Pakistan Telecom は、ローカルネットワークのブロックがグローバルなコストをいかに転嫁しうるかを示した

概要

• 2008年2月24日、Pakistan Telecom AS17557 は YouTube のアドレス空間内にある、より具体的な経路 208.65.153.0/24 を広告し、PCCW AS3491 がその経路を伝播したことで、YouTube へのトラフィックが世界的にリダイレクトされた。
• 公的な証拠から、この経路広告は国内での YouTube 遮断の文脈に結びつくが、説明責任の教訓は検閲だけではない。それはコスト転嫁である。ローカルな制御の選択が、YouTube、上流プロバイダ、ユーザー、そして広範なルーティングコミュニティに、停止対応、トラフィック損失、復旧作業を強いたのだ。
• Pakistan Telecom は国内の遮断実装と経路広告を制御していた。PCCW は上流での経路受け入れと伝播という影響力の大きい地点を制御していた。YouTube は緊急の対抗広告と復旧調整を制御していた。ユーザーには経路障害に対する実質的な制御手段はなかった。
• 2008年当時、RPKI による起源検証は成熟した形で展開されていなかったが、この事象は、現代の ROA、上流でのフィルタリング、経路監視がなぜ重要なのかを説明している。リソース保持者が正確な権限を公開し、プロバイダがそれを検証することで、誤った起源の経路広告を拒否可能にできる。
• 公正な事後記録には、なぜ BGP が遮断に使われたのか、どのように輸出防止が失敗したのか、PCCW でどのフィルタが欠落または迂回されたのか、そして同様の国内制御が二度と外部に流出しないことを示す証拠が含まれるべきだった。

証拠記録とその利用方法

この記事は公的記録を層別の証拠として扱う。インシデントレポート、標準規格、ブラウザやルーティングの測定データ、規制当局や政策関連の資料、現在の事業者ガイダンスは、異なる主張の裏付けに用いられる。企業が作成した情報源は、企業の見解として帰属される。標準規格や後続のガイダンスは、統制を説明し説明責任の期待を示すために使われるが、公的記録がそれを支持しない場面で私的な事実を創作したり、後に課された義務を遡及的に適用したりするものではない。

被害は経路撤回前に広がっていた

Pakistan Telecom の YouTube インシデントは、しばしば典型的な BGP ハイジャックとして記憶されている。それは正しいが、コスト転嫁の視点を通すことで、より有用な教訓が得られる。経路は、どうやら国内の遮断目的を満たすために作成された。そのグローバルなコストは、国内政策決定の外部にいる当事者たちによって支払われた。つまり、YouTube ユーザー、YouTube のネットワークエンジニア、PCCW や他のプロバイダ、停止原因を診断しようとするネットワーク事業者、YouTube の到達可能性に依存するクリエイターや企業、そしてその信頼モデルが再び脆さを露呈した広範なルーティングコミュニティである。

RIPE NCC のケーススタディが技術的な根幹である。Pakistan Telecom AS17557 は、YouTube のより広範な 208.65.152.0/22 に含まれる、より具体的なプレフィックス 208.65.153.0/24 を広告した。ルーターは最長一致のプレフィックスを優先するため、その /24 は正当な /22 よりも、その範囲内のアドレスに対して優先される可能性があった。PCCW Global AS3491 は、その経路をインターネット全体に転送した。YouTube はこれに対応し、同じ /24、さらにその後 2 つの /25 をアナウンスすることで、ネットワークがそれらの経路を受け入れる場合、より具体的な経路で到達可能性の回復を試みた。

コスト転嫁の問題は、制御の選択から始まる。国内ブロックは、いくつかのメカニズムで実装可能であり、それぞれに異なる障害モードがある。DNS フィルタリング、HTTP プロキシブロック、IP フィルタリング、BGP ブラックホーリングは、いずれもリスクを伴う。経路ベースのブラックホールは、ルーターがプレフィックスと転送を既に理解しているため、一つのネットワーク内では運用上魅力的かもしれない。しかし、そのような経路が漏洩すると、インターネットの残りの部分はそれを「パキスタンは国内ブロックを望んでいる」とは解釈せず、「AS17557 は YouTube のアドレスへの経路である」と解釈する。ルーティングシステムは、政治的な境界を認識しない。

その境界は機能しなかった。世界的な停止は、政策の不一致による自然な副作用ではなかった。それは、予防可能なコントロールプレーンの輸出だった。国内事業者が国内ブロックを実装するために BGP を使う場合、事業者はその経路が上流やピアに輸出されないことを保証しなければならない。それはローカル専用としてスコープされ、タグ付けされ、フィルタリングされ、監視されるべきである。上流側もまた、顧客が起源を認可されていない経路を拒否すべきだ。二つの防止層が同じ方向で機能しなかった。

この事象は、したがって、事後的な謝罪からインセンティブ設計へと説明責任の焦点を移す。もしローカルネットワークが粗雑なブロック方法のコストを外部化できるのであれば、封じ込めへの投資が不足するかもしれない。もし上流側が誤った権限を伝播したことに対して測定もペナルティも受けなければ、グローバルシステムが許容できる以上のリスクを受け入れるかもしれない。予防インセンティブは、グローバルユーザーが負う前に、経路制御力を持つ当事者に弱いフィルタのコストを負わせるように設計されるべきである。

PCCW は起源ではなかったが、増幅器だった

Pakistan Telecom が誤った経路を起源としたが、PCCW の役割は決定的だった。なぜなら、より広範な到達範囲を持つ上流プロバイダがそれを伝播したからである。これはルーティングインシデントにおける繰り返しのパターンだ。最初の悪意あるアナウンスは、ある顧客やピアから生じるかもしれない。爆発範囲は、どの大規模ネットワークがそれを信じるかに依存する。ローカルに留まる経路は、局所的な停止またはポリシー障害である。グローバルプロバイダが輸出する経路は、世界的な事象となる。

上流プロバイダは、顧客の経路の背後にある政治的理由を知る必要はなく、フィルタリングすることができる。関連する問いはより単純である。この顧客は、このプレフィックスを起源として広告する権限、あるいはそれを通過させる権限があるだろうか？ YouTube のアドレス空間は、Pakistan Telecom のものではなかった。プロバイダ固有の顧客フィルタは、そのアナウンスを拒否すべきだった。もしその経路がローカルブラックホールとして意図されていたのなら、その意図は輸出をさらに許容しがたいものにしたはずだ。

ここで検討した情報源には、PCCW の内部記録は公開されていないため、本記事では正確なフィルタ障害を主張するものではない。観測可能な経路経路だけで、運用上の説明責任の結論には十分である。上流側は、顧客が起源とする YouTube 空間の経路を、グローバルに受け入れるべきではなかったのに、受け入れて伝播した。フィルタの欠落、古いフィルタ、緊急例外、運用上のバイパスの違いは、修復にとっては重要だが、フィルタリング証拠の基本的な必要性にとっては重要ではない。

ここで、現代の MANRS 的な期待が重要となる。それらは自発的な規範であり、2008年には同じ形では存在しなかったが、このインシデントが教訓として示したことを表現している。顧客の経路をフィルタリングし、連絡先を調整し、グローバルに検証可能なルーティング情報を維持し、不正確なルーティング情報の拡散を防ぐことだ。上流フィルタリングは、被害ネットワークへの礼儀ではない。それは相互依存システムとしてのインターネットに対するセキュリティと可用性の義務である。

コスト転嫁の視点は、上流側が過小投資する理由も明らかにする。悪い経路を拒否するには、メンテナンス、顧客とのコミュニケーション、時には摩擦が必要だ。経路を伝播するのは、公に失敗するまでは簡単である。成熟した市場は、フィルタカバレッジ、経路オブジェクトの衛生、RPKI 検証、最大プレフィックス制御、インシデント対応指標を示せるプロバイダを報いるべきである。そのようなインセンティブがなければ、弱いフィルタリングのコストは、経路が既に流出した後に、下流のユーザーによって支払われる。

YouTube は他者の権限主張から復旧しなければならなかった

YouTube が誤った AS17557 経路を起源としたわけではない。それでも復旧する必要があった。これは、すべての大規模コンテンツプラットフォームにとって不快なレジリエンスの教訓である。アドレス所有と運用能力だけでは、別の自律システムが到達可能性について虚偽の主張を行うのを防ぐことはできない。プラットフォームはグローバルなコントロールプレーンを監視し、外部ネットワークが間違った当事者を信じたときに備えて対応できる状態でなければならない。

RIPE NCC や他の情報源に記録された YouTube の対応は、緊急の非集約化（deaggregation）だった。同じ /24、そして 2 つの /25 を広告した。目標は、少なくとも誤った経路と同じかそれ以上に具体的な YouTube への経路を作り、それらのアナウンスを受け入れたルーターが YouTube への経路を再び好むようにすることだった。これは部分的に効果的だったが、クリーンではなかった。より具体的な緊急経路は到達可能性を回復できるが、ネットワークがそれを受け入れるかどうかに依存し、グローバルルーティングテーブルの負荷にも寄与しうる。

プラットフォームのレジリエンス義務には、正確なルーティングレジストリレコード、利用可能な場合には ROA、経路起源監視、トランジットプロバイダとの関係、エスカレーション連絡先、経路リークアラーム、そしてリハーサルされた緊急アクションが含まれる。これらの義務は被害者非難ではない。それらは、主要なプラットフォームが外部のコントロールプレーン障害に晒されているという認識である。プラットフォームはすべての誤った経路を防ぐことはできないが、検出と復旧時間を短縮することはできる。

RPKI は、現代のインシデントに対するインセンティブ構造を変える。もし YouTube のアドレス空間に、正当な起源と適切な最大長のみを承認する正確な ROA があれば、誤った起源の AS17557 経路は、経路起源検証を実施して無効なものを拒否するネットワークにとって、無効となり得る。2008年には展開された成熟した制御として役立たなかったが、それは現代の説明責任の方向性を説明している。リソース保持者は検証可能な権限を公開し、プロバイダは検証と拒否によってそれを有効にする。

ROA 設計は、緊急時の振る舞いも考慮しなければならない。危機時にプラットフォームが /24 や、より具体的な経路を広告する必要がある場合、最大長の設定は慎重に選ばれなければならない。過度に広い maxLength 値は、無許可のより具体的な経路の検証を容易にする可能性がある。狭すぎる設定は、正当な緊急非集約化を無効にする可能性がある。したがって、2008年の事象は現代の RPKI ガバナンスに情報を与える。経路セキュリティは、チェックボックスではなく、変更管理の規律である。

国内制御には輸出防止の設計が必要

このインシデントは単なるルーティングの話ではない。それは、グローバルに意味を持つインフラを通じて実装される政策制御についての警告である。国家機関が国内の遮断命令を出すかもしれない。通信事業者は、法的または政治的にそれを実装することを要求されるかもしれない。しかし、実装方法は、グローバルな結果をもたらすエンジニアリング上の選択のままである。国内の検閲措置が、偶発的にグローバルインターネットを徴用できるべきではない。

輸出防止設計とは、遮断経路が構造的にローカル専用であることを意味する。それは、外部に広告しないルーティングコンテキストに保持され、すべての境界で尊重されるコミュニティでタグ付けされ、出力フィルタで拒否され、外部コレクタを通じてチェックされるべきである。事業者は、経路が意図された境界の外に見えないことを確認する監視を持つべきだ。また、文書化されたロールバック経路と、もし他の場所で可視化された場合に即座に広告を取り消す権限を持つべきである。

規制当局や公的機関にとって、それはネットワーク制御の命令には技術的実現可能性が含まれるべきだということを意味する。サービスの遮断を命じる命令は、その方法が無関係なネットワークに害を及ぼさないことを証明するよう要求しなければ不完全である。裁判所、通信規制当局、省庁は BGP の専門家になる必要はないが、グローバルルーティングに触れる制御を展開する前に、事業者に封じ込め、テスト、緊急連絡網の証明を要求することができる。

この原則は検閲を超えて拡張される。DDoS ブラックホール、制裁の執行、マルウェアのシンクホール、裁判所命令によるテイクダウン、緊急の不正利用対応は、すべてグローバルに意味のある経路や DNS の変更を生じさせる可能性がある。各制御は、それを正当化する権限の範囲に限定されなければならない。制御が強力であるほど、それが脱出できないことの証拠がより強く求められる。

Pakistan Telecom の記録には、学習を完全にするための公的な事後分析が欠けている。そこには、経路経路と公的な文脈は示されているが、内部の決定連鎖、テスト証拠、輸出制御、修復策は示されていない。その欠如自体が説明責任の記録の一部である。検証できない修復は、統制ではなく約束になる。

予防インセンティブは回避可能な影響範囲に従うべき

この事象の持続的な政策価値は、誰が最も低コストで被害を回避できるかを明らかにすることにある。Pakistan Telecom は、国内ブロックに輸出可能な BGP を使わないか、経路を封じ込めることで、グローバルな伝播を回避できたかもしれない。PCCW は、顧客の経路をフィルタリングすることで、増幅を回避できたかもしれない。YouTube は監視と経路権限によって露出を減らすことができるが、他のネットワークが最初の虚偽の主張をするのを安価に防ぐことはできなかった。ユーザーには一切の制御権がなかった。

したがって、説明責任は、制御の影響力に応じて予防期待を割り当てるべきである。ローカルブロックの起案者は封じ込めを証明しなければならない。上流側は顧客の経路認可を証明しなければならない。アドレス保持者は権限を公開し監視しなければならない。大規模ネットワークは、無効または不合理な経路を拒否しなければならない。業界団体や規制当局は、顧客がスローガンではなく証拠のあるプロバイダを選べるように、それらの期待を十分に可視化しなければならない。

優れた事後インシデント証拠パッケージは、基本的な質問に答えるだろう。どの経路が作成され、なぜか？ それはローカルブラックホーリングだけを意図していたのか？ どのアウトバウンドフィルタがそれを止めるべきだったのか？ なぜそれらは失敗したのか？ どの上流側がそれを受け入れたのか？ 上流側は、顧客がアナウンスする権限があるとどの経路セットを信じていたのか？ その経路はいつ引き下げられたのか？ どのアラートが作動したのか？ その後何が変わったのか？ これらの答えがなければ、同じ失敗パターンが別の政策ラベルの下で再現し得る。

公的記録は、過剰主張なしに強い結論を支持する。それは、無許可の AS17557 起源、PCCW の伝播、YouTube の対抗広告、国内遮断の文脈、そして意図しない世界的な停止を支持する。悪意のある意図や、正確な内部コマンド、法的責任の認定を創作することは支持しない。説明責任分析は運用上のものである。実用的な制御と、外部化されたコストである。

結論は単純だが要求は厳しい。グローバルな BGP に脱出し得るローカルネットワーク制御は、もはやローカルではない。それは共有インフラのリスクである。それを選択する当事者と、それを伝播する上流側は、自らが生み出し得る爆発半径に比例した予防義務を負わなければならない。

経路ハイジャックは外部性を停止に変えた

外部性とは、決定の外部の誰かに押し付けられたコストである。2008年の YouTube ハイジャックは、教科書的なルーティング外部性である。国内の遮断決定とその技術的実装は、パキスタンの政策と通信環境の中で行われた。停止コストはグローバルインターネット全体に現れた。YouTube、そのユーザー、広告主、クリエイター、トランジットプロバイダ、ネットワーク事業者が、自ら作り出したのではないコストを負担した。だからこそ、このインシデントは単なる有名な BGP ストーリー以上のものにとどまる。それはインセンティブについての事例なのだ。

もしローカル事業者が、経路を注入することによって安価にブロックを実装できるが、その経路が脱出した際の全費用を負担しないなら、事業者は脆弱な方法を選ぶかもしれない。もし上流側が顧客の経路を広く受け入れ、公的なインシデントの後でのみ注意を払うなら、上流側はフィルタに過小投資するかもしれない。もしコンテンツプラットフォームが、他者がその空間を広告するたびに復旧作業を吸収することを期待されるなら、プラットフォームは、誤った権限を作り出すか伝播するネットワークに一部負わせるべき復旧コストを負うことになる。市場の失敗は抽象的ではない。それはパケットが間違った経路をたどるという形で現れる。

インセンティブ設計とは、予防統制を失敗よりも安価にすることだ。通信事業者にとっては、非所有空間に対するブラックホール経路を高リスクとして扱う内部変更管理、外部経路コレクタに対する自動チェック、そして BGP に触れる政策命令型ネットワーク制御に対する経営層の承認を意味し得る。上流側にとっては、顧客固有のプレフィックスフィルタ、RPKI 検証、最大プレフィックス制限、AS パスの健全性チェック、そして異常なアナウンスを拒否または遮断する契約上の権利を意味する。プラットフォームにとっては、経路監視と公開された経路権限を意味する。各当事者は、グローバルな被害の後に危険なものを修復するよりも、安全なことを行う方が容易であると感じるべきである。

公的な PTCL の事後分析の不在が重要なのは、インセンティブが証拠によって形成されるからだ。経路が消え、ユーザーが戻り、公衆は次へ進むかもしれない。しかし、何が変わったのかの記録がなければ、部外者はコスト転嫁のメカニズムが除去されたのかどうか知ることができない。Pakistan Telecom は、遮断に輸出可能な BGP を使うのをやめたのか？ PCCW は顧客フィルタを変更したのか？ YouTube は経路監視を変更したのか？ 規制当局は国内ブロックの技術的要件を変更したのか？ いくつかの答えは非公開に存在するかもしれない。公的説明責任は、それらの十分な部分が可視化されることを要求する。

コスト転嫁は、より小規模なターゲットにも影響を及ぼす。YouTube には、反撃するためのエンジニアリングリソースと可視性があった。小規模な人権サイト、地方新聞、銀行、病院ポータル、ソフトウェアアップデートサーバーにはないかもしれない。もし国内ブロックや誤った経路が、あまり目立たないターゲットに対して脱出すれば、同じ外部性がより長く続く可能性がある。なぜなら、気づく観測者が少ないからだ。したがって、YouTube のケースは、有名なプラットフォームについてだけではない。それは、ルーティング外部性が、より少ない復旧オプションしか持たない、あまり可視的でない当事者をいかに害し得るかについての警告なのだ。

最長一致プレフィックスがローカル経路をグローバルに説得力のあるものにした

このインシデントの背後にある技術的な力は、ルーターの観点からは複雑ではない。208.65.153.0/24 への経路は、208.65.152.0/22 への経路よりも具体的である。両方が存在する場合、/24 内のアドレスへのトラフィックは /24 をたどる。ルーターは、そのより狭い経路が検閲、メンテナンス、DDoS 緩和、ミス、または窃取のために作成されたのかを尋ねない。それらは転送ルールを適用する。人間の意図は、経路が一度受け入れられると消える。

より具体的な経路制御がこれほど重要である理由はそこにある。非集約化は正当であり得る。ネットワークは、トラフィックエンジニアリング、DDoS 緩和、緊急復旧、部分的なフェイルオーバーのために、より具体的な経路を使用する。しかし、より具体的な経路は、より広範な正当なアナウンスを上書きし、トラフィックを引き寄せることもできる。自らがコントロールしていない空間のためにより具体的なプレフィックスを広告するネットワークは、強力な主張をしていることになる。上流側は、とりわけそのプレフィックスが世界的に知られているサービスに属する場合、その主張を懐疑的に扱うべきである。

YouTube の緊急 /24 および /25 のアナウンスは、より具体的な修復の有用性と煩雑さの両方を示している。一致する /24 を広告することは、誤った /24 と競合し得るが、ルーターはその長さが等しい経路間で、他の BGP 属性に基づいて選択する。/25 を広告することは、さらに具体的な経路を生み出すが、多くのプロバイダが IPv4 で /24 より長いプレフィックスをフィルタリングするため、すべてのネットワークが /25 のグローバルなアナウンスを受け入れるわけではない。この修復は技術的に巧妙であり、運用上の制約があった。これは、起源と上流での予防が、被害者による緊急の非集約化よりも優れている理由を示している。

RPKI はこの状況を変えるが、注意深いプレフィックスポリシーの必要性を取り除くものではない。ROA は正当な起源を承認し、最大長を設定できる。もし誤った起源の /24 が現れた場合、検証を行うネットワークは、カバーする ROA が存在する場合にそれを無効と分類し、拒否することができる。しかし、もし正当な保持者が緊急の /25 を必要とし、ROA がそれを許可していない場合、それらの緊急経路もまた無効となる可能性がある。ROA があまりにも多くの具体性を許可している場合、保護を弱める可能性がある。したがって、YouTube の事象は、成熟した RPKI 展開に先立つにもかかわらず、maxLength ガバナンスの実践的な例である。

経路セキュリティプログラムは、通常の集約、計画されたトラフィックエンジニアリングのより具体的経路、緊急非集約化の制限、そして ROA の maxLength 値をまとめてマッピングすべきである。それらを別々のスプレッドシートとして扱うことは失敗を招く。ある緊急時に可用性を救う経路が、別の緊急時に無効性を生み出す可能性がある。拒否されるべき誤った経路が、認可が過度に広い場合、もっともらしく見えるかもしれない。最長一致プレフィックスは単純である。その結果を統治するのは単純ではない。

政府命令は技術的説明責任を迂回すべきではない

YouTube ブロックの政治的文脈は、運用上の圧力を生み出したため関連がある。しかし、政府命令は技術的説明責任を消し去らない。国家が通信事業者にサービスの遮断を要求する場合、事業者はなお方法、範囲、テスト、封じ込めに関する義務を負う。国家もまた、自らの権限外のネットワークに予見可能な害を及ぼす制御を要求しない義務を負う。国内の政策目標は、偶発的に誤った経路を世界に輸出することを正当化できない。

この原則は、通信規制において明示的であるべきだ。遮断命令、裁判所命令、緊急ネットワーク制御は、技術的封じ込め声明を要求すべきである。どのメカニズムが使用されるのか？ どのシステムが影響を受けるのか？ どのように輸出が防止されるのか？ どのテストが制御がローカルであることを検証するのか？ 誰がグローバルな可視性を監視するのか？ 誰が制御が脱出した場合にそれを撤回できるのか？ どの上流側に通知されたのか？ 答えが「他人のプレフィックスを BGP に広告し、それがローカルに留まることを期待する」であれば、その方法は展開のために成熟していない。

同じことが、プライベートな不正利用対応にも当てはまる。ネットワークは、DDoS 攻撃中にトラフィックをブラックホール化したり、悪意あるインフラをシンクホール化する必要があるかもしれない。それらのアクションは正当であり得るが、スコープされなければならない。あるプロバイダ内でリモートトリガーされたブラックホールは、コミュニティとフィルタが正しければ安全であり得る。グローバルトランジットに漏洩する経路は、付随的な損害を生み出す可能性がある。共通の原則は封じ込めである。制御の運用上の境界は、制御の背後にある権限と一致しなければならない。

Pakistan Telecom の記録が価値を持つのは、その境界がないときに何が起きるかを示しているからだ。グローバルインターネットは、その経路を国内の法的指示として解釈しなかった。それを到達可能性として解釈した。他のネットワークはそれに従って転送判断を下した。その経路の法的または政治的理由は、BGP には見えなかった。その不可視性は、願望で消し去ることのできるバグではない。それは事業者が尊重しなければならない設計上の制約である。

公的説明責任のために、規制当局は制御が脱出した場合に事後報告を求めるべきである。それらの報告は、元の政策目標が合法だったか、あるいは人気があったかだけに焦点を当てるべきではない。それらは、その方法が比例していたか、封じ込めが存在したか、外部への被害が発生したか、そして将来の制御が技術的に境界付けられるかどうかを問うべきである。検閲についての政策論争と経路封じ込めについてのエンジニアリング論争は別物であるが、2008年のインシデントは、それらが衝突し得ることを示している。

上流フィルタリングは共有された安全義務である

上流プロバイダは到達性を販売する。その到達性は彼らの価値でありリスクである。プロバイダが顧客の経路を受け入れるとき、それはその経路をインターネットのより大きな部分に見えるようにすることができる。したがって、プロバイダは、顧客がどのプレフィックスを広告し得るかを知るという共有された安全義務を負う。この義務は完璧でも些細でもないが、中核的である。それがなければ、すべての顧客セッションが、誤った権限の可能な経路となる。

2008年当時、経路レジストリ、手動フィルタ、運用上の連絡先は利用可能だったが、不均一だった。今日、RPKI、より良いツール、MANRS 規範、経路コレクタ、検証サービスによって、期待はより強くなっている。現代の上流側は、顧客の経路オブジェクト、ROA、契約記録、過去のアナウンス、最大プレフィックス閾値、AS パスフィルタ、突然の有名なプレフィックス変更に対するアラームなど、複数のシグナルを組み合わせるべきである。目標は官僚的な純粋性ではない。それは、顧客が偶発的または悪意を持って、自らが所有しないネットワークへのインターネットの経路になるのを防ぐことである。

フィルタリングは公平性の問題でもある。フィルタリングをしないプロバイダは、フィルタリングをするプロバイダにコストを押し付けるかもしれない。もし一つの主要なトランジットネットワークが誤った経路を伝播すると、遠隔のネットワークはそれを拒否するために奔走しなければならず、被害者は対応しなければならず、ユーザーは苦しむ。未フィルタリングのプロバイダは、公的な失敗が起こるまで低い運用摩擦から利益を得る。だからこそ、MANRS のような集合的規範が重要なのだ。それらは、経路フィルタリングを私的な品質選択からコミュニティの責任へと変える。

顧客は、プロバイダにこの点について問うべきである。企業はしばしば、価格、容量、稼働時間に基づいてインターネットトランジットを購入する。彼らはまた、プロバイダが顧客のアナウンスをフィルタリングするか、RPKI を検証するか、24時間体制の NOC 連絡先を維持するか、ルーティングセキュリティイニシアチブに参加しているかも問うべきである。それらの質問に答えられないプロバイダは、通常の日には依然としてパケットを配達するかもしれないが、悪い日には増幅器にもなり得る。

YouTube ハイジャックは、上流の増幅を可視化した。PCCW の伝播が、Pakistan Telecom のローカルな経路をグローバルな問題に変えた。修復には撤回と対抗アナウンスが必要だった。より良い予防システムは、顧客のエッジで経路を拒否し、国内の誤りを国内にとどめておくだろう。それが将来のインシデントのベンチマークである。

有用な比較は非難ではなく、制御の影響力である

公正な説明責任マップは、すべての当事者が同じ力を持っていたと見せかけるべきではない。Pakistan Telecom は、ローカルな実装と経路広告を直接制御していた。PCCW は、顧客の経路受け入れと輸出を直接制御していた。YouTube は、自らの経路広告、監視、緊急対応を制御していた。他のネットワークは、伝播された経路を受け入れるかどうかを制御していた。ユーザーはほとんど制御できなかった。規制当局は政策権限を持っていたが、必ずしもルーターへのアクセス権は持っていなかった。制御の分布は不均一であるため、責任の分布も不均一であるべきだ。

この制御影響力マップは、最も安価な予防ポイントを特定するため、一般的な非難よりも有用である。最も安価なポイントは、誤った経路が Pakistan Telecom から出るのを防ぐことだった。次に安価なのは、PCCW でそれを拒否することだった。後のポイントは、経路が既にグローバルな収束に入ったため、より高価になった。YouTube の緊急非集約化は重要だったが、それは 2 つの先行するゲートが失敗した後の修復だった。遠隔ネットワークが経路を拒否することも有用だったが、主要な上流側がそれを伝播した後にすべてのネットワークに経路を捕捉させるのは、入口で阻止するよりも効率が悪い。

同じマップは、現代のインシデント訓練を導くことができる。政府命令、顧客のミス、または DDoS 対応が、非所有空間に対する経路を生み出すと仮定する。起案者はローカル専用の制御を持つべきだ。上流側は無許可のプレフィックスを拒否すべきだ。アドレス保持者は経路監視アラートを受け取るべきだ。大規模ネットワークは無効な起源を拒否すべきだ。公開経路コレクタは事象を可視化すべきだ。連絡先は数分以内に到達可能であるべきだ。各層は持続時間と爆発半径を縮小する。

有用な取締役会演習では、こう問うだろう：当社のネットワークが偶発的に輸出し、他者に害を及ぼし得る経路は何か？ 当社が偶発的に伝播し、インターネットに害を及ぼし得る顧客の経路は何か？ 当社のサービスに害を及ぼし得る外部の誤った経路は何か？ これら 3 つの質問は、起案者、増幅器、被害者の役割をカバーする。多くの組織は、異なる時点で 3 つすべての役割を占める。

Pakistan Telecom の事象が長く記憶されるのは、それが 3 つの質問すべてに当てはまるからだ。それは起案者の失敗として始まり、上流の増幅器の失敗となり、被害者に修復を強いた。説明責任の教訓は、最初の 2 つの役割が被害を防ぎ、3 つ目の役割が即興の復旧を余儀なくされる前に、インセンティブと証拠を設計することである。

予防インセンティブのための読者の決断

読者は、Pakistan Telecom の記録を、ルーティング制御が予防力を持つ当事者にコストを負わせているかどうかのテストとして扱うべきである。もしネットワークがローカルな遮断経路を作成するなら、それらの経路が脱出できないことを証明する負担を負うべきだ。もし上流側がグローバルトランジットを販売するなら、顧客の経路が認可されていることを証明する負担を負うべきだ。もしプラットフォームが重要なアドレス空間を所有するなら、経路権限を公開し監視する負担を負うべきだ。もしユーザーに制御がないなら、彼らが停止と混乱を通じて最初に代償を支払うべきではない。

通信事業者にとっての決断は、通常の所有または顧客の到達可能性を表さないあらゆる経路に対して、輸出封じ込めを形式化することだ。国内ブロック、DDoS ブラックホール、マルウェアシンクホール、緊急フィルタは、ローカル専用の証明を持つべきだ。それは内部の設定から想定されるだけでなく、ネットワークの外部からテストされるべきである。変更記録は、その方法が選ばれた理由と、それが意図された境界を離れるのを何が防ぐのかを説明すべきである。

上流側にとっての決断は、顧客フィルタリングを任意の衛生として扱うのをやめることだ。それは中核的な製品品質である。顧客がトランジットを購入するのは、プロバイダが世界に到達できるからだ。世界はまた、プロバイダが顧客から誤った到達可能性を受け入れないことに依存している。その義務は、契約、監査、ルーティングセキュリティプログラム、公的なインシデントレポートに現れるべきである。

プラットフォームやコンテンツプロバイダにとっての決断は、不当な非難を受け入れることなく準備することだ。YouTube のようなサービスは、外部障害が起こるため、経路監視、RPKI、緊急非集約化計画、プロバイダ連絡先を必要とする。しかし、彼らの準備は、起案者や上流側が過小投資する言い訳になるべきではない。被害者によるレジリエンスはバックストップであり、発生源で悪い経路を止められる当事者による予防の代替ではない。

政策立案者にとっての決断は、政策命令がネットワークインフラに触れる場合は常に、技術的封じ込めを要求することだ。国内の法的命令は、輸出可能な制御を通じて実装されれば、グローバルな技術的事象になり得る。YouTube ハイジャックは、経路ベースの遮断や緊急ネットワーク介入を検討するすべての政策プロセスにおいて、警告的な例であるべきである。

予防インセンティブは、インシデント後にも可視化されるべきである。有用な記録は、起案者がローカルブロックの方法を変更したか、上流側が顧客フィルタを変更したか、経路監視アラートが調整されたか、そして緊急連絡先がインシデントが必要とした速度で機能したかを示すだろう。その証拠がなければ、コスト転嫁はほとんど外部化されたままである。ユーザーはアクセスを失い、プラットフォームは公的な停止を吸収し、研究者は教訓を文書化し、ルーティングシステムは次の事業者がそれを繰り返すのを待つ。より良いインセンティブシステムは、安価な予防ポイントに説明責任を負わせる。悪い経路が出る前にそれを止められるネットワークは、今ではそうしていることを証明できるべきである。増幅を防げる上流側は、フィルタカバレッジと例外ガバナンスを示せるべきである。それが、有名なミスが民間伝承ではなく耐久性のある予防になる方法である。

これは小規模な事業者にとっても重要である。すべての経路リークがグローバルプラットフォームを害するわけではないが、すべてのリークは同じ経済学をテストする。もし起案者と上流側がほとんどのコストを回避し、被害者とユーザーが停止を吸収するなら、過小投資は合理的であり続ける。もし契約、監査、公的インシデントレビュー、コミュニティ規範が経路封じ込めを可視化すれば、インセンティブは変わる。予防はサービス品質の一部となる。Pakistan Telecom のケースが有名なのは、被害者が YouTube だったからである。根底にある説明責任の教訓は、あるネットワークのローカルなアクションが、別のネットワークの公的な被害に輸出され得る場合は常に適用される。

タイポグラフィ

結論

説明責任の基準は、公的な証拠と結びついた実用的な制御である。最も強力な記録は、すべてのアクターがすべての結果をコントロールしていたと見せかけるものではない。それは、誰が失敗を防げたか、誰が検出できたか、誰が爆発半径を制限できたか、誰が影響を受けた当事者に通知できたか、誰が信頼関係を修復できたか、そしてその修復がそれに依存するシステムと人々に到達したことを証明する証拠を特定するものである。