要約

  • ARINは、データベース内に約1万7000のレガシーネットワークがあり、そのおよそ半数にはPOCがないか、ARINが確認できないPOCしかないと説明した。
  • 同じ記事は、現在有効に確認された連絡先が11%、情報が不完全な連絡先がさらに20%あるとする。比較対象はARINとの契約下にあるリソースの「組織」で、確認済み率は76%とされた。
  • 記事だけでは、集計日、正確な件数、分類の重複、ネットワーク・組織・POCの対応関係が分からない。したがって矛盾を立証することも、残りを一括して無効と呼ぶこともできない。
  • 個人情報を公開せず、単位・分子・分母・分類規則を記した版管理付きの集計表を出せば、警告を検証可能な証拠にできる。

「約半数」という警告の裏側

ARINの8月5日付ブログは、古い登録情報を単なる事務上の問題として扱っていない。放置されているように見えるレコードを攻撃者が探し、登録組織を装ってOrg IDや連絡先を奪い、プロバイダーに経路を通させようとする危険を説明している。

そこで示された母集団が約1万7000のレガシーネットワークである。約半数にはPoint of Contactがないか、ARINが検証できないPOCが付いている。現在確認済みの連絡先を持つのは11%。さらに20%は連絡先レコードがあるものの、情報が不完全だという。

続く比較では、ARINとの契約下にあるリソースの組織の76%に確認済み連絡先があり、不完全な連絡情報はゼロとされる。ARINは、契約書そのものが差を生んだのではなく、誰かが情報を見直し更新していることが重要だと述べる。レガシー保有者も契約を結ばずに連絡先を直せる。

行動を促す説明としては明快だ。しかし統計として追試しようとすると止まる。正確なデータ基準日、各群の件数、丸め方、全レコードを尽くす状態区分が掲載されていないからだ。

数えた対象が途中で変わる

約1万7000という数字の単位はネットワークである。76%の単位は組織である。年次確認の対象はPOCレコードである。

一つの組織が複数のネットワークを持つことがある。ネットワークにはリソースへ直接付くPOCと、組織を通じて間接的に付くPOCがあり得る。一つのPOCが複数のレコードや役割を担う場合もある。POCの案内は、Admin、Tech、NOC、Abuseを別の役割として扱っている。

Data Accuracy Improvement Programも組織単位の複合指標を定義する。必須欄と少なくとも一つのPOCが埋まればComplete。組織が審査され、少なくとも一つのPOCが検証されればCorrect。その状態が過去5年内に確認されればCurrentとなる。

ブログの11%がこの三段階のどれを使うのかは明記されていない。契約下の組織が何件で、何ネットワークに対応するかも分からない。ARIN内部では結び付いているかもしれないが、公開情報には変換表がない。

ネットワークに少なくとも一つ有効な直接・間接POCがある割合と、全POCレコードのうち確認済みの割合は、別の質問への答えである。数字が同じ形式でも意味は同じではない。

11%以外をすべて「無効」とは呼べない

記事は不完全な20%を「additional」と表現するため、11%の確認済み群とは別枠だと読むのが自然だ。仮に約1万7000を共通分母とすれば、およそ1870件と3400件に相当する。ただし元の総数が概数なので、これはARINが公表した実数ではない。

11と20を足すと31になる。残り69%の正式な内訳は示されていない。

先の「約半数」はPOCなしと検証不能を一緒にしている。不完全なPOCが検証不能にも含まれるのか、60日の回答期間中のレコードは別なのか、組織POCを間接的に持つリソースはどう扱うのかが分からない。100から11を引いて「89%が無効」とすることはできない。

現在確認済みでない、不完全、検証不能、無効、POCなしは同義ではない。約半数も正確な8500件ではない。ここで確認できるのは計算ミスではなく、公開分類が閉じていないことだ。

NRPMが定めるのは限定されたアカウント効果だ

現行NRPM 3.6では、組織POCとリソースPOCのAdmin、Tech、NOC、Abuseを毎年確認する。通知後60日以内に、情報が正しく完全であると回答するか、修正データを提出する必要がある。

無効なPOCのARIN Online利用は、支払いと連絡先更新に制限される。有効なPOCが一つもない組織は、AdminかTechを一件以上確認・修正するまで他の機能を使えない。詳細再割当てや再配分を受ける組織にも確認済みPOCが必要となる。

これは重要な統制だが、番号資源そのものを無効にする規定ではない。POCが無効でも、アドレスが取消し、放棄、再配分可能になったとは限らない。現在の経路運用者、法人の支配者、移転権限者をPOCの状態だけで決めることもできない。

同じく、古いレコードがなりすましの標的になり得るという説明は危険の仕組みを示す。各未確認レコードが実際に攻撃されたという発生率ではなく、年次確認が完全な権限証明になるという意味でもない。

制限付きレポートと公開集計票は役割が違う

ARINは有効なPOCがない資源のレポートを文書化している。ネットワークまたはASNに直接・組織経由のPOCが一つもない場合、あるいは関連POCがすべて無効な場合を収録する。

この仕組みから、ARINが直接・間接の関係を計算できることは分かる。しかしレポートはネットワークとASNを合わせており、ブログのレガシーネットワーク母集団と同じではない。利用にはBulk Whoisの規則に基づく承認済み申請が必要で、再配布も禁止されている。

必要なのは生のメールアドレスや電話番号ではない。基準日時、正確な母集団、集計単位、直接POCと間接POC、各状態の定義、区分の重複、分子・分母、丸め方、訂正履歴だけなら個人情報なしで公表できる。

さらに、この集計が制限付きレポートやComplete/Correct/Current指標と同じ母集団かどうかを明記すればよい。異なるなら、異なると書くこと自体が重要な証拠になる。

薄いレジストリには小さな証拠台帳が合う

RIRは各プレフィックスの背後にある全企業関係を認定する機関ではない。固有で使える登録を保ち、正当な管理者に訂正経路を与え、公開状態の証明範囲を限定することが本務である。

集計票はその限定された役割を強くする。レガシー保有者は欠落・不完全・未回答のどれを直すべきか分かる。オペレーターは連絡先の不在と検証失敗を分けられる。研究者は個別データを見ずに改善を追える。ARINは方法変更前の基準を残せる。

8月の記事は問題の大きさを可視化した。次に必要なのは、強い言葉ではなく、その数字を将来も検証できる状態表である。

出典