まとめ

  • AS0 ROA は、公開ルートの発信を否認する署名付き文書です。AS 0は予約されており、使用可能な BGP 発信元として出現してはならないため、その ROA のみでカバーされる実際のアナウンスは、発信元検証により Invalid と分類されます。
  • RFC 6491は、IANA に対して、未割り当てリソースやグローバルルーティングが意図されていない予約済み・特別目的リソースに対して AS0 ROA を発行する基準を提供します。また、ルーティングが期待される予約済み・特別目的スペースに対してはそのような ROA を禁止しています。
  • RIR の権限はより狭く、地域ごとに統治されています。これは、現在の未委任スペースの管理、コミュニティポリシー、正確なリソース記録に基づいています。APNIC と LACNIC は、その管理下にあるアドレススペースを AS0 でカバーするポリシーを実装しました。これにより、他の RIR のプールやあらゆる形態の紛争リソースに対する権限が生じるわけではありません。
  • AS0 は、割り当てが行われる前に不正使用に対するデフォルトを表明し、同時に発行されるポジティブ ROA が許可されたルートを Valid にできるため、保全管理として有用です。しかし、観測されたすべてのルートが悪意があることを証明したり、事業者のローカルポリシー選択を排除するものではありません。
  • 最大のガバナンスリスクは、移行時の分類ミスです。利用可能、予約済み、隔離、返却、再利用、特別目的、割り当て済み、レガシーホールドのスペースは、それぞれ事実上および法的に異なる履歴を持ちます。日次レジストリスナップショットから得られたラベルだけでは、争われている権利を解決できません。
  • 引き出しは、委任に先立って、または安全に調整されて行われなければなりません。AS0 からプレフィックスを削除しても、更新された公開がバリデータ、キャッシュ、ルーターに到達するまで完了しません。Invalid パスを破棄する事業者は、修正が到着した際の安全な再評価方法も必要とします。
  • 信頼インプットの分離と監視優先の使用はリスクを抑えることができます。APNIC は、エラーがルーティングを中断する可能性があると警告し、自動フィルタリングではなく勧告または警告の使用を推奨し、別のトラストアンカーロケーターを説明しています。このような分離は、信頼インプット、範囲、デフォルトが可視である場合にのみ、事業者の選択を保護します。
  • 正当な AS0 運用には、公開されたスコープルール、署名付きでバージョン管理された分類証拠、公開前の競合チェック、高速な認証付き異議申し立て、測定可能な引き出し目標、保存された履歴、独立した BGP 観測が必要です。番号資源協会は、アドレススペースを割り当てたり、RPKI を運用したり、ルーティングポリシーを強制する権限を主張することなく、メンバーシップ、研究、アドボカシー組織としてこれらの管理策を検討できます。

ゼロは否認であり、目的地ではない

AS0 が機能するのは、2つの標準的なアイデアが出会うからです。1つ目は ROA：アドレスプレフィックスに対して、どの自律システムが特定の最大プレフィックス長内でルートを発信することを許可されているかを示す署名付きオブジェクトです。2つ目は、AS 0自体の予約です。2015年に公開された RFC 7607は、BGP スピーカーが AS 0を含むルートを発信または伝搬しないこと、および AS 0を主張するセッションを確立しないことを要求しています。

したがって、AS0 ROA は特別なヌルネットワークがプレフィックスを発信することを許可するものではありません。公開 BGP パスに正当に出現できない発信元を選択します。RFC 6483は、その結果を否認として説明しています：プレフィックス所有者は、そのプレフィックスおよびより具体的なプレフィックスがルーティングコンテキストで使用されるべきではないと述べます。通常の公開発信元 AS は、その AS0 許可に一致しません。

検証ロジックには重要な条件があります。発信元検証は、ルートをカバーするすべての候補 ROA を調べます。いずれかの有効な ROA が観測された発信元とプレフィックス長を許可している場合、AS0 ROA だけでは Invalid になる場合でも、そのルートは Valid です。したがって、RFC 6483は、AS0 は同時発行のポジティブ許可よりも低い相対的優先度を持つと述べています。AS0 はデフォルトの拒否を確立しますが、一致するポジティブ ROA に対する絶対的な拒否権ではありません。

この特性により、AS0 は有用でありながら繊細でもあります。レジストリは、可能性のあるすべての不正発信元を指定することなく、未委任のプールをルーティング対象外としてマークできます。後にプールの一部を委任する場合、正しく発行されたポジティブ ROA が、AS0 カバレッジが変更されている間もアナウンスを保護できます。しかし、日常的な治療法としてオーバーラップに依存することは、貧弱な変更管理を隠すことになります。デフォルトは、新しい所有者がアナウンスする必要がある前に、AS0 オブジェクトの削除または再発行であるべきです。

技術的な効果は、一部のポリシー言語が示唆するよりも狭いです。AS0 ROA は、関連する信頼インプットを受け入れ、現在のオブジェクトを受信する依存関係者において Invalid 分類を引き起こします。それ自体で BGP からルートを削除するわけではありません。RFC 8481はポリシーアクションを事業者に委ねます。一部のネットワークは Invalid ルートを拒否し、一部は優先度を下げたり監視したり、その AS0 信頼インプットをまったく使用しません。

したがって、このメカニズムは、暗号によるリソース権限と事業者の採用に支えられた署名付き推奨です。これを単なる情報提供と呼ぶのはその効果を過小評価しています。これをグローバルなルーティング禁止と呼ぶのは過大評価です。ガバナンスは正確に中間から始まります：独立したネットワークが強制に変える可能性のある、権威あるデフォルトの否認です。

権限の問題には3つの異なる答えがある

誰が AS0 を許可できるかは、どのアドレススペースが記述されているかに依存します。IANA、RIR、一般のリソース所有者は、同じ関係から権限を導き出すわけではありません。

RFC 6491は、割り当て構造の最上位に残るリソースに対する IANA の RPKI オブジェクトを扱っています。IANA は未割り当てリソースに対して AS0 ROA を発行すべき（should）としています。予約済みおよび特別目的リソースについては、テストは意図された公開ルーティングです：IANA はグローバルにルーティングされることが意図されていないリソースに対して AS0 を発行すべきであり、ルーティングが期待される予約済みまたは特別目的リソースに対しては ROA を発行してはなりません（must not）。「すべき」の意図的な使用は、レジストリアクションや技術的移行により、ステータス変更前に削除または非発行が必要になる場合があることを認識しています。

RIR の権限は、リソースがその管理下に置かれた後に始まります。自身のプールの未委任部分を証明できます。なぜなら、それが現在の管理者であり、地域ポリシーがその行為を許可しているからです。APNIC のポリシーは、APNIC のみがまだアカウント所有者に委任されていない APNIC アドレススペースに対して AS0 ROA を作成でき、スペースを委任する際にプレフィックスを削除することを述べています。LACNIC の採用ポリシーも同様に、AS0 を LACNIC 管理下の未割り当て、未割り当て、回収済み、または返却されたリソースに限定し、リソースが割り当てまたは割り当てられた際に関連 ROA を無効化または再発行することを要求しています。

既存の所有者は、自分が管理していてルーティングを望まないスペースに対しても AS0 を使用できます。その権限は証明書とリソース関係に従い、一般的な保全義務ではありません。この使用は、休眠予備や、特に許可されたより具体的なものだけがルーティングされるべき集約をサポートする可能性があります。これを、RIR が所有者が存在しないと宣言することと混同すべきではありません。

これらの区別は、権限の拡大を防ぎます。RIR は、アナウンスを観測したからといって別の地域のプールに対する権限を推測できません。測定プロジェクトは、登録データが不完全に見えるからといって AS0 に署名できません。標準化団体は予約スペースの使用方法を定義できますが、関連する認証局を自動的に運用するわけではありません。レガシーブロックをめぐる裁判所の紛争は、便宜上のリストでそのブロックを「利用可能」と呼ぶことで解決できません。

適切な権限表明は、プレフィックス、現在の管理チェーン、分類、ポリシー根拠、有効期間を特定します。これらの要素のいずれかが争われている場合でも、暫定的保護として AS0 公開は正当化される可能性がありますが、紛争と異議申し立ての経路は可視であるべきです。署名する暗号能力は管理の必要な証拠ですが、それだけで基礎となるすべての分類が手続き的に健全であったことの証明にはなりません。

保全は希少で悪用されやすい環境における真の義務である

AS0 に対する肯定的な根拠は、拒否に関する懸念の中で失われるべきではありません。未委任のアドレススペースは、日和見的使用のために自由に使えるわけではありません。RIR は、将来の割り当て、特別なニーズ、返却、隔離、またはポリシーで定義された目的のためにそれを保持します。そのようなスペースからのアナウンスは、ミス、公開ルーティングに漏れるプライベート設定、古いフィルター、または意図的な悪用から発生する可能性があります。機械可読な否認は、事業者がそのスペースを単に署名されていないが正当にルーティングされるプレフィックスと区別するのに役立ちます。

AS0 以前は、事業者は一般に割り当て記録から構築された「ボゴン」プレフィックスのリストに依存していました。これらのリストは定期的な更新と注意深い解釈を必要とします。RPKI は、警告をポジティブなルート発信元許可に使用される同じ証明書階層にバインドできます。バリデータは、他のペイロードと一緒に結果を配信でき、ルーターは別の未検証リストではなく1つの発信元検証ポリシーを適用できます。

APNIC のポリシー根拠は明示的です：APNIC 管理下で未割り当てまたは未割り当てとマークされたアドレススペースは公開されるべきではなく、AS0 はそれをカバーするアナウンスの伝搬を制限することを目的としています。LACNIC の根拠も同様に、管理をポリシーに基づく配布に結び付け、別個のフィルターを維持する事業者の負担を軽減しようとしています。これらは正当な公共の利益の目標です。

セキュリティ上の利点は予防的です。悪意のある行為者は、ゼロに一致するルーティング可能な AS がないため、発信元 AS を選択するだけでルートを Valid にできません。事業者が Invalid ルートを拒否する場合、AS0 は未使用スペースからの誤発信がインポート境界近くで阻止される可能性を高めます。また、まだ拒否していない事業者に対して認証されたアラートを作成します。

しかし、保全は通常の財産権の意味での所有権ではなく、ルートの可視性は窃盗の決定的な証拠ではありません。一部の記録は歴史的であり、一部のリソースは移行中であり、一部のアドレス使用はプライベートまたは特別目的です。公開ルートは、悪意のある発信元ではなく、レジストリ自身の分類の誤りを明らかにする可能性があります。AS0 の価値は、反論不可能な告発ではなく、強力な反駁可能なデフォルトを確立することにあります。

したがって、限定されたテーゼは保全推進です。RIR と IANA は、その権限の範囲内で真に未委任で非ルーティングのリソースを保護できるべきです。その際、誤りが接続性に影響を与える可能性のある管理に期待される規律をもって行うべきです：狭い範囲、信頼性の高い記録、可能な場合の変更前警告、迅速な引き出し、観測可能な伝搬、意味のある異議申し立て。

「未割り当て」と「予約済み」は同義語ではない

AS0 ポリシーは、しばしばラベルのリストから始まります：利用可能、予約済み、未割り当て、未割り当て、返却済み、回収済み、隔離済み。これらのラベルはすべて特定の設定で非ルーティングをサポートできますが、互換性はありません。

未割り当てスペースは、関連する管理チェーンを下って委任されていません。デフォルトのケースは単純です：現在、それを公開発信する権限を持つネットワークはありません。未割り当てスペースは、より大きな割り当て内にあるかもしれませんが、エンドユーザーまたはサブホルダーに割り当てられていません。RIR が直接署名できるかどうかは、証明書とポリシー構造に依存します；親ホルダーが関連権限を保持する場合があります。

予約済みスペースは、理由のために保持されています。一部の予約は、プライベートやドキュメント用など、グローバルルーティングを意図していません。その他は、将来のルーティング可能なサービスや一時的な割り当て手順を意図している場合があります。RFC 6491は、グローバルにルーティングされることが期待される予約済みおよび特別目的リソースを明示的に認識し、IANA がこれらのケースに対して ROA を発行することを禁止しています。したがって、「予約済み」は「絶対にルーティングしない」という機械的な同義語にはなりません。

隔離は時間と履歴を追加します。返却または回収されたブロックは、古いルーティング、評判、地理位置情報、または悪用記録が落ち着くまで再発行前に保留される場合があります。レジストリは、隔離中に公開発信を抑制する十分な理由があるかもしれません。また、以前の所有者がまだ権利を主張しているかどうか、譲渡が完了していないかどうか、残存ルートが未解決の紛争を表しているかどうかを知る必要があります。

利用可能は通常、ポリシーに基づく割り当ての対象を意味します。ラベルは、リクエスト、予約、委任が処理されるにつれて毎日変わる可能性があります。利用可能リストから派生した AS0 オブジェクトは、トランザクション管理にリンクされなければならず、効果的なポジティブ許可なしにプレフィックスが誤ってカバーされたまま委任されることがないようにする必要があります。

レガシーホールドリソースは最も難しいカテゴリです。登録履歴は、現代の契約や証明書サービスより前の可能性があります。リソースは、未割り当てではなく、文書化が不十分に見える場合があります。分類は、登録履歴、譲渡記録、契約、通信、観測可能なルーティングを使用すべきであり、欠落した現代のフィールドだけではありません。AS0 は、不便な主張を消すための近道になってはなりません。

正当な公開サービスは、含まれる各ステータスと除外を定義します。権威あるデータセット、更新時間、調整ルールを指定します。現在の証明書、割り当て、ポジティブ ROA、保留中の委任、既知の紛争に対するオーバーラップチェックを実行します。プレフィックスがセット内にある理由を説明できない場合、そのセットはルーティングに影響を与える準備ができていません。

日次統計は証拠であり、権原証書ではない

RIR 統計交換フォーマットは、割り当てと割り当ての有用な公開スナップショットを提供します。参加レジストリは、共通の命名とレコード構造で定期的にファイルを公開します。拡張形式には、運用システムで使用されるステータスを含めることができます。APNIC の AS0 実装は、公開された統計で利用可能または予約済みとしてマークされたリソースから未委任セットを引き出しています。

これは、入力が公開され、機械可読で再現可能であるため、強力な出発点です。観測者は、分類されたリソースセットを AS0 ペイロードと比較し、説明のつかない違いを特定できます。バージョン管理とチェックサムが整合性を向上させます。自動化により、手動で維持されたリストが静かに劣化するリスクが減少します。

ただし、フォーマットはその限界も述べています。現在の割り当てと割り当てを要約し、トランザクションや履歴の詳細は提供しません。レコードの数はアドレススペースの量と等しくありません。譲渡はレジストリファイル間で一時的なオーバーラップを生じる可能性があります。一部の非レジストリの歴史的割り当ては、RIR 生成記録の範囲外です。スナップショットは、どのように、いつ、どのような争われた権限の下で発生したかを証明することなく、ステータスを報告できます。

だからこそ、日次統計を否認の唯一の根拠とすべきではありません。AS0 サービスは、それらをライブ登録システム、証明書インベントリ、ポジティブ ROA、保留中の割り当てトランザクション、譲渡ロック、紛争フラグと調整する必要があります。ソースが競合する場合、最も便利なラベルを選ぶのではなく、公開を拒否すべきです。回収、返却、レガシースペースには、特に人間によるレビュー経路が重要です。

一般市民は、プライベートアカウントデータにアクセスすることなく、決定を再構築できるべきです。含まれる各プレフィックスについて、署名付きマニフェストまたは透明性記録が、ソースステータス、観測時間、許可ポリシー、AS0 オブジェクトを識別できます。削除ごとに、新しいステータスと引き出し時間を識別できます。機密の顧客 ID は、通常の登録ルールが開示を許可するまで保護されたままにできます。

外部観測者は、意味のある質問をすることができます：AS0 セットはその時点でレジストリが宣言した未委任セットと一致していましたか？彼らは、すべての紛争においてレジストリの法的結論を受け入れる必要はなく、運用の一貫性を検証できます。プレフィックスが AS0 にまだある間に割り当て済みとして表示される場合、その不一致はルーティングインシデントがホルダーのミスとして却下される前に可視になります。

機械可読な証拠は権限レビューを可能にしますが、データ公開を裁定に変えるわけではありません。レジストリは、記録の背後にある分類手順と、文書証拠が結果を変更した場合のエラー修正に責任を負い続けます。

AS0 からの移行は憲法上の瞬間である

最も簡単な AS0 ケースは、何年も未使用のままのブロックです。難しいケースは、それが使用可能になる時間です。新しい割り当ては、保全デフォルトをホルダーのルーティング許可権限に変えます。レジストリのプロセスがその移行を調整しない場合、セキュリティ管理は、割り当てが可能にしようとしたまさにその使用を否定する可能性があります。

APNIC の現在のリソースポリシーは、アカウントホルダーにスペースを委任する際に、AS0 ROA からプレフィックスを削除すると述べています。LACNIC のポリシーは、割り当てまたは割り当てられようとしているリソースを含む ROA を無効化し、そのリソースなしで代替 ROA を発行することを要求しています。順序は重要です。否認は、新しい権限と安全に調整されたトランザクションの前に、またはそれと同時に撤回されるべきです。

ただし、公開は瞬時ではありません。内部割り当てシステムでプレフィックスを削除しても、すべての検証済みペイロードがすぐに削除されるわけではありません。リポジトリは一貫した新しい状態を公開する必要があります。依存関係者は各自のスケジュールでフェッチします。キャッシュからルーターへのセッションは、リフレッシュとリトライ動作を使用します。ルーターは引き出しを受信し、ルートを再評価する必要があります。異なるネットワークは、収束中に異なる有効なビューを保持できます。

AS0 提案に関する2019年の RIPE NCC 影響分析は、問題を例示しましたが解決しませんでした。運用上のトリガーにより事前の取り消しが困難になる可能性があり、グローバル処理に時間がかかる可能性があると指摘しました。提案分析における正確な推定値は、普遍的な現在のパフォーマンスとして扱われるべきではありませんが、制度的な教訓は残ります：割り当てとルーティングの準備には明示的な引き継ぎ期間が必要です。

3つの実践的な安全策があります。第一に、割り当て決定が安全に行えるほど最終的である場合、事前に削除を準備する。第二に、新しいホルダーがアナウンス前に一致するポジティブ ROA を作成できるようにする。なぜなら、発信元検証は AS0 と並んでも一致するポジティブ許可を Valid として扱うからです。第三に、独立したバリデータから意図したペイロード状態が伝搬したことを確認してから、ホルダーにアナウンスを勧める。

これらの管理にはサービス約束が必要です。割り当て通知は、AS0 が以前にリソースをカバーしていたかどうか、削除がいつ公開されたか、ホルダーがどこでそれを検査できるか、ポジティブ ROA がいつ使用可能になったかを示すべきです。緊急のルーティングが期待される場合、レジストリエンジニアはポータルステータスに頼るのではなく、外部検証を確認するべきです。

移行は憲法上重要です。なぜなら、誰の権利がいつ優先されるかを明らかにするからです。保全は、ホルダーが権限を持たない間は正当です。権限が付与されたら、機関は否認を迅速かつ可視的に放棄しなければなりません。AS0 を自動的に追加できるが、測定可能な目標の下で削除できないレジストリは、一方通行の権力を構築しています。

誤った AS0 分類は独特の失敗パターンを持つ

/16が未委任として分類され、AS0 ROA でカバーされているにもかかわらず、正当なホルダーがその中から/24をルーティングしているとします。AS0 以前は、ルートは NotFound で受け入れられていたかもしれません。バリデータがオブジェクトを取り込んだ後、/24は Invalid になります。なぜなら、AS0 プレフィックスがそのより具体的なものをカバーし、一致するポジティブ ROA がないからです。Invalid ルートを拒否するネットワークは、異なるタイミングで到達可能性を撤回する可能性があります。

可視パターンはハイジャック応答に似ています：一部のネットワークはルートを運ばなくなり、他は継続します。ホルダーは最初にトランジットを非難し、トランジットプロバイダーはバリデータを指し、バリデータは署名付き AS0 ペイロードを正しく表示する可能性があります。各アクターは自身の境界内で技術的に正しい可能性がありますが、基礎となるレジストリ分類は間違っています。

救済は権限層から始めなければなりません。ローカル事業者の例外は1つのパスを復元できますが、他のネットワークから見える AS0 オブジェクトを削除できません。レジストリは、申立人を認証し、リソース証拠をレビューし、オブジェクトを撤回または狭め、理由付きの修正を公開する必要があります。その後、バリデータは変更されたリポジトリ状態を処理し、ルーターは再評価する必要があります。

証拠が薄い場合、引き出し後も障害が持続する可能性があります。あるバリデータが新しい状態をフェッチしないかもしれません。キャッシュが古いかもしれません。ルーターがルートを破棄し、安全な回復メカニズムが必要かもしれません。一部の事業者は、同じ誤ったステータスから派生したボゴンリストを別途維持している場合があります。RPKI だけを修正しても、すべての否認が除去されるわけではありません。

このパターンは、調整されたインシデント記録を主張します。誤った分類、最初の AS0 公開、影響を受けたプレフィックス、観測された BGP 発信元、修正許可、リポジトリ引き出し、独立バリデータ収束、キャッシュとルーターの回復、残留非 RPKI フィルターを識別する必要があります。記録は確認された効果と推測された効果を区別すべきです。

補償と過失は証拠に従うべきです。明確な記録を誤分類したレジストリは、誠実な権利紛争に直面したものよりも強い義務を負います。文書化された厳格なポリシーを適用した事業者は分類を作成しませんでしたが、顧客のエスカレーション経路が欠けていたり、修正の処理に失敗した責任があるかもしれません。連絡先や許可記録を維持せずにルーティングしたホルダーは、すべての請求を失うことなく遅延に寄与した可能性があります。

目標は AS0 をリスクフリーにすることではありません。管理が可逆的な障害モードを持ち、どの機関もチェーン内の次のリンクを永遠に指さないことを確実にすることです。

別個の信頼インプットは、事業者がそれに気づいた場合にのみ爆発半径を制限できる

APNIC の AS0 ROA に関する公開ノートは、異常に率直です。ルーター設定に応じてエラーが意図しないルーティング中断を引き起こす可能性があると警告し、自動フィルタリングではなく勧告または警告の使用を推奨し、誤った使用を防ぐために異なるトラストアンカーロケーターを説明しています。この資料は、APNIC が権威を持つアドレススペースのみをカバーしています。

この設計は、通常のポジティブ RPKI 資料を信頼する決定と、広範なレジストリ生成の否認を消費する決定を分離します。事業者は、AS0 セットを監視で検証し、BGP や登録証拠と比較し、どこで強制するかを選択できます。誤りが自動的に APNIC の標準トラストアンカーを使用するすべてのネットワークに影響を与える必要はありません。

分離は魔法ではありません。ソフトウェアが追加の信頼インプットをサイレントデフォルトとしてパッケージ化する場合、選択肢は消えます。管理バリデータがフィードを一般的にラベル付けする場合、ルーター事業者は AS0 が別個のソースから来たことを知らないかもしれません。事業者が複数のキャッシュからのペイロードを出所なしにマージする場合、どの信頼インプットがルートを Invalid にしたかを特定できない可能性があります。

したがって、管理にはインターフェースの可視性が必要です。バリデータは AS0 信頼インプットを別々に表示し、普遍的なカバレッジを暗示することなくペイロードの数と範囲をリストし、診断で出所をタグ付けするべきです。事業者は、明示的な承認、意図されたモード、カバーされるルーター、ポリシーを記録するべきです。信頼インプットの変更には、ルーティングポリシーの変更に匹敵するレビューが必要です。

監視優先の使用には実質的な価値があります。事業者は、AS0 でカバーされるプレフィックスが BGP に現れた場合にアラートを発し、見かけの発信元またはアップストリームに連絡し、拒否前に独立した登録記録を比較できます。これは、初期展開中や分類履歴が複雑な場合に特に慎重です。また、即時の切断リスクなしに、誤検知と伝搬に関する証拠を生成します。

弱点は、監視だけではルートを保全できないことです。決意のある悪用者はアナウンスを続けるかもしれません。成熟した事業者は、データ品質と修正能力を実証した後、合理的に拒否に移行する可能性があります。ガバナンスの要件は永続的な慎重さではなく、意図的なエスカレーションです：測定、通知、例外のテスト、日付の公開、そして文書化されたポリシーの下での強制。

異なる地域の選択は、可視である場合に正当です。レビューされた証拠の限り、APNIC と LACNIC は AS0 アレンジメントを実装しており、2025年の NRO 公式ガイダンスは、別個の AS0 トラストアンカーを説明し、リスクのため自動フィルタリングではなく警告または監視を推奨しています。これは、すべての RIR が同一に AS0 を公開または統治しているという主張に一般化されるべきではありません。

ローカルポリシーは最終的な強制決定のままである

AS0 ROA は RFC 8481をバイパスしません。バリデータは発信元検証状態を設定します；事業者設定がポリシーを決定します。これは、AS0 に署名する機関と接続性リスクを負う機関が異なるため重要です。

ネットワークは、受け入れられた AS0 ペイロードのみが原因で Invalid であるすべてのルートを拒否するかもしれません。これにより保全に直接的な効果が与えられ、ポリシーが単純化されます。また、分類、引き出し、例外手順が強力であるという信頼が必要です。ネットワークは、Invalid 状態が標準のホルダー発行 ROA、レジストリ AS0 フィード、ローカルアサーションのいずれから来たかを知るべきであり、同じルートマップ項が最終的に3つすべてを拒否する場合でも同様です。

別のネットワークは、AS0 を別途アラートするかもしれません。強制前に顧客に連絡したり、ピアおよびトランジットセッションでは拒否するが一時的な認証済み顧客例外を許可したり、独立した確認後にのみ強制を適用したりするかもしれません。このような区別は、関係と証拠が異なるため正当化される可能性があります。しかし、顧客が未委任スペースをアナウンスできる恒久的な抜け穴になってはなりません。

優先度低下は不完全な妥協です。Invalid なより具体的なルートは、同じプレフィックスへのルート間で BGP 優先度の前に最長プレフィックスが使用されるため、Valid なより具体的でないルートよりもトラフィックを引き付ける可能性があります。迅速な再評価のみのために Invalid パスを保持することは、それを転送に許可することとは異なります。ポリシーの説明はこれらの状態を区別しなければなりません。

事業者はまた、検証データが消失した場合の対応が必要です。キャッシュの期限切れにより AS0 シグナルが除去されたり、その扱いが変更されたりする可能性があります。未知のデータに対してオープンに失敗すると、望ましくないルートが許可される可能性があります；すべての未知のデータに対してクローズドに失敗すると、より広範な到達可能性の害を引き起こす可能性があります。冗長キャッシュと明示的な期限切れポリシーは選択を減らしますが、排除しません。

どのレジストリも、すべてのネットワークに対するこれらのローカルリスクを評価できません。緊急サービスを運ぶ公共セクタープロバイダーは、新しく割り当てられたプレフィックスを認証した後、段階的例外を選択するかもしれません。広範な観測と成熟したエスカレーションを持つバックボーンは、即座に拒否するかもしれません。小規模エンタープライズは、アップストリームに完全に依存するかもしれません。制度的正当性は、明確な役割から来るのであって、同一の設定からではありません。

それでも事業者の決定は説明可能であるべきです。ルートが拒否された場合、ネットワークは AS0 ペイロード、信頼インプット、バリデータ時間、一致したポリシーを特定できるべきです。例外が許可された場合、範囲、証拠、承認者、有効期限を特定するべきです。記録のないローカル自律性は、影響を受ける当事者にとって恣意的な扱いと区別がつきません。

外部測定は安全性ケースの一部である

AS0 発行者は自身のオブジェクトを検証できますが、最も重要な不一致を見逃す可能性があります：未使用と呼んでいるプレフィックスが BGP で可視的に発信されていることです。ルートは不正である可能性もありますが、広範な強制の前に分類のレビューが必要であるという証拠でもあります。したがって、外部測定は公開前、運用中、引き出し後に実行されるべきです。

最初の比較は、提案された AS0 カバレッジと現在の BGP 観測の間です。RIPE RIS と RouteViews は、参加ネットワークから複数の場所でルートを収集し、ルーティングテーブルと更新をアーカイブします。発行者は、選択された任意のコレクターに現れるすべての提案プレフィックスまたはより具体的なものをフラグできます。結果はレビューキューであり、自動免除ではありません。コレクターの可視性は部分的であり、非観測はルートが存在しないことを証明しません。

2番目の比較は、権威あるリソースステータスと検証済みペイロードセットの間です。独立したバリデータは、公開されたオブジェクトから同じ意図された AS0 エントリを導出するべきです。違いは、リポジトリの遅延、証明書エラー、ソフトウェア解釈を明らかにする可能性があります。レポートは、バリデータを投票としてカウントするのではなく、信頼インプットと観測時間を特定するべきです。

3番目の比較は効果に関するものです。制御された観測は、AS0 でカバーされるアナウンスが選択された視点からまだ可視であるかどうか、事業者の採用後に可視性が変化するかどうか、修正されたプレフィックスが戻るかどうかを示すことができます。正確なグローバル拒否率を確立することはできません。BGP コレクターは有志のピアをサンプリングし、経路変更がポリシーを隠す可能性があります。アクティブテストには倫理的およびルーティングの安全策が必要であり、それでも選択された経路のみを測定します。

4番目の比較は誤検知に関するものです。すべての認証された異議申し立ては分類されるべきです：レジストリデータエラー、保留中の委任、古いルート、ホルダーのミス、争われている請求、ローカルプライベート使用、説明のつかないアナウンス。最初の応答までの時間、権限修正、バリデータ収束、観測された復元は、明確な分母を持つ分布で報告されるべきです。ゼロチャレンジ期間は、影響を受ける当事者が連絡先を見つけられなかった場合、完全な精度の証明にはなりません。

公開測定は、保全の主張に信頼性を与えます。カバーされるスペースが実際にルーティングで観測されたかどうか、悪用が減少したかどうか、正当な移行が回復したかどうかを示します。また、拡大を規律します。発行者は、生成が技術的に簡単だからといってカテゴリを追加すべきではありません；現在のセットが正確で、可逆的で、有用であることを示すべきです。

最も強力な証拠はイベントレベルで再現可能です。「AS0 は何百万ものアドレスを保護する」という毎月の主張は、運用価値についてほとんど語らず、アドレス数が大きなブロックを重くカウントするため誤解を招く可能性があります。検出されたアナウンス、レビューされた競合、修正、測定された収束の記録は、管理が実際に何をしたかを機関に伝えます。

迅速な引き出しは権利であり、単なるエンジニアリング目標ではない

AS0 が間違っている場合、影響を受ける当事者はサポートチケット以上のものを必要とします。レジストリの署名付き声明は、ホルダーと契約のない遠方の事業者に影響を与える可能性があります。したがって、信頼できる異議申し立て手順は、公開する権限の一部です。

エントリポイントは公開され、継続的に監視され、緊急の申立人を認証できる必要があります。要求者は、プレフィックス、主張された権限、発信元 AS、ルーティング証拠、連絡先を提供するべきです。レジストリは直ちにケース ID を返し、プレフィックスが現在 AS0 にあるかどうか、どのポリシーの下で、どのステータスレコードからかを特定するべきです。

トリアージは、明らかな管理エラーと争われている権利を分離するべきです。新しく割り当てられたプレフィックスが変更処理の失敗によりカバーされたままの場合、引き出しはポリシー委員会を待つべきではありません。請求が矛盾する記録を持つ返却済みまたはレガシーブロックに関する場合、レジストリは法的および文書レビューを必要とするかもしれません。その場合でも、時間制限のあるリスク対策を検討し、暫定決定を説明し、上訴を保存するべきです。

引き出し目標は、承認、リポジトリ公開、指定された独立バリデータによる確認という管理されたチェックポイントで定義されるべきです。エンドツーエンドのルート復元は測定され報告されるべきですが、事業者が独自のポーリングとポリシーを制御するため、普遍的に保証されるべきではありません。レジストリは、代表的な外部観測が修正の伝搬を示すか、残りの障害が他の場所にあることが確認されるまで支援を継続するべきです。

履歴記録は修正後も存続しなければなりません。項目別の変更ログなしに大規模な集約を静かに再生成すると、プレフィックスがかつてカバーされていたことを知ることが困難になります。透明性エントリは、新旧の範囲、理由カテゴリ、許可、タイムスタンプを記録するべきです。プライベートな申立人の詳細を保護しつつ、機関の行動を公開できます。

レジストリが引き出しを拒否した場合、上訴が利用可能であるべきです。レビュー機関は、登録およびポリシー証拠にアクセスでき、スタッフの分類を問うことができるほど独立しており、必要な編集を施した理由付きの結果を公開するべきです。裁判所の権利と契約上の救済は、該当する場合に残ります；技術的レビューはすべての法的権原問題を解決するふりをすべきではありません。

迅速な引き出しは権利です。なぜなら、可逆性が予防的権力を正当化するからです。機関は、害が発生する前に分類に依存するよう事業者に求めます。その見返りとして、誤って分類された当事者に迅速で証拠に基づく出口経路を提供しなければなりません。その対称性がなければ、保全は適正手続きのない先制的拒否になります。

予防的権力には通常のリストよりも強力な変更管理が必要

静的なボゴンリストは間違っている可能性がありますが、RPKI AS0 オブジェクトは暗号権限を持ち、自動化されたルーターポリシーに入る可能性があります。その変更管理は、その高いレバレッジを反映すべきです。

生成は宣言された入力から決定論的であるべきですが、盲目的であってはなりません。候補セットはリソースステータスから計算され、その後証明書保有、ポジティブ ROA、保留中の割り当て、譲渡記録、紛争フラグ、観測された BGP と照合されるべきです。すべての除外と競合はログに記録されるべきです。返却、回収、レガシー範囲などの高リスク追加は、2人目または独立した管理による承認が必要です。

オブジェクトは、共有運命を減らすようにスコープされるべきです。RFC 9455は、複数のプレフィックスを含む ROA は1つの署名付きオブジェクトとして有効性を共有すると一般的に警告しています。AS0 運用の場合、過度に広範なパッキングは、ルート検証セマンティクスがプレフィックス固有のままであっても、調査と修正を困難にする可能性があります。より小さく論理的にグループ化されたオブジェクトは、運用規模とリポジトリパフォーマンスが尊重される場合、より明確な変更記録をサポートできます。

公開前シミュレーションは、独立したバリデータで観測された BGP アナウンスのうち、どれが NotFound または Valid から Invalid に変わるかを計算するべきです。AS0 はより具体的なものをカバーすることを意図しているため、レビューにはより具体的なものを含めるべきです。ポジティブ許可の競合は、無視されるのではなく説明されるべきです。出力は承認アーティファクトおよび公開後観測のベースラインになります。

展開は段階的であるべきです。監視信頼インプットに公開し、事業者のレビューを募り、観測を比較し、分類を修正し、その後強制ガイダンスを検討します。レジストリは明白な悪用に迅速に対応できます；段階的採用は、依存関係者の信頼に関するものであり、すべてのオブジェクトへの署名を遅らせることではありません。

削除にも同等のエンジニアリングが必要です。割り当てシステムは、リンクされた AS0 削除イベントを作成せずに委任を完了できないようにするべきです。サービスは、リポジトリ公開と独立バリダービューを確認するべきです。削除の失敗は、受信者が Invalid ルートを発見するのを待つのではなく、責任のあるチームにページングするべきです。

最後に、ガバナンス機関は範囲の変更を公開レビューするべきです。「隔離済み」や「回収済み」スペースの追加は権利を変更する可能性があり、気づかれないソフトウェアリリースであってはなりません。ポリシーは包含、移行、上訴を定義するべきです。技術スタッフは、競合と制限を含む影響分析を公開するべきです。コミュニティの承認は正確性を保証できませんが、主張された保全義務をコードになる前に争えるようにします。

AS0 の根拠は、その限界が明示されるときに最も強力になる

AS0 の最も強力な defense は、完全な記録、普遍的な展開、悪用の自動排除を主張しません。それはより控えめでより耐久性のあることを言います：現在アドレススペースを管理する機関は、委任前に不正使用を防ぐ義務があり、RPKI はそのデフォルトを意志ある事業者に表現する認証された方法を提供します。

この defense には条件があります。機関は、正確なプレフィックスに対する現在の管理権限を持たなければなりません。リソースステータスは、公開発信が意図されていないことを意味しなければなりません。ルーティングが期待される特別目的リソースは除外されなければなりません。既存のホルダー、保留中の委任、ポジティブ ROA、可視アナウンスがチェックされなければなりません。IANA のトップレベル標準ルールが直接統治しない場合、地域ポリシーがその行為を許可しなければなりません。

効果も正直に述べられなければなりません。AS0 は発信元検証結果を生成します；事業者が強制を選択します。Invalid と分類されたルートは、悪意的使用、運用エラー、または悪い分類を反映している可能性があります。一致するポジティブ ROA はルートを Valid にできます。異なる信頼インプットはネットワークに異なるビューをもたらす可能性があります。BGP 観測はサンプリングされており、普遍的ではありません。

最も重要なことは、管理は可逆的でなければならないことです。発行者は、測定された引き出し、異議申し立てサービス、保存された履歴、独立した確認を必要とします。新しいホルダーは、アナウンス前に移行証拠を必要とします。事業者は、出所と安全な再評価を必要とします。暗号が完璧でも、明らかなエラーを修正するのに数日かかる管理は、制度バランスを欠いています。

これらの限界は保全を弱めません。それらは事業者の採用をより defensible にします。ネットワークは、シグナルがどのように生成され、エラーがどのように修復されるかを知っている場合、シグナルを強制する可能性が高くなります。ホルダーは、割り当てが確実に削除する場合、予防的カバレッジを受け入れる可能性が高くなります。研究者は、範囲と履歴が公開されている場合、効果を測定できます。

したがって、AS0 体制はコンパクトな保証声明を公開するべきです：権限、含まれるステータス、除外、データソース、リフレッシュスケジュール、信頼インプット、採用ガイダンス、競合チェック、異議申し立て連絡先、引き出し目標、外部バリデータ、測定の限界。この声明は、広範な否定的主張を説明責任のあるサービスに変えます。

番号資源協会は、アロケーターにならずに監査できる

番号資源協会は、まさに AS0 が制度的境界を越えるため、有用な役割を果たせます。レジストリは分類と署名を制御します。事業者はルーティングポリシーを制御します。ホルダーは結果を負います。研究者はルーティングシステムの一部のみを観測します。単一のアクターが自然に全体の安全ケースを組み立てることはありません。

協会は、どの機関がどの信頼インプットの下で、どのステータスに対して、どのような移行順序、異議申し立てチャネル、透明性記録で AS0 ポリシーを公開しているかの比較レジストリを維持できます。公開された範囲が宣言されたリソースデータと一致するかどうか、独立バリデータが収束するかどうかをテストできます。追加、引き出し、新しく委任されたプレフィックスに関するイベントスタディを委託できます。

また、修正において小規模ホルダーを代表できます。共通の証拠フォームとエスカレーションディレクトリは、Invalid ルートが AS0 関連であることを証明するのに費やす時間を削減します。協会は、保護されたアカウント資料の開示を要求することなく、応答と復元を追跡できます。繰り返しの失敗は、一般的な疑念ではなく具体的な証拠をもって RIR コミュニティプロセスで提起できます。

境界は不可欠です。協会は、管理していないアドレススペースに対して AS0 ROA を発行したり、争われているリソースの権原を決定したり、RIR に割り当てを強制したり、ネットワークにルートを運ぶよう命令したりすべきではありません。すべての地域ポリシーを1つのユニバーサルフィードにマージすべきではありません。これらの行為は、独立したレビューがチェックすることを意図した集中を再現することになります。

その権限は、評判と手続きに基づきます。公開された方法、再現可能な比較、バランスの取れたメンバーシップ、宣言された競合は、その調査結果を有用にできます。RIR は推奨を拒否できますが、理由を説明する必要があります。事業者は、より厳格または緩やかなポリシーを選択できますが、各信頼インプットの背後にある証拠を比較できます。

協会は、機関を抽象的に評価するのではなく、管理策を評価すべきです。AS0 セットは明確な権限基盤を持っていますか？新しい委任は安全に終了できますか？観測された競合はレビューされていますか？引き出しは独立バリデータで可視ですか？影響を受けるホルダーは理由を得られますか？ポリシーと技術的変更は公開されていますか？これらの質問は、実用的な改善をもたらします。

そのような役割は、ポジティブな番号資源協会のアジェンダをサポートします：没収なき保全、隠された中央指令なきルーティングセキュリティ、共通証拠による地域自治。それは正当性を、慈悲深い目的に関する主張から可逆的権力のテストへと変えます。

保全と拒否は手続きによって分離される

AS0 ROA は、保全ツールであると同時に先制的拒否でもあります。2つの説明は相互排他的ではありません。このメカニズムは、正当なホルダーがルーティングすることが期待される前に公開発信を拒否します。この拒否は、権限、分類、移行が健全である場合にのみリソースを保全します。

標準は境界のある基盤を提供します。AS 0は公開 BGP 発信元として使用できません。RFC 6483は否認を定義し、一致するポジティブ ROA が優先されることを許可します。RFC 6491は、IANA が未割り当ておよび非ルーティングの予約済みまたは特別目的スペースを扱うことを許可しつつ、ルーティングが意図されたスペースを保護します。RFC 8481は最終アクションを事業者ポリシーに委ねます。

地域ポリシーは第二の基盤を追加します。APNIC と LACNIC は、AS0 を自身の管理下にあるアドレススペースに結び付け、リソースが委任された際の削除を説明しています。彼らの選択は、技術的能力だけでなくコミュニティポリシーが RIR の範囲を定義すべきであることを示しています。APNIC の別個の信頼インプットと自動フィルタリングに関する注意は、エラーのコストを認識しています。

残る作業は制度的です。含まれる各プレフィックスは、可視の権限とステータス基盤を持つべきです。各移行は、削除、ポジティブ許可、外部検証を調整すべきです。各異議申し立ては、認証された応答と測定可能な修正を受けるべきです。各主張された効果は、その BGP 視点と制限を特定すべきです。各事業者は、Invalid が拒否を意味するかどうかを最終的に選択するのは、レジストリではなく自分自身であることを知るべきです。

これらの管理策があれば、AS0 は正当な保全手段です：誤ルーティングを防ぐのに十分強力で、ホルダーの権限を尊重するのに十分狭く、事実が変わったときに可逆的です。それらがなければ、同じ署名されたゼロは、影響を受ける当事者が効果的な聴聞を持つ前に課される不透明な拒否になる可能性があります。

したがって、ガバナンステストは実践的であり、修辞的ではありません。誰が署名したのか、どの正確なステータスが署名を正当化したのか、既存の使用を誰がチェックしたのか、否認がいつ削除されるのか、申立人はどのように異議を申し立てられるのか、どのバリデータが変更を確認し、サンプリングされたルートがその後何を示すのかを尋ねてください。これらの質問に良い答えがあれば、ゼロは共通リソースを保護できます。なければ、暗号の有効性は、間違った制度的に支援されていない声明が正しく署名されたことを証明するだけです。

ソース

  • RFC 7607: Codification of AS 0 Processing— BGP スピーカーが指定されたパス属性に AS 0を含むルートを発信または伝搬しないことを要求。AS0 がルーティング不可能なサブジェクトとして機能できる理由を説明するが、特定のプレフィックスを分類する権限をいかなる機関にも与えない。
  • RFC 6483: Validation of Route Origination Using RPKI and ROAs— AS0 否認、より具体的なものの扱い、一致するポジティブ ROA が Valid 結果を生成できる能力を定義。ここで評価された地域ポリシーに先行する。
  • RFC 6491: Resource Public Key Infrastructure エンティティ Issued by IANA— 未割り当ておよび非ルーティングの予約済みまたは特別目的リソースをカバーする IANA AS0 オブジェクトの標準基盤を提供し、ルーティングが意図されたリソースを明示的に除外。
  • RFC 6811: BGP Prefix Origin Validation— Valid、Invalid、NotFound のルート状態を定義。状態はアナウンスが許可と矛盾する理由を確立しない。
  • RFC 8481: Clarifications to BGP Origin Validation— 発信元検証ポリシーアクションを明示的な事業者設定下に置くことを要求。独自の AS0 ポリシーを推奨しない。
  • RFC 8416: Simplified Local Internet Number Resource Management with the RPKI— 予約済みまたは未割り当てスペースを含むケースを含むローカルフィルターとアサーションを記述。ローカル例外は他の事業者のグローバルビューを変更しない。
  • RFC 8210: The RPKI to Router Protocol, Version 1— ペイロード引き出し、キャッシュシリアル、バリデータとルーター間のタイミングを定義。そのタイマーは普遍的なエンドツーエンド修正時間を保証しない。
  • RFC 9455: Avoiding ROAs Containing Multiple IP Prefixes— マルチプレフィックス ROA オブジェクト内の共有有効性運命を説明。そのオブジェクト設計の教訓を AS0 に適用することは、ガバナンス推奨であり、その RFC における AS0 固有の義務ではない。
  • APNIC prop-132: RPKI ROAs for Unallocated and Unassigned APNIC Address Space— APNIC 管理スペースに対する地域提案、根拠、実装ステータスを記録。他の地域に対する APNIC の権限を付与しない。
  • APNIC Internet Number Resource Policies, section 5.1.4— どの APNIC ステータスが AS0 カバレッジを受けるか、APNIC がリソースを委任する際にプレフィックスを削除することを記載。公開ポリシーテキストだけでは、すべての運用移行がエラーがないことを証明しない。
  • APNIC: Important Notes on the AS0 ROA— 中断リスクを警告し、勧告または警告の使用を推奨し、別個の信頼インプットを説明。APNIC 自身の運用声明であり、独立した有効性研究ではない。
  • LACNIC policy LAC-2019-12— LACNIC 管理リソースに対する実装された地域権限、範囲、削除要件を記録。このポリシーは無関係なレガシーまたは地域間請求を解決しない。
  • RIPE NCC 2019-08 impact analysis— 提案された AS0 またはローカルアサーションアプローチの運用タイミング、範囲、移行リスクを調査。設計上の懸念の証拠であり、分析された設計が現在の RIPE NCC 慣行になったことの証明ではない。
  • RIR Statistics Exchange Format— 割り当てと割り当ての公開スナップショットを定義し、トランザクション履歴の欠如を説明。ステータスファイルは分類の証拠であり、争われている権限を裁定する代わりにはならない。
  • RIPE RIS documentation— 分散 BGP コレクターとアーカイブを記述し、事前事後観測に適している。カバレッジはサンプリングされており、普遍的な拒否を確立できない。
  • RouteViews API documentation— 参加コレクターからの現在および歴史的なルーティング観測を文書化。コレクターでの非観測は、他の場所にルートが存在しないことの証明にはならない。
  • LACNIC/NRO RPKI best-practice note— AS0 信頼インプット、監視、段階的 ROV 展開に関する2025年の運用ガイダンスを記述。ガイダンスであり、正確な採用分母に変換されるべきではない。
  • NRS Charter— 分散参加と集中番号リソース権限の制限をサポート。この記事で提案された監査および異議申し立て機能は将来を見据えたものであり、NRS に割り当てやルーティング権限を付与しない。