要約

  • RIPE RISは10月8日00:00 UTCにAS24940起源のIPv4プレフィックスを91件記録した。rpki-clientのAS24940ページは同日02:35:34 UTCに生成された。
  • 照合では63経路に長さを認める同一起源のVRPが見つかり、そのうち49経路では少なくとも1件の最大長が観測経路より長かった。49は経路の数であり、固有のROAオブジェクト数ではない。
  • 3つの修正済みプレフィックス内のテスト用 /24 は invalid_length、78.46.0.0/15 内のテスト用 /24 は valid となる。実際の公告、通信、すべてのネットワークでのROV適用を示すものではない。

照合の単位はROA件数ではなく経路

2つのスナップショットは別システムの観測で、2時間35分離れている。RISは00:00 UTC、rpki-clientのページは02:35:34 UTCの生成だ。同ページにはAS24940のIPv4 VRPプレフィックスが73件あり、53件が記載プレフィックスより具体的な経路を認可する。そのうち52件は /24 まで、1件は /24 から /32 まで許可する。範囲、起源、最大長を照合すると、91経路のうち63件にその経路を認める同一起源VRPがある。うち49件では、最大長がRIPE RISで観測された経路より長い。この49は経路プレフィックスの数で、固有のROAオブジェクト数ではない。残る28件は、この異なる時刻の照合では長さを認めるAS24940のVRPが見つからなかった。時刻をそろえた個別検証なしにunknown、invalid_asn、invalid_lengthのいずれかとは分類できない。Madoryの50件は以前の別の測定値で、差から増減は推定できない。

10月8日の検証クエリは、Hetzner OnlineのAS24940に異なる2つの結果を返した。現在の 162.55.0.0/16 ROAは最大長を /16 に制限しているため、テスト用 162.55.80.0/24 は invalid_length となる。別の 78.46.0.0/15 は最大長が今も /24 で、テスト用 78.46.0.0/24 は valid のままだ。RIPEstatのnetwork-info APIでも、後者の範囲内のアドレスはAS24940が起源の /15 に現在結び付いている。

最初のプレフィックスは、8月にVirtualizorの更新経路を狙ったSoftaculousへのBGPハイジャックに含まれていた。インターネット分析家のDoug Madoryは、9月22日のAPNIC Blogゲスト記事で、Hetznerが 162.55.0.0/16 の最大長を /16 に絞ったと報告した。さらに 213.133.96.0/19 と 213.239.192.0/18 の2件についても、最大長を /24 から各プレフィックス長の /19、/18 に変更したと記した。

現在のRoutinatorによるテストは、この3件の変更と整合する。それぞれの範囲内でテスト用 /24 を照会すると、最大長 /16、/19、/18 に対して invalid_length となる。これは実際にそれらの /24 がアナウンスされたという話ではない。AS24940を起源とする同じ条件の経路が現れた場合、現在のROAがどう判定するかを示す。

この区別が安全性の解釈を決める。RPKIの起源検証は、アナウンスされたプレフィックスと起源ASNが公開ROAに合うかを調べる。AS_PATHの各ホップを認証するわけでも、経路が安全だと証明するわけでもない。最大長が広ければ、認可された起源を示す、より具体的な経路が起源検証を通る場合がある。valid はROAとの適合を表す結果であり、その経路への信頼を保証する表示ではない。

3件の更新は意味のある制御変更だ。対象ブロックについて、検証器が有効とする範囲が変わった。しかし3件を修正しても、すべての現行経路に同じく狭い認可が付いたとは言えない。追跡の単位は、例外と時刻を含む経路・ROAの全組み合わせである。目に見える修正オブジェクトの数だけでは足りない。

出典