要約

  • RFC 1455は、外部の観測者に通信を見られる可能性を最小にする経路を求めるため、IPv4のTOS値15を提案した。ただし「最大」は利用可能な候補の順位であり、最低保証ではない。
  • ルータは回線と設置場所に運用者が付けた相対コストを使う。同じ四ビットを理解しても、ローカルな前提が違えば選択は一致しない。
  • マーク、解釈、ポリシー、計算経路、実転送、物理的防護、暗号、端点認可、観測結果は別々の記録である。先の記録は後の成果を代証できない。

最短経路とは別の問い

経路選択は、何を小さくしたいかで答えが変わる。ホップ数、遅延、料金、障害可能性は同じ尺度ではない。RFC 1455が加えようとしたのは、ネットワーク外部から物理的に観測される可能性だった。

暗号化されていない衛星のダウンリンクや通常の無線放送は広い範囲から拾いやすい。光ファイバーは金属線よりタップしにくく、ポイント・ツー・ポイント回線はEthernetやFDDIのような共有媒体より露出が小さい。圧力警報付きの管路や警備員から見える敷設は、無防備な線路よりも介入しにくい。リンク暗号があれば、信号を取られても内容を利用しにくくなる。

これらは候補を比べる材料になる。しかし「比較的まし」は「必要水準を満たす」と同じではない。

ヘッダは見えたままだった

上位層がペイロードを完全に暗号化しても、IPの送信元と宛先はルータが読めなければならない。通信の相手、時刻、量、周期から活動を推測するトラフィック分析は残る。

RFC 1455が想定した保護対象は、ネットワークの外から線路を観測する者だった。内部者、侵害されたルータ、悪意ある端点は別の問題である。TOS値は利用者を認証せず、受信プロセスに閲覧権を与えず、鍵を配布しない。

したがって、パケットが「安全性」を要求したという一文は、守った対象と相手を限定しなければ意味が膨らみすぎる。

四つの一は錠前ではない

新しい値は十進数15、十六進数F、四ビットでは1111だった。他の定義済みTOS値からハミング距離が最大になるよう選ばれた。誤ったコードとの取り違えを避ける工夫であり、防護強度を数値化したものではない。

RFC 1349はTOSを独立したフラグの集合ではなく、一つの列挙値として定義していた。1111を遅延、スループット、信頼性、料金の各ビットの合計として読むのは誤りである。その形全体が、物理リンクの観測可能性を下げるという一件の要求を表した。

しかし構文が届くことと、意味が届くことは違う。古い解釈を使う機器は同じ形を別に扱い、未対応の機器は何もしない。認識した機器でも、次に必要なのは具体的なコスト表だった。

ものさしは各ネットワークが作った

TOS別ルーティングを備えるシステムは、リンクに専用のコストを与えられる。RFC 1455は、その値を定める作業をローカルなポリシー機能と明記した。

例では、安全な鍵配布を伴う強いリンク暗号が1、物理的に守られたポイント・ツー・ポイント線が2、通常のポイント・ツー・ポイントが6、ローカル共有媒体が8、都市圏共有媒体が12、ローカル無線が24、衛星が32だった。

これは実測表ではない。32は32パーセントを意味せず、衛星が常に基準リンクの32倍危険だと証明もしない。ある仮想的な管理者が、相対的な傍受可能性をその比率で扱うという設定にすぎない。

建物、地理、無線の到達範囲、鍵管理、脅威モデルが違えば、別の運用者は別の表を作る。値15の相互運用性は、判断基準の相互運用性ではなかった。

五十の安全な線路と五十のルータ

高く守られたリンクを五十以上通る経路が、露出した衛星と無線の二区間より選ばれる場合がある。RFCはそう指摘した。安全性の目的関数は、短さに従属しない。

一方、長い経路にはルータが増える。ルータは抽象的な点ではなく、建物、電源、保守者、ソフトウェア、設定を持つ。線路だけを高く評価すると、守られたケーブルをつないだ無防備な装置列を選びかねない。そこでルータの物理的安全もコストに含める必要があった。

それでも経路計算は観測ではない。計算された候補、実際の次ホップ、その時点の設備状態を別々に確認しなければならない。

足し算で近似された掛け算

ルーティングのメトリックは通常、区間コストを足す。安全に伝送できる確率なら本来は積の方が適切だとRFC 1455は述べた。それでもRFC 1349の高信頼性TOSと同様、加算を実用上の近似として受け入れた。

この留保が計算結果の権限を決める。ルータが出した答えは、相対的な仮定を簡略モデルに入れた順位である。攻撃者が失敗する絶対確率ではない。

近似は運用に必要でも、名称を変えてはならない。「この版の設定で優先された経路」と記録すべきで、「機密性が保証された」と要約すべきではない。

要求が満たせなくても配送は続く

RFC 1349における「最小化」「最大化」は、利用者が満足する水準を保証する言葉ではない。ネットワークが不完全な情報で利用可能な最良を試す、という意味だった。

さらに弱いTOSルーティングでは、要求値に合う経路がなければデフォルトTOSの経路を使える。未普及の値を試した送信者を一律に到達不能にしないためである。

可用性には合理的だが、証拠は曖昧になる。受信に成功しただけでは、途中が要求を理解したのか、デフォルトへ落としたのか分からない。RFC 1455自身、全Internetが近く採用する現実的可能性はないと書いた。

セキュリティラベルは別の契約だった

RFC 1108のBasic Security Optionは、機密区分と保護当局のフラグを運んだ。システムは送信元、宛先、ポートの許容範囲を検査し、必要な区分を守る経路を選ぶためルーティング情報も拡張する。

RFC 1455の値15には、区分も当局も許可もない。物理的に観測されにくい候補をローカル尺度で優先するだけだった。

正しいラベルは暗号そのものではない。守られた回線も端点の認可ではない。二つの仕組みを組み合わせても、実装と結果を別に確かめる必要は残る。

同じオクテットが別の制度になった

RFC 2474は従来のTOS定義を廃し、Differentiated Servicesフィールドを定めた。DSCPはホップごとの振る舞いを選び、ドメイン境界の分類器、計測、ポリシング、整形、管理ポリシーがサービスを組み立てる。

ヘッダ内の位置が残っても、意味を与える制度は変わる。パケットキャプチャを読むには、時代、管理ドメイン、境界処理、意味表の版が要る。

後継文書はRFC 1455の普及を証明しない。古い文法を終わらせた記録であり、今日のDSCPが同じ物理安全要求を実現するという証拠でもない。

証拠の経路

送信者の希望 → コード認識 → 現行ローカルポリシー → 経路計算 → 実際の転送 → 回線とルータの物理状態 → 暗号と鍵 → 端点認可 → 観測された結果

矢印ごとに管理者が変わる。送信者はマークを、ネットワークは設定を、テレメトリは通過経路を、設備と鍵の記録は保護状態を示す。特定の観測者が何を得たかは、範囲を定めた最後の観測だけが答えられる。

RFC 1455が残したのは成功物語ではない。要求がどこで始まり、なぜそこで証明が終わらないかを示す境界だった。

情報源と限界

発行日、Experimentalの状態、廃止関係はRFC 1455のRFC Editor記録にある。要求、脅威、コスト例はRFC 1455本文、列挙値と弱いフォールバックはRFC 1349、別系統の区分ラベルはRFC 1108、フィールドの後継関係はRFC 2474のRFC Editor記録で確認できる。

これらは仕様と明記された限界を証明する。RFC 1455の普及率、実在するコスト表、傍受確率、実際の保護経路、現在の法制度、機密性の達成、今日の推奨運用は証明しない。