要約

  • 提案2026-02は採択済みの方針ではなく、現在は議論段階にある。発動条件は、認証済み通知に加え、承認済みインフラリストに移動30日間で累計14日掲載されることだ。
  • 第3.4条はリストからの削除または確認済みの管理上の隔離を初期是正策とする。第3.6条は制限解除について、リストからの削除、またはRPKIが関係する場合の「適切なROA」の削除を挙げる。
  • ROAが示すのは、リソース保有者が特定のASに特定のプレフィックスの経路起源を認可したかどうかだ。その記録だけでは、フィッシング、マルウェア、DDoS、スパムの運用が終わったとは判断できない。

一つの手続きにある三つの証拠判断

RIPEコミュニティは、インフラ規模のネットワーク不正利用に関する新たな提案の検討を始めた。公式ページによれば、バージョン1.0は2026年10月13日付で公開され、議論期間は11月11日までだ。この記事の基準日時点で、採択、実装、あるいは同提案に基づく対応事例を示す公開記録はない。ここで扱うのは提案されている義務であり、RIPE NCCの現行措置ではない。

草案が対象とするのは、持続的なインフラ活動のうち四つの類型だ。DDoSの指令・制御基盤、組織的なマルウェアのホスティングや配布、フィッシングサイト展開用のネットワークやホスティング群、そして組織的な自動スパムボットネットである。個別の消費者端末が感染しただけの事案とは区別し、リソース保有者またはグローバルな経路レジストリが指定する住宅向け・動的加入者プールも除外する。

この対象範囲は設計上の重要な境界だ。草案は、制限に進む前の記録経路も定めようとしている。被害を受けたネットワーク事業者または各国CERTがRIPE NCCのサポートチケットを提出し、承認済みインフラブロックリストの検証可能な自動テレメトリーと、タイムスタンプまたは暗号署名を添付する。第3.1条は、移動30日間のうち累計14日間、承認済みリストに掲載されることを発動基準とする。リストの登録簿はSecurity Working Groupが管理し、客観的な自動テレメトリー、住宅・動的ネットワークの除外、公開検証可能な履歴アーカイブを条件とする案だ。

その先には三つの証拠段階がある。ひとまとめにせず、それぞれの記録が示せる範囲を読む必要がある。

段階 草案が挙げる記録・措置 そこから確認できること それだけでは確認できないこと
手続き開始 承認済みリストに30日中14日掲載され、認証済み通知がある 特定のアドレスが所定期間に特定のリストへ掲載されたこと アドレスと保有者の対応が正しいか、どの措置が活動を止めたか
初期是正 対象プレフィックスをリストから除く、または管理上の隔離を確認する リスト状態の変更、または是正期間に関連する隔離措置 誰が何を根拠に隔離を確認したか、掲載がなぜ終了したか
制限解除 リストから除く、またはRPKIが関係する場合に「適切なROA」を削除する リストの変更、またはルート起源認可記録の変更 通報対象の運用が停止したか、なぜそのROAが適切な救済策なのか

問題は、ブロックリストが無意味だということでも、継続的な通報を行政上の対応につなげてはならないということでもない。同じ案件の各段階で何を測っているか、という問題だ。第3.1条はリストの履歴を起点にする。第3.4条はリスト変更か、確認済みの隔離を受け入れる。第3.6条は再びリストに加えて、経路認可記録を持ち込む。最後の選択肢が隔離を立証するのか、経路起源に関する通報を是正するのか、独立した行政上の手続きなのかは書かれていない。

ROAが答える範囲は限られる

RFC 9582が定めるRoute Origin Authorizationの機能は、アドレスブロックの保有者が、列挙されたプレフィックスの経路を特定の自律システムが起源として広告することを認めたか、依拠者が検証できるようにすることだ。ルーティングセキュリティには重要な情報である。しかし、そのアドレス上でどんなサービスが動いていたか、どのようなトラフィックが出ていたか、ホストが侵害されたか、報告後に運用者がシステムを隔離したかは記録しない。

未認可の経路起源そのものが通報対象である場合や、ルート認可が不正行為の仕組みに関与する場合には、RPKIは直接関係し得る。その場合、プレフィックス、AS、ROA、通知を対応付ければ、認可の削除や差し替えを有効な是正措置として評価できるかもしれない。しかし、提案に並ぶ四つの脅威類型すべてが経路起源の問題とは限らない。フィッシング用ホスティング群が、正当に認可された経路の背後で稼働することはあり得る。ROAが存在するというだけで、その認可が問題の活動を可能にしたとは分からない。

草案には二つの接続条件が欠けている。「RPKIが関係する場合」とはどのような場合か。複数のプレフィックス、起源AS、認可があるとき、どのROAを「適切」とみなすのか。ここは用語の細部ではない。運用者が何を変更するよう求められるのか、RIPE NCCがどの記録に基づいて公開状態を解除するのかを左右する。

ROAの削除は認可記録を変更する。周囲の認可情報や各ネットワークのローカルなルーティング方針によっては、一部のネットワークが経路広告をどう評価するかに影響する可能性がある。資料は、どのケースにも当てはまる単一の結果を示していない。さらに、そうした影響はブロックリストが指摘するサービスの停止を証明しない。ホストやサービスが稼働を続けることも、保有者が通報とは無関係な理由でROAを削除することもあり得る。RPKIオブジェクトの存在を、不正行為の説明そのものとして扱うべきではない。

abuse-cの連絡方針と提案の強制手続きは別物

RIPE-705は連絡の層を扱う。対象となる資源レコードにabuse-c属性を設け、報告を受け取れるメールボックスを用意し、現行の方針・手順に沿った年次検証とフォローアップを求める。RIPE NCCの解説でも、報告を適切なリソース保有者へ届けるための仕組みとして説明されている。

報告を届けることと、内容が正しいと判断することは違う。運用者がプレフィックスを隔離したか、どのレジストリ制限が適切かを決める機能もない。提案2026-02が想定するのは別の行政経路だ。法律・管理・請求の各連絡先への電子通知、受領確認から起算する7営業日の是正期間、条件未達時の中間制限とRIPEデータベース上の公開「abuse non-compliant」状態である。

草案は割り当てを維持し、直ちに接続を切らないことを目指すと述べる一方、制限の具体化にはコミュニティの合意と別のRIPE文書が必要だとも認めている。割り当てが残っていても、公開状態は第三者のツールや取引先に取り込まれ得る。何の記録が状態を正当化し、どう修正でき、いつ解除されたかを追えることが重要になる。

提案者は、継続的な不履行を契約上の義務違反と位置付けている。それは提案の根拠説明であって、確立済みの法的結論ではない。RIPEの政策策定は合意形成を軸にした公開プロセスとして続いている。当面の実務上の問いはもっと限定できる。状態が切り替わるたび、どの証拠を記録に残すべきか。

通知ごとに証拠の受領記録を作る

機微なテレメトリーを公表せずに、各案件の証拠受領記録を必須にする方法はある。記録には通知ID、正確なプレフィックス、リストの版と履歴、観測日、資源保有者との対応、隔離措置と確認者を結び付ける。経路が通報の仕組みに関与するなら、該当するROAも記録する。通知の到達日、期限、制限、是正、状態回復の各時刻も残すべきだ。

これにより、四つの問いを分けられる。どの行動が観測されたか、どのルート起源認可が存在したか、どの封じ込め措置を取ったか、RIPE NCCがどんな行政状態を公開したか。経路起源が争点ならROAの変更を対応の一部にできるが、問題がどう変わったかを示す材料が要る。ホスティングサービスが通報対象なら、そのサービスとの関係が説明されていない認可変更を隔離の証明として扱うべきではない。

アドレスがリストから消える理由は、活動停止に限らない。リスト側の誤り訂正、評価基準の変更、観測期間の終了もあり得る。それぞれ保有者にとって意味が異なる。公開アーカイブは経緯の再構成に役立つが、掲載が消えた理由まで説明するとは限らない。

RIPE-781は、公開された四段階の政策策定、合意形成、そして影響分析や実装作業の評価を含むRIPE NCCの事務支援を定めている。今回の議論では14日という基準だけでなく、アドレスと保有者、行動と認可記録、是正と公開状態の解除を結ぶ証拠も検討できる。

提案は議論の入口に立ったばかりだ。持続的なインフラ活動を対象とし、住宅向け・動的プールを除外することは、最も明確な境界である。証拠設計の問題はもっと具体的だ。リストを起点とし、初期是正では隔離を認める一方、制限解除では別の記録を導入する。その関係を説明しないままなら、ROAの削除によって分かるのはルート認可が変わったことだけであり、不正利用の案件が解決したことではない。

出典