要約

  • APNICの約70％はRFC 8509のセンチネル信号を明確に返したテストが分母であり、Verisignの約90％はRFC 8145で報告したリゾルバーが対象だ。同じ母集団を測った二つの推計ではない。
  • ルートゾーンは2026年10月11日にKSK-2024で署名を開始した。公開情報は切り替えと、広範な障害が観測されていないことを示すが、すべてのリゾルバー、個人、局所的な失敗を数えたものではない。

割合は分母と一緒に読む

鍵の切り替えをめぐる数字で最も誘惑的な読み方は、最も根拠に乏しい。「測定対象の約70％が新しい鍵を信頼していたなら、残り30％の利用者が危険にさらされていたのではないか」という解釈だ。この推論は証拠なしに分母をすり替える。APNIC Labsは全リゾルバーや全利用者を数えたとは述べていない。結果が表すのは、特定の測定機能を示したテストである。

APNICによると、広告を使う同社の試験システムは1日約1,600万回のテストを行う。そのうち約600万件はDNSSEC検証を行うリゾルバーを示し、約180万件はRFC 8509センチネル信号を明確に返す。約70％という値は、この信号をサポートしているように見え、KSK-2024を信頼アンカーとして報告したテストの中で計算される。テストは観測であって、確認済みの一意な利用者ではない。同じ人、ネットワーク、リゾルバーからイベントが繰り返される可能性がある。公開された方法は、それらを人口加重の国勢調査に変換していない。

それでも有用な証拠である。APNICが観測した時点で、この試験に応答できる測定可能な部分集合では、新しい信頼アンカーは一様に導入されていなかった。傾向の発見や追加調査の手掛かりになる。ただし、数字と条件を切り離せば価値が失われる。

Verisignが見たのは別の信号

APNICが紹介する約90％は、VerisignのRFC 8145報告に基づく。対応するリゾルバーは、どの鍵タグを信頼アンカーとして認識しているかをルートサーバー側に知らせることができる。これは、エンドユーザー側から行うRFC 8509センチネル問い合わせとは異なる観測地点だ。対象は、報告機能を備え、観測可能な報告を生成したリゾルバーであり、定義上、すべての再帰リゾルバーを含むわけではない。

報告するリゾルバー一台が一人を意味するわけでもない。家庭、企業、アクセス事業者、あるいは複数の下流ネットワークを収容することがある。公開報告には一台の背後にいる利用者数がなく、人口で重み付けできない。したがって70％と90％の差から、矛盾、同等標本の時系列変化、世界全体の準備度が10ポイント上昇したことを導くことはできない。プロトコル、採用条件、収集期間、ネットワーク経路が違う。

RIPE Atlasの小規模測定は第三の照合材料だが、二つの割合を裁定するものではない。10月5日、2,900の自律システムにまたがるプローブのうち、1,230件は新しい鍵を読み込んだ挙動と整合し、47件は未読込と整合した。標本は限られ、利用者数で重み付けされていない。APNICが受容率の低いネットワークを並べる際にも、解釈しやすくするためセンチネル対応テスト数の最低条件を設けているが、その閾値はネットワーク全体の障害を証明しない。

ルートの署名とローカルな信頼状態

IANAは鍵タグ38696のKSK-2024をActiveとし、10月11日からルートゾーンの署名に使われていると記載する。タグ20326のKSK-2017はPost-Publication段階にあり、引き続き有効な信頼アンカーだ。失効予定日は2027年1月11日、削除予定日は3月22日である。これらは異なる運用状態であり、新鍵が署名を始めても、検証器は旧鍵を有効なアンカーとして保持できる。

ICANNの状態ページによると、新鍵は10月11日14:00 UTCに署名を開始した。同ページの更新時点で広範な運用障害の兆候は観測されておらず、監視を続けるとしている。これは観測された運用状況を示すもので、各ローカル検証器が新鍵を受け入れた証明ではない。孤立した失敗が皆無だった証明でもない。反対に、新鍵を示さない試験結果だけでDNS問い合わせが失敗したとは言えない。

障害の仕組みには条件がある。DNSSECを検証するリゾルバーに、ルートを検証できる信頼経路がなければ、署名データを拒否する可能性がある。DNSSECを検証しないリゾルバーは、この特定の経路では障害にならない。検証器でも、結果はローカルな信頼アンカー、設定、問い合わせ経路に依存する。ルート署名が答えるのはゾーンに使われた鍵であり、下流の各検証器の状態ではない。

測定から言える範囲

証拠からは、範囲を限定した三つの結論が得られる。第一に、切り替えは予定どおり行われた。第二に、複数の測定手段で相当な採用が確認されたが、それぞれが示すのは異なる観測可能な部分集合だ。第三に、調べた切り替え後の状況報告には、広範な障害は示されていない。一方、「利用者の30％が危険にさらされた」「すべてのリゾルバーの10％が新鍵を欠いていた」「準備度は100％に達した」という結論は支えられない。

欠けているのは、目を引く別の割合ではない。観測から影響を受けた検証リゾルバーの数と分布を推定し、さらにその背後の利用者やサービスに結び付ける、説明可能な対応付けである。そのためには、対象範囲、重複排除、期間、重み付け、切り替え後の結果指標が要る。それまでは、すべての率に分母を添え、観測された鍵の状態と利用者への推定影響を分けて報告する必要がある。

出典