RPKI からルーターへの展開と欠如したガバナンス層

要約

RPKI からルーターへのチェーンは、権限と行動を分離する。リソース保持者と認証局は署名付きオブジェクトを公開し、依拠当事者ソフトウェアは検証して検証済みペイロードをエクスポートし、ルーターは経路を分類し、運用者は有効、無効、未検出がローカルのインポート、ベストパス、エクスポートポリシーで何を意味するかを決定する。
RFC 8481は2018年にこの境界を明確にした。実装は検証状態を設定すべきだが、運用者の特定の設定なしにポリシーを適用してはならない。最終的な処置の決定は、レジストリやバリデーターではなく運用者が行う。
ローカル制御は上流の主体を無関係にするわけではない。誤った証明書、失効、ROA、リポジトリ状態は、正しく従うすべての下流の分類を変える可能性がある。したがって、責任は制御される行為によって分割されるべきであり、レジストリまたは経路を運ぶネットワークのいずれかに完全に割り当てられるべきではない。
「無効」は、ある時点で利用可能な検証済みデータに対する暗号的かつ構文上の結果である。ルーティングポリシーにとって強力な証拠となるが、根本原因がハイジャック、保持者の誤り、転送遅延、誤った maxLength、有害な証明書行為、または古い検証データのいずれであるかを特定するものではない。
ルーターポリシーは単一のバイナリスイッチではない。ネットワークは無効な経路を拒否したり、保持するがベストパス選択の対象外にしたり、優先度を下げたり、ピアクラスごとに処遇を制限したり、最初に警告を発したり、狭いローカル例外を維持したりできる。各選択には異なるセキュリティ、到達可能性、回復効果がある。
運用チェーンにはタイミングと状態がある。RPKI-Router プロトコルセッションはキャッシュからのアナウンスと撤回を運び、シリアルとセッション識別子を使用し、リフレッシュ、リトライ、有効期限動作を指定する。レジストリでの修正は、公開、検証、キャッシュ転送、ルーター再評価がすべて収束するまで、修復された転送決定にならない。
ガバナンスはすべての境界で決定レシートを要求すべきである。署名付きオブジェクトと変更理由、バリデーターのバージョンと信頼入力、キャッシュのシリアルと経過時間、ルーターポリシーバージョン、影響を受けるピアクラス、観測された経路結果、例外権限、復旧時間。この証拠のないラベルは、異議申し立てや責任には薄すぎる。
番号資源協会（Number Resource Society）は、これらの境界を比較し、修正経路をテストし、小規模事業者をメンバーシップおよびアドボカシー組織として代表することができる。グローバルなルーティングコントローラー、RPKI 運用者、レジストリになることなく。その有用な役割は、権限と救済を読み取り可能にしつつ、運用者のローカルルーティングポリシーを決定する権利と義務を保持することである。

最終決定は設計上ローカルである

現代の起点検証において最も重要な文は、レジストリ契約やルーターコマンドガイドにはない。それは2018年9月に発行された RFC 8481にある。「経路が評価され、その検証状態が設定されたら、運用者はその状態から適用されるポリシーを完全に制御できるべきである。運用者の特定の設定がなければ、ポリシーを適用してはならない。」この標準の指示は「状態を設定し、行動するな」である。

この区別は、無効な経路の最終的な処遇を誰が決定するかという狭い問いに答える。ネットワーク運用者である。RIR はトラストアンカーを運用し、証明書を発行し、認証サービスをホストし、オブジェクトを公開できる。リソース保持者は ROA で発信元 AS を承認できる。バリデーターはリポジトリを取得し、証明書パスを認証し、検証済み ROA ペイロードを生成できる。ルーターは BGP アナウンスをそれらのペイロードと比較し、状態を付与できる。これらのどのステップも、単独では特定のネットワークが顧客からの経路を受け入れるか、ピアからの経路を優先するか、トランジットにエクスポートするか、転送テーブルにインストールするかを決定しない。

「決定」を最後に設定されたアクションと定義すれば、答えは単純である。しかし、決定と因果を混同すると難しくなる。レジストリの誤りは、正しいバリデーターに承認を削除させる可能性がある。正しいキャッシュは、ルーターに長年の経路を再分類させる可能性がある。ベンダーのデフォルトは、運用者の意図よりも積極的なポリシーにする可能性がある。トランジットプロバイダーの拒否は、保持者自身のネットワークが経路を受け入れ続けていても、保持者に到達不能を引き起こす可能性がある。複数の機関が因果的に重要であり得るが、各ローカルルーティング決定を制御するのは1つのネットワーク管理のみである。

この分散は、ドメイン間ルーティングの構成的特徴である。自律システムが自律的であるのは、誰に接続し、どの経路を使用するかを選択するからである。レジストリの署名付きオブジェクトをユニバーサルなリモートコントロール命令に変換することは、ルーティング権力を認証階層に集中させ、リスク、顧客義務、ローカル知識の違いを消し去るだろう。逆に、レジストリが単に無害な情報を公開しているだけと偽ることは、その認証付きオブジェクトが自動化ポリシーをどの程度強力に形成できるかを軽視することになる。

良いガバナンスは、両方の命題を同時に保持しなければならない。認証局は、自らが制御する声明と状態変更に対して責任を負う。運用者は、自ら選択し、適用する回復力を備えたルーティングポリシーに対して責任を負う。欠けている層は、それらの間の新しい中央決定者ではない。それは、境界を越えた義務、証拠、救済の可視的な配分である。

4つの動詞は、1つの機関がすべての義務を継承することを防ぐ

公開討論では、起点検証を1つの動詞に圧縮することが多い。「RPKI はハイジャックをブロックする」。このフレーズは有用なアドボカシーであり、貧弱な制度分析である。関与する4つの異なる動詞がある。承認（authorize）、検証（validate）、分類（classify）、行動（act）である。それぞれ異なる主体、証拠基盤、救済策を持つ。

保持者は、証明書パスの下で ROA を発行または要求することにより、発信元を承認する。ホスティングサービスでは RIR が鍵と公開操作の多くを制御する可能性がある。委任構成では、保持者がより直接的に制御できる。認証階層は、署名者が関連する番号リソース権限を持つかどうかを確立する。結果として得られるオブジェクトは、ある AS が指定された長さ範囲内でプレフィックスを発信することを承認されていると述べる。BGP でプレフィックスをアナウンスするわけではなく、経路が商業的に受け入れ可能であることを約束するものでもない。

依拠当事者は検証する。署名付きオブジェクトを取得し、証明書、失効リスト、マニフェスト、オブジェクトプロファイルをチェックし、標準とローカル信頼構成に従って現在使用可能なペイロードのセットを構築する。これは認証データに関する計算的判断である。異なるバリデーター実装やリポジトリビューは一時的に不一致になる可能性がある。ローカルフィルターとアサーションも、グローバルデータと意図的に異なるビューを生成する可能性がある。

ルーターは、経路の発信元とプレフィックスを検証済みペイロードと比較して分類する。おなじみの状態は有効、無効、未検出である。有効は少なくとも1つの関連する承認が一致することを意味する。無効はカバーする承認データが存在するが、観測された発信元とプレフィックス長の組み合わせを承認するものがないことを意味する。未検出は関連する検証済みペイロードが経路をカバーしないことを意味する。この状態はその比較を説明するものであり、経路の履歴や正当性の完全な説明ではない。

最後に、運用者が行動する。そのポリシーは、経路を拒否、優先、劣後、隔離、タグ付け、ログ記録、一時的に例外扱いすることができる。顧客、ピア、トランジット、ルートサーバー、アドレスファミリ、地域、重要サービスによって異なる場合がある。プレフィックスフィルター、IRR データ、max-prefix 制限、コミュニティ、商業的選好、最長一致転送と相互作用する。低優先度で保持された経路でも、競合する集約よりも具体性が高い場合、トラフィックを引き付ける可能性がある。これは RFC 7115が運用者に見落とさないように警告している点である。

語彙が重要なのは、責任は制御に従うべきだからである。署名者は誤った承認に対して答えるべきである。バリデーター保守者は、提供される保証の範囲内で再現可能な検証欠陥に対して答えるべきである。キャッシュ運用者は、運用を約束した安全でないまたは古い配布サービスに対して答えるべきである。ネットワークは、自らのポリシーとテストに対して答えるべきである。どの層も、その出力の力を主張しながら、すべての結果を他人の問題として説明することを許されるべきではない。

無効は状態であり、動機の評決ではない

無効という分類は、噂よりも正確であり、司法判断よりも狭い。起点検証の下では、少なくとも1つの検証済みペイロードが経路のプレフィックスをカバーするが、アナウンスされた長さをカバーし、観測された発信元 AS を指定するペイロードは存在しないことを意味する。数学はなぜ不一致が存在するかを説明しない。

不一致は、発信元ハイジャックの試みである可能性がある。また、リソース保持者が ROA を変更する前にトランジットプロバイダーを変更した、運用チームが maxLength を超えるより具体的なプレフィックスをアナウンスした、証明書状態がルーティング調整の完了前に変更された移行、またはレジストリのアクションが予期せず権限を削除した可能性もある。バリデーターが運用者の変更チケットが想定したよりも新しいリポジトリビューを持っている可能性がある。ルーターがエンジニアの診断ツールとは別のキャッシュを使用している可能性がある。ローカルアサーションが違いを修復または作成する可能性がある。これらすべてが、コマンドラインで同じ3文字の状態を生成する可能性がある。

これは無効が弱い証拠であることを意味するわけではない。起点検証の目的は、認証された承認を使用可能なルーティング信号に変換することであり、無効な経路の拒否は、偶然および悪意のある誤発信のコストを実質的に引き上げる。分類は行動をサポートするように設計されている。しかし、セキュリティ制御が統治可能になるのは、即時封じ込めと最終的な帰属を区別できるときだけである。

運用者は、特に認証された顧客例外が存在しないピアまたはトランジットエッジでは、無効な経路を最初に拒否し、後で調査することを合理的に選択できる。その即時行動はローカルセキュリティ判断である。影響を受けた保持者が誤りを主張する場合、問題は変わる。その場合、当事者は正確なプレフィックス、発信元 AS、カバーペイロード、maxLength、バリデーター時間、キャッシュシリアル、ルーターポリシー、最初に観測された遷移を必要とする。他に一致する承認が存在したかどうか、撤回が公開されたかどうか、異なるビューがどの程度迅速に収束したかを知る必要がある。

すべての無効を敵対的行為の証明として扱うことは、意味のある修正権を否定する。すべての無効を無害な設定ノイズとして扱うことは、保護を無効にする。実行可能な中間は手続き的である。宣言されたポリシーに従って封じ込め、証拠を保存し、認証付きエスカレーションパスを提供し、原因を分類し、導入した層で修正し、復旧を測定する。そのような手続きは、自動拒否の価値と、認証データが誤っている可能性の両方を尊重する。

したがって、ガバナンスの問いはラベルを信頼すべきかどうかではない。そのラベルがどのような主張を、どの程度の期間、どの入力の下でサポートし、正当な利益を持つ人物が異議を唱えた場合に何が起こるかである。

レジストリの権限は実質的だが、転送テーブルには及ばない

RIR は、RPKI 証明書階層が番号リソース管理に従うため、強力な立場を占めている。地域トラストアンカーとサービスを運用し、登録関係を維持し、依拠当事者が依存する証明書資料を公開する。ホスティング構成では、保持者の認証付き指示に基づいて ROA を生成および公開する場合がある。失効、リソースセットの変更、公開の失敗は、バリデーターが生成するペイロードを変更する可能性がある。

それは真の権限である。RPKI を単なるオプションのデータベースと呼ぶことは、暗号的な優先順位と自動消費の効果を曖昧にする。多くのネットワークが無効な経路を拒否するようになると、誤った上流の変更が、独立したネットワーク全体で到達可能性の損失に変換される可能性がある。各運用者が自由に拒否を設定したという事実は、誤った証明書状態を無関係にするわけではない。橋の権限は、各運転手が従うことを選んだからといって、誤った信号を否定できない。

しかし、RIR は世界の BGP スピーカーを運用しているわけではない。すべての二国間ピアリング条件、緊急サービス依存関係、プライベートルート、顧客メンテナンスウィンドウ、ローカル例外を知ることはできない。無効なアナウンスメントを拒否するようにネットワークに強制することはできないし、文書化されていないデフォルトを通じてそうできるべきでもない。RFC 8481の運用者制御ルールは、検証ソフトウェアがレジストリ状態をルーティングポリシーに黙示的に変換するのを防ぐ。

境界はサービスコミットメントで表現されるべきである。レジストリは、認証された制御、保持者指示の正確な処理、保護された鍵操作、一貫した公開、通知、修正、保存された記録を定義された制限内で保証すべきである。証明書と ROA の変更がどのように承認されるか、どの緊急チャネルが存在するか、どのタイムスタンプが記録されるか、不利なまたは誤った行動にどのように異議を申し立てることができるかを公開すべきである。すべてのネットワークが修正された経路を運ぶことや、結果として生じるすべての事業損失を補償することを保証する必要はない。

運用者は、レジストリが行っていない選択についてレジストリを非難すべきではない。キャッシュエイジを監視せず、再評価をテストせず、顧客エスカレーションルートを提供せずに拒否を適用するネットワークは、その設計判断を所有する。修正されたペイロードを無視するプロバイダーは別の障害を所有する。既知の誤発信を商業的便宜のために受け入れ続けるネットワークは、その受け入れが RIR によって強制されたと説明することはできない。

可視的な境界は、責任を弱めるどころか強くする。修復可能な機関を特定する。レジストリは承認状態を修正できる。バリデーター運用者は取得または検証を修正できる。ルーターベンダーは実装を修正できる。ネットワークはポリシーを変更し、経路を復旧できる。共有責任という漠然とした主張は、誰も時計を動かしていないことを意味することが多い。

バリデーターは独立した解釈者であり、上訴裁判所ではない

依拠当事者ソフトウェアは、署名付き公開とルーター消費の間に位置する。分散リポジトリからオブジェクトを収集し、設定されたトラストアンカーに対して認証し、検証ルールを適用し、ペイロードのセットを生成する。RFC 8897はこの役割の多くの要件を統合している一方、独立した実装は解析、取得、キャッシュ処理、リリースプラクティスにおいて有用な多様性を提供する。

バリデーターの裁量は制限されている。不正な形式のオブジェクトを拒否し、古いまたは失効したチェーンを使用不可とみなし、標準内でリポジトリ転送動作を選択し、診断情報を公開できる。適切に認証された ROA を不当と宣言し、運用者がレジストリに異議を唱えるという理由だけで異なるグローバル承認を代用することはできない。もしそうすれば、ソフトウェア保守者は番号リソース権限に対する非任命の上訴機関となるだろう。

それでも、ローカルな自律性は存在する。RFC 8416は SLURM を定義し、運用者が検証済みペイロードをフィルタリングしたり、ローカルアサーションを追加したりすることを可能にする。これは、不利な行動中に経路を保護したり、グローバル RPKI が表現できないプライベート使用を許可したりできる。重要な形容詞は「ローカル」である。例外は、その運用者と、修正されたビューを意図的に供給するすべての顧客が使用するビューを変更する。他のネットワークの署名付き状態を書き換えるものではない。

したがって、バリデーター運用には宣言されるべきガバナンスの選択が含まれる。どのトラストアンカーロケーターが受け入れられるか？ローカルフィルターやアサーションは読み込まれているか？どのリポジトリトランスポートが有効か？古いデータはどのように扱われるか？どのバリデーターバージョンと暗号ライブラリが実行されているか？ルーターは1つのキャッシュビューを受け取るか、複数から選択するか？誰が例外を承認できるか？それはどの程度狭く、いつ期限切れになり、どの証拠がそれを閉じるか？

複数のバリデーターを実行することは有用だが、それだけでこれらの問いに答えるものではない。2つのインスタンスがリポジトリパス、信頼構成、またはパッケージチャネルを共有する可能性がある。それらの出力が異なる場合、多数決は欠陥を特定するのと同じくらい簡単に古い状態を維持する可能性がある。有用な比較は、オブジェクトと入力レベルで違いを説明する。どのバイトがフェッチされたか、どの証明書パスが受け入れられたか、どのシリアルがエクスポートされたか、どのペイロードが追加または削除されたか。

これが、バリデーターがルーティングポリシーを吸収すべきでない理由でもある。高品質の状態、出所、経過時間、エラー情報を提供すべきである。ルーターとネットワークポリシー層が運用上の処遇を決定すべきである。検証と拒否を1つの不透明なマネージドサービスに組み合わせることは便利かもしれないが、最も重要な受け渡しを隠蔽する。認証された声明が接続性の決定になる瞬間である。

RPKI-Router プロトコルは状態を運び、制度的同意ではない

RFC 8210は、検証済みキャッシュからルーターへの実用的な橋渡しを説明する。ルーターは1つ以上のキャッシュとの関係を確立し、設定された選好に従って選択し、フルまたは増分データセットを要求する。セッション識別子はキャッシュインスタンスを区別し、シリアル番号はセッション内の論理バージョンを識別する。プレフィックスアナウンスと撤回は、正確な検証済みレコードを追加または削除する。End of Data メッセージは一貫した更新を完了し、タイミングパラメータを運ぶ。

これらの詳細は、ポリシーが時間とともに変化する状態に適用されるため、運用上重要である。キャッシュは新しいデータが利用可能であることをルーターに通知できるが、通知はヒントであり、ルーターは依然としてクエリを実行する。増分履歴が利用できない場合、ルーターはリセットして完全なセットを要求するか、別のキャッシュに移動できる。セッション ID が予期せず変更された場合、古いレコードをフラッシュする必要があるかもしれない。キャッシュ・ルータープロトコルでの撤回は、同じプレフィックス、最大長、ASN を持つ以前にアナウンスされた権利を削除する。

タイミングモデルは限定的な継続ウィンドウを作成する。リフレッシュ間隔はルーターが再度ポーリングするタイミングを示す。リトライ間隔は失敗後の試行を管理する。有効期限間隔は、成功した更新なしに現在のキャッシュデータが使用され続けることができる期間を制限する。RFC 8210の推奨デフォルトはエンジニアリングパラメータであり、ユニバーサルなサービス約束ではなく、デプロイメントは指定された範囲内で値を設定できる。制度的に重要なのは、キャッシュ接続が失敗したからといって、古い承認が無制限に存続するわけではないことである。

同時に、有効期限は到達可能性リスクを変更する可能性がある。検証済みデータが消失すると、経路はアーキテクチャとポリシーに応じて、未検出の処遇または別の実装固有の状態に移行する可能性がある。無効な経路のみを拒否する設計は、期限切れ後にオープンにフェイルする可能性がある。検証の喪失を広範な拒否の根拠として扱う設計は、クローズドにフェイルし、正当なネットワークを切断する可能性がある。標準のトランスポート動作は、運用者がどちらの継続リスクを好むべきかを選択できない。

プロトコルの存在は、機関がメッセージを過大解釈する誘因となる可能性がある。Prefix PDU は RIR からルーターへの指令ではない。ルーター運用者によって信頼されたキャッシュから発行されたデータであり、キャッシュの検証ビューから派生したものである。そのシリアル番号は、そのキャッシュセッション内の順序を証明するものであり、レジストリ間の合意やピアリング契約の下での許可を証明するものではない。ルーターの使用は、依然として設定されたローカルアクションである。

統治可能なデプロイメントは、受け渡しを記録する。争われた決定に使用されたペイロードを供給したキャッシュセッションとシリアル、ルーターが受け入れた時刻、後の撤回が到着した時刻、影響を受けたパスが再評価された時刻を示すことができる。その記録がなければ、最も運用上決定的なステップは、上流の証明書儀式よりも少ない証拠しか残さない。

ルーターは複数の処遇を提供し、それぞれに異なる救済策がある

ベンダーおよびオープンソースルーターの文書は、起点検証が1つの普遍的なアクションを課さないことを確認している。Cisco の例は、有効、無効、未検出の経路に異なるローカルプリファレンスを割り当てるポリシーや、無効なパスを保持しながらベストにならないようにする代替案を示している。Juniper のガイダンスは、検証状態をマークするポリシーと、無効な経路を後で拒否するポリシーを分離している。FRRouting は同じ状態に対してルートマップマッチを公開し、パスを破棄する代わりにプリファレンスを下げることができる。

最初の処遇は、インポート時のハードリジェクションである。その境界で使用可能な BGP 決定セットに経路が入るのを防ぐ。これは明確な保護を提供するが、実装が拒否されたパスを保持しなかった場合、回復が複雑になる可能性がある。修正された ROA が到着したとき、ルーターは保存された事前ポリシールート、ソフト再設定、またはネイバーからのルートリフレッシュを必要とする場合がある。RFC 9324は、新しい RPKI データが負荷の高いリフレッシュを引き起こす害に対処し、RPKI ポリシーの影響を受けるパスを保持してローカルで再評価できるようにすることを推奨している。

2番目の処遇は、パスを保持するが、ベストパス選択の対象外にする。検証が変更されたときに、ルートが再評価のために利用可能であるため、迅速に回復できる。メモリを消費し、パスが誤って転送やエクスポートに漏れないという保証が必要である。証拠は「回復のために保持」と「使用可能として受け入れ」を区別すべきである。

3番目の処遇は、プリファレンスを下げる。これは段階的なデプロイメントや顧客固有の移行をサポートできるが、安全性と同等ではない。無効な経路が唯一のパスである場合、それが勝つ可能性がある。有効な集約よりも具体的である場合、最長プレフィックス転送は BGP プリファレンスが低くてもトラフィックを引き付ける可能性がある。例外は、ルートテーブルの外観だけでなく、実際の転送結果を中心に設計されなければならない。

4番目の処遇は、執行前の監視とタグ付けである。これにより、運用者は顧客エラーを特定し、エスカレーションサービスを構築し、機器をテストする時間を得られる。明らかな弱点は、観察だけではハイジャックを止められないことである。したがって、段階的計画には、無期限のパイロットではなく、日付、しきい値、説明責任のある承認が必要である。

最後に、運用者は狭いローカル例外を適用できる。例外は、修正中の検証済み保持者に対して正当化される可能性があるが、プレフィックス、発信元、影響を受けるセッション、承認者、証拠、有効期限、レビューを指定すべきである。広範な恒久的バイパスは、黙示的に第二の承認体制を作り出す。誤った拒否に対する救済と、安全でない例外に対する制御は同じものである。正確で時間制限のある状態と、保存された決定記録である。

ピアリングとトランジットは、1つの状態を異なる義務に変える

ネットワークは法的真空の中で経路を受け取るわけではない。顧客セッション、 Settlement-free ピアリングセッション、トランジットフィード、ルートサーバーセッションは異なる期待を持つ。起点検証は、プレフィックス承認、エクスポート範囲、トラフィックエンジニアリング、max-prefix 保護、商業的選好の中の1つの入力としてそれらの関係に入る。

トランジットプロバイダーは通常、合理的な使用およびルーティングセキュリティ条件に従って到達可能性を約束する。顧客の無効な経路を拒否する場合、顧客は明確な通知と、修正された承認を示す認証付き方法を必要とする。プロバイダーは拒否する強い根拠を持つかもしれないが、それでもプレフィックス、観測された発信元、検証証拠を特定すべきである。「インターネットが無効と言っている」は適切なサービス応答ではない。決定を行っている単一のインターネットルーターは存在しないからである。

ピアリングエッジでは、ネットワークはすべての経路を運ぶ義務を負わない場合がある。交換の条件として厳格なポリシーを採用できる。しかし、誤った分類が両方のピアとその顧客に影響を与える可能性があるため、透明性は依然として重要である。ピアリングコーディネーターは、拒否がローカルネットワーク、ルートサーバー、検証サービス、または伝播された状態コミュニティのいずれから来たのかを知る必要がある。iBGP やルートサーバー構成を介した起点検証拡張コミュニティの使用は状態を分散できるが、RFC 8481は運用者が設定しない限り自動アクションに対して警告している。

ルートサーバーは境界を特に可視化する。多くのメンバーに代わって検証とフィルタリングを行ったり、単に情報を付加して各メンバーに決定を委ねたりできる。共有サービスは一貫性を向上させ、デプロイメントコストを削減できる。また、1つの設定ミスをエクスチェンジ全体に増幅させる可能性もある。そのポリシー、例外権利、キャッシュ入力、変更通知は、サービス条件と技術文書で明示されるべきである。

下流の顧客は帰属を複雑にする。小規模ネットワークはバリデーターを運用せず、上流の効果的なポリシーのみを受け取る場合がある。その経路は、データを公開した RIR から遠く離れた場所で、その遠方の運用者への契約パスなしに拒否される可能性がある。ここで集合的な機関が役立つ。標準化された通知と相互運用可能な証拠は、小規模保持者がすべてのフィルタリングネットワークと個別に交渉する必要性を減らす。

商業的自律性は情報に対する免責になるべきではない。ネットワークは任意の経路を拒否する権利を保持するかもしれないが、拒否を RPKI 執行として提示する場合、どの状態とポリシーがそれを生成したかを示すべきである。その最低限の開示は、運搬を強制することなく、正確な責任を保持する。

修正は ROA が変わった時点で完了しない

運用チェーンは非同期である。保持者はポータルで ROA を修正しても、依然として到達不能のままである可能性がある。新しいオブジェクトを生成し、公開する必要がある。リポジトリクライアントはそれをフェッチしなければならない。バリデーターは一貫した現在のビューを認証し、ペイロードセットを変更しなければならない。キャッシュは通知するか、ルーターポーリングを待たなければならない。ルーターは追加または削除を受け取り、検証状態を再計算し、ポリシーを再適用しなければならない。パスが破棄された場合、ネイバーは再評価を必要とする可能性がある。その後、トラフィックは再収束しなければならない。

各段階は成功しても、最終結果が壊れたままである可能性がある。RIR はリポジトリに修正されたオブジェクトを表示できるが、あるバリデーターが公開ポイントをフェッチできない。バリデーターは正しいペイロードを表示できるが、ルーターが失敗した優先キャッシュに固定されている。ルーターは状態を更新するが、変更前に計算されたポリシー結果を保持する。1つのボーダークラスターは回復するが、別のクラスターは期限切れのデータを持つ。プロバイダーはインポートを復元するが、ピアへのエクスポートを抑制し続ける。

そのため、意味のあるサービス尺度は「ポータル確認までの時間」ではない。認証された修正要求から、宣言されたチェックポイント全体での観測された復旧までの時間である。チェックポイントは地球上のすべてのネットワークを含む必要はない。発行者の公開、利用可能な場合は少なくとも2つの独立した検証ビュー、影響を受けるプロバイダーのキャッシュとルーター状態、代表的な外部 BGP コレクターまたは顧客プローブを含むべきである。

RFC 9324は重要な回復教訓を追加する。ルーターが無効なパスを破棄し、十分な事前ポリシー状態を保持しなかった場合、新しい RPKI データがネイバーへのルートリフレッシュ要求を引き起こす可能性がある。大規模では、これが深刻な負荷を引き起こし、デピアリングに至ることさえある。したがって、影響を受けたパスをローカル再評価のために保持することは、単なるパフォーマンス改善ではなく、修正権の一部である。ネットワークが経路を忘れ、安全に回復する方法がない場合、保持者の承認は迅速に修復できない。

チェーンはまた、固定されたグローバル期限が誤解を招く理由を説明する。公開頻度、リポジトリの健全性、バリデーターのポーリング、キャッシュタイマー、ルーターアーキテクチャ、BGP 収束は異なる。ガバナンスは、制御された段階で測定可能な目標を指定し、不可能なユニバーサルな瞬時を約束するのではなく、観測されたエンドツーエンドの復旧を報告すべきである。

修正レシートには、新旧のオブジェクト識別子、公開時間、バリデーターの初回参照時間、ペイロード変更、ルーターの初回適用時間、経路再評価方法、外部観測を含むべきである。これにより、インシデント後の改善と、どの機関が復旧を遅らせたかについての紛争のための記録が作成される。

5つの障害ケースが5つの異なる責任主体を明らかにする

まず、保持者の認証付き指示から作成された誤った ROA を考える。保持者が誤った発信元または最大長を入力し、レジストリが正確に処理した場合、主要な修正義務は保持者にあるが、レジストリはまだ使用可能な変更管理と警告ツールを提供する義務がある。ポータルが正しい指示を誤って変換した場合、責任はサービス運用者に移る。結果として生じる無効な経路を拒否するルーターは、宣言されたポリシーを適用したのであり、悪い承認を作成したわけではない。

第二に、有効なペイロードを削除するレジストリ証明書または公開エラーを考える。バリデーターは同じ上流状態を忠実に処理しているため、同意する可能性がある。彼らの同意は発行者を免除するものではなく、原因を特定する。運用者は緊急例外が適切かどうかを決定するが、レジストリは迅速な復旧、理由、保存された証拠を提供する義務がある。

第三に、古いリポジトリデータやソフトウェア欠陥のために2つのバリデーターが一致しないと仮定する。キャッシュ運用者は入力の違いを特定すべきであり、ソフトウェア保守者は再現可能な欠陥を修正すべきである。ネットワークは不一致の間、どのビューを使用するかを決定しなければならない。単純な過半数では不十分である。2つの古いインスタンスが1つの最新インスタンスを過半数で上回る可能性がある。決定は、鮮度、信頼入力、オブジェクト証拠、障害独立性を考慮すべきである。

第四に、データが期限切れになるまでキャッシュ・ルーター接続が失敗すると仮定する。RFC 8210は無制限の保持を防ぐが、ネットワークのその後のルーティングポリシーを選択しない。キャッシュサービスはそのコミットメント内の可用性について責任を負う。運用者は冗長性、期限切れ処理、および検証喪失がオープンまたはクローズドにフェイルするかについて責任を負う。ベンダーは、実装が設定または標準化された動作に反する場合に責任を負う。

第五に、正しいペイロードがルーターに到達するが、ポリシー項が誤って順序付けられ、一部のセッションにのみ適用され、ベンダーデフォルトから継承されると仮定する。これは運用者の設定ミスであり、不十分なベンダー診断によって助長される可能性がある。レジストリはそれを修復できない。証拠には、ポリシーバージョン、セッション範囲、ルートテーブル結果が含まれなければならず、単なる有効ペイロードのスクリーンショットではない。

これらの例は、1つの広範な「RPKI インシデント」カテゴリが不十分である理由を示している。同じ可視症状（到達不能なプレフィックス）が、承認、検証、配布、分類、またはポリシーから生じる可能性がある。インシデントレビューは、最初の誤った状態遷移と、すべての失敗した封じ込めまたは復旧義務を割り当てるべきである。複数の主体が異なる部分に対して責任を負う可能性があり、責任が無意味になることはない。

権利と救済は、害が発生する境界で執行可能でなければならない

ガバナンス憲章は、影響を受ける当事者がそれを利用できる場合にのみ有用である。保持者は、認証サービスへの認証付き緊急チャネル、保留中および公開済みの変更を確認する方法、耐久性のあるレシートを必要とする。権限が削除された場合の理由と、誤りや不利な行動に異議を申し立てる経路を必要とする。通常の保持者エラーには、セルフサービス修正で十分かもしれない。争われた失効や法的強制については、独立したレビューと継続性の取り決めがより重要になる。

運用者の顧客は異なる救済策を必要とする。経路が拒否された理由を尋ね、プロバイダー自身の観察に結びついた回答を受け取るべきである。プロバイダーは、検証状態、キャッシュ時間、カバーペイロード、関連するポリシークラスを、無関係なネットワークセキュリティ詳細を公開せずに開示すべきである。商業的およびセキュリティ上のリスクが許す場合、狭く制御された一時的例外手続きを提供すべきであるが、顧客は無条件の伝播権を想定すべきではない。

運用者はまた、そのキャッシュまたはマネージド検証サプライヤーに対する権利を必要とする。サービス条件は、トラストアンカー、ソフトウェア、更新ターゲット、古いデータ動作、通知、ログ保持、不一致時のサポートを特定すべきである。サプライヤーが検証とルーティングの推奨を組み合わせる場合、事実上のペイロード変更とそのポリシーアドバイスを分離すべきである。顧客は最終的なルーティング選択を理解し、上書きできるままでなければならない。

ルーターベンダーは実装可能な制御を提供する義務がある。運用者は、検証とアクションを区別し、キャッシュセッションと経過時間を表示し、影響を受けるパスを安全に保持または回復し、ポリシー項が一致した理由を公開するコマンドとテレメトリを必要とする。デフォルトは文書化されるべきであり、アップグレードは黙示的に無効または未検出の経路の処遇を変更すべきではない。再現可能な欠陥は、セキュリティ対応とリリース記録を持つべきである。

救済は比例すべきである。即時の技術的修正は、通常、投機的損害賠償よりも価値がある。通知、保存された状態、迅速な撤回または置換、再評価、外部検証が最初に来る。財務的または契約上の救済は、制御された障害と文書化された損失が残る場合に続く可能性があるが、無制限の責任は共有インフラを discourage し、証明書とパケットの間の多くの独立した決定を反映することはできない。

したがって、執行可能な最低限は、普遍的な到達可能性の保証ではない。争われたステップを制御する機関からの証拠とタイムリーな行動への権利である。その権利は、拡散した技術的依存関係を一連の応答可能なサービスに変換する。

決定レシートは分散された権限を監査可能にする

RPKI はすでに署名付きオブジェクトと注意深く指定された検証ルールを含んでいる。運用者の境界で欠けていることが多いのは、それらのオブジェクトをルーティング結果にリンクするコンパクトな記録である。決定レシートは新しいグローバル承認ではない。各主体が自身の行動のために生成する証拠フォーマットである。

認証層では、レシートはリソース、新旧の承認、要求者 ID、承認方法、実効公開時間、理由カテゴリ、および異議申し立てや緊急時参照を特定すべきである。機密性の高い個人の詳細は保護されたままで、オブジェクトレベルの変更と権限の根拠が可視化される。

バリデーター層では、ソフトウェアとバージョン、アクティブなトラストアンカー、ローカル変更、リポジトリスナップショットまたは観測時間、検証結果、ペイロードの追加または削除、関連する警告を記録すべきである。キャッシュ・ルーター層では、キャッシュ ID、プロトコルバージョン、セッション識別子、シリアル、転送完了、データ経過時間を追加する。これらの詳細は、「私のバリデーターは別のことを言っている」を再現可能な比較に変える。

ルーター層では、レシートは経路、ピアクラス、検証状態、一致したポリシー項、結果としてのアクション、ポリシーバージョン、時刻を指定すべきである。経路が保持されたが対象外の場合、記録はそう述べるべきである。例外が適用された場合、範囲、承認者、有効期限を含めるべきである。大規模プロバイダーの場合、記録は自動的に生成され、正当なクエリに応じて選択的に開示できる。

外部観測がチェーンを完成させる。RIPE RIS、RouteViews、運用者のルッキンググラスは、選択された視点からアナウンスが出現したかどうかを示すことができる。すべてのネットワークが受け入れたことを証明することはできず、1つのコレクターでの欠如はグローバル抑制の証明ではない。それらの価値は独立した時間的証拠である。経路は変更前にここで可視であり、その後ここで欠如し、記録された時間にここで復旧した。

レシートは、異なるキャッシュからのシリアル番号が直接比較可能であると偽ることなく、安定した識別子を使用すべきである。生のタイムスタンプを保持し、推論を明確にマークすべきである。中央ダッシュボードはそれらを集約するかもしれないが、基礎となる証拠はそれを生成した主体に帰属可能なままでなければならない。

このプラクティスはインセンティブを変える。レジストリは変更記録を改善する。下流の影響を追跡できるからである。バリデーターは診断を改善する。違いがレビュー可能になるからである。運用者はポリシーをテストする。拒否を説明する必要があるかもしれないからである。保持者は ROA を維持する。自身の指示が可視のままであるからである。説明責任は、すべての参加者の上に新しい権限をインストールするのではなく、リンクされた証拠から生じる。

測定は何が観測可能で何が観測不可能かを尊重しなければならない

デプロイメントに関する主張は、曖昧な分母によって弱められることが多い。有効な ROA のカウントは、承認の公開を測定するものであり、無効な経路を拒否するネットワークの数ではない。1つの実験的アナウンスをフィルタリングしているように見えるネットワークのカウントは、すべての顧客、ピア、地域に対するポリシーを確立するものではない。RPKI 機能を持つルーターベンダーのカウントは、運用者が正しく有効にしたことを示すものではない。

有用な測定プログラムは、少なくとも4つの量を分離する。第一に、公開カバレッジ。検証済みペイロードによってカバーされるアドレス空間またはルーティングされたプレフィックスであり、重複する承認と最大長を明示的に扱う。第二に、バリデーターの可用性と一貫性。選択された独立した依拠当事者が、特定された信頼入力から同じペイロードセットを導出するかどうか。第三に、ルーターポリシーのデプロイメント。観測されたネットワークが、制御された有効、無効、未検出のアナウンスを拒否、劣後、または伝播しているように見えるかどうか。第四に、結果。実際の承認イベント中にどのプレフィックスとパスが変更されたか。

RIPE RIS と RouteViews は、ボランティアピアとコレクターを通じて広範だがサンプリングされた BGP 可視性を提供する。それらのアーカイブは前後分析をサポートできるが、すべての二国間パスや内部ポリシーを見るわけではない。アクティブ実験はテストされたパスに沿った処遇を明らかにできるが、経路伝播、商業的関係、パス変更が帰属を混乱させる可能性がある。運用者の証明はコンテキストを追加するが、実際のポリシーではなく意図されたポリシーを説明する場合がある。

正しい対応は測定を放棄することではない。視点、時間枠、テストされた経路状態、信頼度、制限を公開することである。多様なコレクターからの繰り返し観測は、正確なグローバルパーセンテージを発明することなく、トレンドとインシデントを特定できる。証拠は「観測されず」と「拒否され」を区別し、「AS レベルの推論」と「ルーターレベルの設定」を区別すべきである。

修正監査では、測定はより狭く、より強力になる可能性がある。関連するプロバイダーはキャッシュとポリシーレコードを公開できる。独立したバリデーターはペイロード収束を示すことができる。経路コレクターは外部再出現を示すことができる。エンドポイントプローブは到達可能性をテストできる。これは普遍的な修復を証明するものではないが、関係者にとっての運用チェーンを証明できる。

番号資源協会（Number Resource Society）は、共通の測定定義を維持し、再現可能なイベント研究を公開することができる。比較不能な分母に基づくランキングを避けるべきである。目的は、権限と実装がどこで乖離しているかを示すことであり、レジストリや運用者に単一の美徳スコアを授与することではない。

制限された番号資源協会の役割は、制度上のギャップを埋めることができる

RIR の公開とルーターの行動の間のギャップは、諦念または集中化のいずれかを招く。諦念は、すべてのネットワークは自律的であるため、共通の説明責任は不可能であると言う。集中化は、1つの機関がすべての検証状態の処遇を決定すべきであると言う。両方の答えは簡単すぎる。

番号資源協会は、より狭い位置を占めることができる。決定レシートフォーマットを定義し、レジストリの修正コミットメントを比較し、特定されたスナップショットに対してバリデーターをテストし、キャッシュ・ルーター回復演習を公開し、小規模運用者がベンダー動作を解釈するのを支援できる。組織境界を越える証拠を中心に、保持者、RIR、トランジットプロバイダー、エクスチェンジ運用者、ベンダー、研究者を招集できる。

また、エスカレーションディレクトリを運用できる。拒否に直面した保持者は、正しいレジストリ緊急連絡先、バリデーター保守者、プロバイダールーティングデスク、エクスチェンジサービス所有者を見つけることができる。標準化されたケースフィールドは、プレフィックス、発信元、ペイロード、タイミング証拠の繰り返し翻訳を防ぐ。集約されたケースは、プライベート顧客データを公開することなく、繰り返し発生する maxLength エラー、古いキャッシュパターン、ポリシー順序の欠陥を明らかにする可能性がある。

協会は、自身が管理しないリソースの代替 ROA に署名したり、運搬を強制したり、制度的選好によって争われたタイトルを宣言したりすべきではない。自主的なベストプラクティスを隠れたグローバルルールに変えるべきではない。その正当性は、透明な方法、バランスの取れた代表、公開された制限、迅速な修正の実用的価値からもたらされる。

また、一度きりの質問票を通じてネットワークが「RPKI 準拠」であると認定すべきではない。保証はイベントベースであるべきである。ネットワークはキャッシュエイジを示せるか？変更されたペイロードは安全な再評価をトリガーするか？顧客は理由のある拒否通知を取得できるか？例外は期限切れになるか？2つのバリデーターの不一致は説明できるか？レジストリの修正は報告された間隔内に外部で可視になるか？

これらのテストは、自律性を保持しつつ、応答可能にする。RIR は認証責任を保持する。運用者はルーティング責任を保持する。ベンダーは実装責任を保持する。協会は、二者関係が効率的に行うには断片化しすぎている場合に、共通の証拠とレビューを提供する。

このような機関のポジティブケースは、最も交渉力の低いネットワークにとって最も強い。大規模キャリアは独自のテレメトリを構築し、レジストリエンジニアに直接電話できる。小規模保持者や地域プロバイダーはしばしばそれができない。共有手続きは、すべてのリモートネットワークのポリシーを決定する権利があるふりをすることなく、信頼できる救済を提供できる。

ガバナンス層は境界の地図であり、別のスイッチではない

RPKI デプロイメントの成熟した見解は、プロモーション図がしばしば終了する場所から始まる。署名付きオブジェクトがバリデーターに到達し、ペイロードがルーターに到達し、状態がポリシーに到達し、ポリシーが商業的関係とパケットパスに影響を与える。すべての矢印は、技術的インターフェースであり、制度的な引き継ぎである。

コアルールは明確なままである。RIR とリソース保持者は認証された権限ステートメントを公開する。バリデーターは、信頼できるデータから何が導かれるかを決定する。ルーターは経路を分類し、設定された制御を実行する。ネットワーク運用者は最終的な処遇を決定する。標準は意図的に、自動ポリシーが分類に忍び込むのを防ぐ。

その分割は免責の連鎖になるべきではない。発行者は発行と公開に対して答えるべきである。バリデーターとキャッシュ運用者は、忠実かつタイムリーな計算と配布に対して答えるべきである。ベンダーは実装に対して答えるべきである。ネットワークはポリシー、例外、復旧に対して答えるべきである。トランジットおよびピアリングサービスは、共有制御が他者に影響を与える条件を説明すべきである。

3つの改革が取り決めを統治可能にする。第一に、オブジェクト変更をバリデーター、キャッシュ、ルーター状態に接続する決定レシートを公開すること。第二に、すべての制御境界で執行可能な修正と異議申し立て手続きを提供すること。第三に、デプロイメント数を運用上の証明に代えるのではなく、宣言された視点でエンドツーエンドイベントを測定すること。

結果はルーティングインシデントや権限に関する意見の相違を排除しないだろう。それらを扱いやすくする。影響を受けた保持者は、最初の誤った状態、修復可能な機関、復旧を確認するために必要な証拠を特定できる。運用者は、無効ラベルが動機を証明するふりをすることなく、セキュリティ決定を防御できる。レジストリは、すべてのルーティング選択の保険者になることなく、自身の行為に対して責任を受け入れることができる。

欠けているガバナンス層は、したがって、欠けているコードではない。欠けている可読性である。RPKI からルーターへのアーキテクチャは、すでに最終選択を自律的な運用者に委ねている。2018年以降の制度的課題は、その自律性が、緑、灰、赤の検証状態の背後に隠れるのではなく、可視的で、理由付けされ、レビュー可能であり続けることを確保することである。

出典

RFC 8481: RPKI に基づく BGP 起点検証の明確化— 2018年のルールを確立。検証は状態を設定し、運用者設定がポリシーを制御する。すべてのピアクラスやインシデントに対して1つの優先処遇を規定するものではない。
RFC 8210: RPKI からルーターへのプロトコル、バージョン1— キャッシュ・ルーターセッション、シリアル更新、ペイロードアナウンスと撤回、トランスポートオプション、リフレッシュ、リトライ、有効期限パラメータを定義。商用ルーティング義務ではなく、データ配信を指定。
RFC 6811: BGP プレフィックス起点検証— 有効、無効、未検出の比較を定義し、結果の使用をローカルポリシーとして扱う。不一致の背後にある動機を特定しない。
RFC 7115: 起点検証の運用— デプロイメントとルーティングポリシーのガイダンスを提供。トラフィックシフト、低プリファレンス、より具体的な経路に関する警告を含む。一部の運用前提は初期導入段階を反映しており、現在のデプロイメント数として読むべきではない。
RFC 9324: ルートリフレッシュなしの RPKI ベースポリシー— デプロイメントで見られた有害なリフレッシュ動作を文書化し、影響を受けるパスを再評価のために保持することを推奨。すべてのベンダーやネットワーク実装を測定するものではない。
RFC 8897: RPKI 依拠当事者の要件— RPKI データのフェッチ、検証、配布に関する要件を統合。現在のプライベートバリデーターサービスの監査ではなく、要件マップ。
RFC 8416: RPKI による簡略化されたローカルインターネット番号リソース管理— 制限された例外をサポートできるローカルフィルターとアサーションを定義。そのようなローカル状態は、他の運用者のグローバル署名付きビューを変更しない。
RFC 8211: 認証局による有害な行動— 証明書とリポジトリの行動が保持者に害を及ぼす方法と、ローカル制御が影響を軽減する方法を分析。特定のレジストリ行動が法的に正当化されるかどうかを判断するものではない。
Cisco: IOS XR 7を搭載した Cisco 8000での BGP RPKI— 1つの製品ファミリーにおけるポリシーマッチ、劣後、ベストパス処理、再評価の選択肢を示す。例はグローバルな運用者慣行を確立するものではない。
Cisco IOS XE: BGP 起点 AS 検証— 検証状態に対するキャッシュ接続と複数のポリシー結果を文書化。製品コマンドは、確認なしに他のリリースに一般化すべきではない。
Juniper Networks: RPKI の設定— 状態マーキングを後続の受け入れまたは拒否ポリシーから分離し、顧客、ピア、トランジットインポートへの配置を説明。運用ガイダンスであり、独立した測定研究ではない。
FRRouting BGP ドキュメント— 有効、無効、未検出状態のオープンソースルートマップ処理とキャッシュテレメトリを示す。動作はリリースとローカル設定に依存。
RIPE RIS ドキュメント— 分散 BGP 収集プラットフォームとその生データを説明。コレクターの可視性はサンプリングされており、すべてのネットワークの処遇を証明できない。
RouteViews API ドキュメント— 参加コレクターからの現在およびアーカイブビューを説明。コレクターでの欠如は、それ自体では経路がグローバルに拒否された証明ではない。
NRS 憲章— 分散参加と集中化された番号リソース権力の制限に関する規範的サポートを提供。ここで提案されている保証、レシート、エスカレーション機能は推奨事項であり、普遍的な現在のデプロイメントの証拠ではない。