要約

  • ARINの登録サービス部長Leslie Nobileは2003年10月23日のARIN XIIで、主に古いIPアドレス区画のWHOIS登録情報が無断で書き換えられ、第三者に資源を扱う権限があるように見える問題を報告した。対象にはIPアドレスとAS番号が含まれる。
  • ARINが四月から十月に開いた110件は、84件が終了、15件が調査中、11件は乗っ取りの証拠なしという内訳だった。これは受理・発見した事案の処理状況であり、図に描かれた経路広告が何件起きたかを示す数字はない。
  • Nobileは調査・追跡・記録を止める状態属性など実施中の対策と、本人確認の強化、変更履歴、歴史的資源の別登録簿などの検討案を区別した。会場では旧保有者の権利、手数料、契約の根拠が争点になった。

登録簿を分けるという提案

ARIN XIIの原資料を読むと、「Registry of Legacy Resources」という案に目が止まる。ARINの設立前に割り当てられた資源の記録を、別のデータベースで管理する構想だ。更新には地域インターネットレジストリへの参加を求める道と、ネームサーバーや連絡先の変更を有料で確認する道が並んでいた。あくまで取り得る方策としての提案である。

狙いは分かる。古い記録には、退職した担当者や失効したメールドメインが残りやすい。誰でも簡単に書き換えられれば、別人が正当な管理者を装う。だが登録簿を分け、更新条件まで変えると、古くからアドレスを使ってきた保有者の手続きと費用が変わる。守る側が鍵を増やすほど、持ち主にも新しい鍵が必要になる。

この議論を引き起こしたのがLeslie Nobileの報告だった。当時の肩書はARINのDirector of Registration Services。2003年10月23日の会議録は、彼女がアドレス空間の乗っ取りについて発表したと記す。ARINによる定義は、主に歴史的なIPアドレス区画のWHOIS登録情報を無断で変え、変更者に資源を扱う権限があるかのような印象を生む行為だった。IPアドレスだけでなくAS番号も関係し得た。

WHOISは、番号資源の連絡先を調べる入口だ。運用者は故障や迷惑通信の連絡に使い、登録機関は変更申請を処理する。そこへ偽の所属や連絡先が入ると、次に画面を見る人が間違った相手を選ぶ。Nobileが示した問題の核心は、資源そのものを物理的に運ぶ技ではなく、登録画面に映る権限の顔を取り替えることだった。

110件の内訳を読む

Nobileの表は明快だ。2003年四月から十月までにARINが通報を受けるか自ら発見して開いた事案は110件。会合の時点で84件が終了し、15件は調査が続き、11件は乗っ取りを示す証拠が見つからなかった。合計は110件になる。11件を勘定から消せば、報告数を成功した攻撃の数に化けさせてしまう。

同じ発表には、記録の種類を分けた別表もある。古いクラスCの記録が45、クラスBが48、クラスAが1。直接割り当ては4、再割り当ては1と記されている。この表は記録の分類で、前の表は事案の処理状況だ。歴史的な記録への集中は読み取れるが、各事案が最終的にどの経路まで進んだかはこの数字から出せない。

ARINは影響として、ネットワーク運用者の誤認、WHOISデータの信頼低下、責任問題、職員の作業増、回答の遅れ、法務と人員の費用を挙げた。登録簿の一行が疑われれば、事実確認の仕事は別の人の机にも移る。古い区画の現在の管理者を確かめるだけで、部署全体の時間が吸われる。

ドメインが失効した後の筋書き

原版の図は、典型的な手順をさらに具体化する。狙われるのは、経路が現在広告されておらず、連絡先が古いか欠けた歴史的なブロック。攻撃者は関連ドメインを調べ、失効したドメインや似た名前を登録する。そのうえで担当者、組織、ネットワークの項目を少しずつ変え、最後に当該ネットワークを広告する可能性がある。図は手口を説明するもので、110件すべての詳細記録ではない。

段階を分ける理由は、見た目の連続性をつくれるからだ。新しいメールアドレスだけなら担当変更に見える。組織名が次に変わっても、既に変わった連絡先からの申請なら自然に見えるかもしれない。いつ、誰が、どの根拠で更新したのかを追わなければ、最後の画面は整って見える。ARINが変更履歴の公開を検討案に挙げたのは、この経過を利用者が読めるようにするためだった。

ルートの広告はこの筋書きの後段にある。WHOISの偽装と経路の乗っ取りは、それぞれ別の証拠で確かめる必要がある。2003年の発表は、偽名で広告された区画の総数を示していない。調査の件数と技術的な到達点を混ぜると、被害の輪郭がかえってぼやける。

現場で動いていた対策

NobileはARINが既に行っていることも列挙した。不正なデータ変更のパターンを特定し、報告・発見された事案を調べ、記録して追跡する。手続きを改め、法執行機関や他の地域レジストリと協力する。データベースには、記録をロックできる新しい状態属性を開発したという。職員が疑わしい変更を止めて調査するための道具である。

同時に、すべての事案を警察へ報告する運用ではなく、個々の調査の内容も一般には公開しない方針を示した。公開会合で議論できるのは、件数と手口、それに制度の選択肢だ。個人や組織の個別ファイルがそのまま会場へ持ち込まれるわけではない。

次のページからは「Possible Actions」となる。税務番号や印章付きの会社文書による確認、法的手段、登録契約の改定、WHOISの変更履歴、検証ソフト、定期的なデータ確認、認証と権限管理の強化。歴史的資源の別登録簿もその中にある。発表された案の数だけ、後で施行された制度があったとは読み取れない。2003年に実施済みと書かれた対策と、会場に判断を求めた案は分けて追う必要がある。

手数料を誰に送るのか

当日の議事録では、古い資源を別登録簿へ移す案にさまざまな反応が出た。現在会費を払う会員が昔の記録の維持費を負担し続けるべきか。契約を結んでいない旧保有者へARINが新たな料金を課せるのか。移管前に本人へ連絡し、状況を説明すべきではないか。参加者は不正防止だけを話していたのではない。記録を維持する権限と費用を誰が引き受けるかを話していた。

本人確認を強める案にも釘が刺さった。印章付きの会社文書や税務番号を求めれば、会社でない個人保有者はどうするのか。個人番号をARINへ渡したくない人もいる。別の参加者はWHOISの過去の変更を表示すればISPが記録の信頼性を判断しやすくなると主張した。厳格な書類審査、開示される履歴、登録簿の分割は、それぞれ守れるものと持ち主に求めるものが違う。

Nobileが率いる部門は、実際に番号資源を割り当て、登録やルーティングのディレクトリーを保守し、逆引きDNSと問い合わせ窓口を扱っていた。ARINの2004年年次報告にその業務が並ぶ。2003年年次報告も彼女の発表を記録している。議場の規則論は、翌日から届く更新依頼を誰がどう審査するかにつながっていた。

発表の最後にARINは、運用者が自社と顧客の組織・資源記録を最新に保ち、利用できる強い認証を使うよう勧めた。古びた連絡先は小さな掃除の対象に見える。しかし失効ドメインから偽の担当者が入り込む図を見た後では、掃除を延ばす理由が減る。登録簿の信用は、日常の更新を続ける人に支えられる。

110件という数は会場の注意を集めた。11件に証拠がないことも同じ表の事実だ。Nobileが示した強みは、数字と手口と手続きの選択肢を一緒に出した点にある。別登録簿を作るにせよ、既存のWHOISを厳しくするにせよ、正当な旧保有者が自分の記録へ戻る道を設計しなければ、守るための鍵が別の困り事を生む。