書だけで、AFRINICが管理するこの特定の/12について、AFRINICに同一の法的または技術的義務があったと確定することはできない。固定資料は、事故前にAS0 ROAが存在したか、検討されたか、事故後に作成されたかを示していない。

したがって結論は「AFRINICが必須のAS0を違法に怠った」ではない。監査質問はもっと正確にできる。予約状態はどのセキュリティ表明に変換されていたか。なぜ観測結果はunknownだったのか。事故後、AS0または別の防護を評価したか。決定と試験結果はどこにあるか。

登録と観測の間にある運用者の負担

IRRオブジェクトは主張であり、BGP経路そのものではない。ネットワークはその主張をフィルター材料にできる。トランジット事業者は経路を受け入れ、広報するかを決める。RIPE RISはピアから見えた状態を記録する。RPKIは別の暗号学的認証面を提供する。

オブジェクトを削除しても、すでに生成され、ルータに読み込まれたフィルターが即座に更新されるとは限らない。AFRINICが削除だけでなく、トランジットへの連絡と継続監視を必要とした理由はここにある。

LARUSが指摘するように、レジストリ判断が不十分なときの実務コストは、経路を運用し、顧客に説明し、障害を切り分けるネットワーク側に流れる。今回の具体的な伝達経路は、公開IRR、生成フィルター、BGP受け入れ、RPKIの不在、観測という鎖だった。

AFRINICが全IRR、全ミラー、全事業者の更新周期を支配しているわけではない。この反証は重要で、伝播のすべてをAFRINICに帰責することはできない。それでも、AFRINIC自身の依存関係と対応ログを公開する責任まで消えるわけではない。

終結報告が統治の境界を明確にする

良い事故報告は、AFRINICに新しい主権を与えない。逆に、正当な技術機能を狭く定義する。

必要なのは、対象プレフィックスとIRRオブジェクト、作成・削除時刻、通知と撤回の時間線、観測面、RPKI状態、残存リスク、導入した予防策を記した機械可読な記録である。個人情報や攻撃手順に触れる部分は、理由を示して限定的に伏せればよい。

この記録は現在の理事会やReceiverへの信任投票ではない。彼らを支持する者が「AFRINICが役立ったから権限全体も正しい」と言うための材料でもない。機能が必要なら、その機能は誰が事務所を支配しても検証でき、移植でき、独立に監査できなければならない。

AFRINICは具体的な初動を公表し、現在のRIS観測は/12全体の撤回と整合する。そこは証拠に従って認めるべきである。同じ厳密さで、欠けている終結記録も指摘すべきだ。

台帳は現実を正確に記述しなければならない。プレスリリースは台帳ではない。「追加防護を検討中」という表現も実装ではない。次の同種事故で運用者が同じ不確実性を負わないことを、公開された制御と測定で示して初めて、この事故は統治上も閉じる。

より広い制度設計を知りたい読者のために、BTWのAFRINIC移行アーキテクチャ調査を末尾に置く。これは追加資料であり、本稿の原稿元でも、このニュースbundleで数える記事でもない。

情報源