パキスタン・テレコムの事例：ローカルネットワークブロックがどのようにしてグローバルなコストを転嫁するのか

概要

• 2008年2月24日、パキスタン・テレコム AS17557 は YouTube のアドレス空間内のより具体的なルートである208.65.153.0/24をアナウンスし、PCCW AS3491 がそのルートを伝播したため、YouTube トラフィックがグローバル規模でリダイレクトされた。
• 公開証拠はこのルートアナウンスを国内の YouTube ブロッキングの文脈に関連付けているが、説明責任の教訓は検閲だけではない。それはコスト転嫁である。ローカルな制御の選択が YouTube、上流プロバイダ、ユーザー、そしてより広範なルーティングコミュニティに障害対応、トラフィック損失、復旧作業を課した。
• パキスタン・テレコムはローカルなブロッキングの実装とルートのオリジネーションを制御した。PCCW は影響力の大きい上流での受け入れと伝播ポイントを制御した。YouTube は緊急の対抗アナウンスと復旧調整を制御した。ユーザーは経路障害に対して実質的な制御を持たなかった。
• RPKI のオリジン検証は2008年には成熟した形で存在していなかったが、この出来事は現代の ROA、上流フィルタリング、ルートモニタリングがなぜ重要なのかを説明している。リソース保有者が正確な権威を公開し、プロバイダがそれを検証すれば、誤ったオリジンのアナウンスは拒否可能になる。
• 公正なインシデント後の記録は、なぜ BGP がブロッキングに使用されたか、エクスポート防止がなぜ失敗したか、どの PCCW フィルターが欠落していたかまたは回避されたか、そして同様の国内制御が再び流出しないことをどの証拠が証明したかを説明していたはずである。

証拠記録とその使用方法

この記事は公開記録を層状の証拠として扱う。インシデント報告、標準規格、ブラウザやルーティングの測定、規制当局や政策資料、現在の事業者ガイダンスが異なる主張に使用される。企業執筆の情報源は企業の立場として帰属される。標準規格とその後のガイダンスは、制御を説明し説明責任の期待を示すために使用され、公開記録がその主張を支持しない場合に私的事実を発明したり遡及的に義務を課したりするためではない。

ルートが撤回される前に被害は輸出された

パキスタン・テレコムの YouTube インシデントは、しばしば古典的な BGP ハイジャックとして記憶される。それは正確だが、コスト転嫁のレンズはそれをより有用にする。このルートは国内のブロッキング目標を満たすために作成されたようだ。グローバルなコストはその国内政策決定の外部にいる当事者によって支払われた。YouTube ユーザー、YouTube ネットワークエンジニア、PCCW および他のプロバイダ、障害の診断を試みるネットワークオペレーター、YouTube の到達性に依存するクリエイターや企業、そして信頼モデルが再び脆弱であることが示されたより広範なルーティングコミュニティである。

RIPE NCC のケーススタディが技術的な背骨である。パキスタン・テレコム AS17557 は YouTube のより広い208.65.152.0/22内のより具体的なプレフィックスである208.65.153.0/24をアナウンスした。ルーターは最長一致プレフィックスを優先するため、/24はその範囲内のアドレスについて正当な/22よりも優先される可能性があった。PCCW Global AS3491 はそのルートを残りのインターネットに転送した。YouTube はその後、一致する/24、後に2つの/25をアナウンスし、それらのルートを受け入れるネットワークでより具体的になることによって到達性を回復しようとした。

コスト転嫁の問題は制御の選択から始まる。国内ブロックはいくつかのメカニズムを通じて実装可能であり、それぞれ異なる障害モードを持つ。DNS フィルタリング、HTTP プロキシブロッキング、IP フィルタリング、BGP ブラックホール化はすべてリスクを伴う。ルートベースのブラックホールは、ルーターがすでにプレフィックスと転送を理解しているため、1つのネットワーク内では運用上魅力的であり得る。しかし、そのようなルートが流出すると、残りのインターネットはそれを「パキスタンがローカルブロックを望んでいる」とは解釈せず、「AS17557 が YouTube アドレスへの経路である」と解釈する。ルーティングシステムは、オペレーターがそれをエンコードしない限り、政治的な境界を知らない。

その境界は失敗した。グローバル障害は政策不一致の自然な副作用ではなく、防止可能な制御プレーンのエクスポートだった。国内事業者が BGP を使用してローカルブロックを実装する場合、そのルートが上流やピアにエクスポートされないことを保証しなければならない。それはローカル専用としてスコープされ、タグ付けされ、フィルタリングされ、監視されるべきである。上流もまた、顧客がオリジネートする権限のない顧客ルートを拒否すべきである。2つの防止層が同じ方向に失敗した。

したがって、この出来事は説明責任を事後的な謝罪からインセンティブ設計へと移行させる。ローカルネットワークが粗雑なブロッキング方法のコストを外部化できる場合、封じ込めに過少投資する可能性がある。上流が誤った権威を伝播しても測定または罰則を受けない場合、グローバルシステムが許容できる以上のリスクを受け入れる可能性がある。予防インセンティブは、ルート制御力を持つ当事者に、グローバルユーザーが被害を受ける前に弱いフィルターのコストを負担させるべきである。

PCCW は起点ではなかったが、増幅器だった

パキスタン・テレコムは誤ったルートをオリジネートしたが、より広いリーチを持つ上流がそれを伝播したため、PCCW の役割は決定的だった。これはルーティングインシデントにおける繰り返しパターンである。最初の悪質なアナウンスは1つの顧客またはピアから来るかもしれない。爆発半径は、どの大規模ネットワークがそれを信じるかに依存する。ローカルに留まるルートはローカルな障害または政策障害である。グローバルプロバイダがエクスポートするルートはグローバルな出来事になる。

上流プロバイダは、顧客のルートをフィルタリングするためにその背後にある政治的理由を知る必要はない。関連する質問はより単純である。この顧客はこのプレフィックスをオリジネートまたはトランジットする権限があるか？YouTube アドレス空間はパキスタン・テレコムのものではなかった。プロバイダ固有の顧客フィルターはアナウンスを拒否すべきだった。ルートがローカルブラックホールとして意図されていたなら、その意図はエクスポートをさらに許容しないものにしたはずである。

PCCW の公開内部記録はここでレビューされた情報源では入手できないため、この記事は正確なフィルター障害を主張しない。観察可能なルートパスは運用上の説明責任の発見には十分である。上流は YouTube 空間に対する顧客オリジネートの権威を受け入れ、伝播したが、それはグローバルに受け入れられるべきではなかった。欠落したフィルター、陳腐化したフィルター、緊急例外、または運用上のバイパスの違いは是正には重要であるが、フィルタリングの証拠の基本的な必要性には影響しない。

ここで現代の MANRS スタイルの期待が重要になる。これらは自主的な規範であり、2008年に同じ形では存在しなかったが、インシデントが教えたことを表現している。顧客ルートをフィルタリングし、連絡先を調整し、グローバルに検証可能なルーティング情報を維持し、誤ったルーティング情報の拡散を防ぐこと。上流フィルタリングは被害者ネットワークへの礼儀ではない。それは相互依存システムとしてのインターネットに対するセキュリティと可用性の義務である。

コスト転嫁のレンズは、なぜ上流が過少投資するのかも明らかにする。悪いルートを拒否するには、メンテナンス、顧客とのコミュニケーション、時折の摩擦が必要である。ルートの伝播は公に失敗するまでは簡単である。成熟した市場は、フィルターカバレッジ、ルートオブジェクトの衛生状態、RPKI 検証、最大プレフィックス制御、インシデント対応メトリクスを示すプロバイダに報酬を与えるべきである。これらのインセンティブがなければ、弱いフィルタリングのコストはルートが流出した後にダウンストリームユーザーによって支払われる。

YouTube は他人の権威主張から回復しなければならなかった

YouTube は誤った AS17557 ルートをオリジネートしなかったが、それでも回復しなければならなかった。それはすべての大規模コンテンツプラットフォームにとって不快な回復力の教訓である。アドレス所有権と運用能力は、別の自律システムが到達性について誤った主張をすることを防げない。プラットフォームはグローバルコントロールプレーンを監視し、外部ネットワークが間違った当事者を信じた場合に備えて対応できる準備ができていなければならない。

RIPE NCC や他の情報源によって捉えられた YouTube の対応は、緊急分割だった。同じ/24、次に2つの/25をアナウンスした。目標は、少なくとも誤ったルートと同じかそれ以上に具体的な YouTube へのルートを作成し、それらのアナウンスを受け入れるルーターが YouTube に戻る経路を優先するようにすることだった。これは部分的には効果的だったが、完全ではなかった。より具体的な緊急ルートは到達性を回復できるが、それらを受け入れるネットワークに依存し、グローバルルーティングテーブルのストレスに寄与する可能性がある。

プラットフォームの回復力義務には、正確なルーティングレジストリ記録、利用可能な ROA、ルートオリジンモニタリング、トランジットプロバイダとの関係、エスカレーション連絡先、ルートリークアラーム、練習された緊急措置が含まれる。これらの義務は被害者非難ではない。主要プラットフォームが外部のコントロールプレーン障害にさらされていることの認識である。プラットフォームはすべての誤ったルートを防ぐことはできないが、検出と回復時間を短縮することはできる。

RPKI は現代のインシデントに対するインセンティブ構造を変える。YouTube のアドレス空間に正当なオリジンのみを許可し適切な最大長を設定した正確な ROA があれば、誤ったオリジンの AS17557 ルートは、ルートオリジン検証を実行し無効を拒否するネットワークにとって無効になり得る。これは2008年には配備された成熟した制御として役立たなかっただろうが、現代の説明責任の方向性を説明している。リソース保有者は検証可能な権威を公開し、プロバイダは検証と拒否によってそれを有効にする。

ROA 設計は緊急時の動作も考慮しなければならない。プラットフォームが危機の際に/24やより具体的なルートをアナウンスする必要がある場合、最大長設定は慎重に選択されなければならない。あまりに広範な maxLength 値は、許可されていないより具体的なルートの検証を容易にする可能性がある。あまりに狭い設定は、正当な緊急分割を無効にする可能性がある。したがって、2008年の出来事は現代の RPKI ガバナンスに情報を提供している。ルートセキュリティはチェンジマネジメントの規律であり、チェックボックスではない。

国内制御にはエクスポート防止の設計が必要

このインシデントはルーティングの話だけではない。グローバルに意味のあるインフラを通じて実装された政策制御についての警告である。国家当局は国内のブロッキング命令を発行するかもしれない。通信事業者は法的または政治的にそれを実装する義務があるかもしれない。しかし、実装方法はグローバルな結果をもたらすエンジニアリング上の選択のままである。ローカルな検閲措置が偶然にグローバルインターネットを徴兵するべきではない。

エクスポート防止設計とは、ブロッキングルートが構造上ローカルのみであることを意味する。それは外部に広告しないルーティングコンテキストに保持され、すべての境界で尊重されるコミュニティでタグ付けされ、アウトバウンドフィルターで拒否され、外部コレクターを通じてチェックされるべきである。事業者は、ルートが意図された境界外に見えないことを確認する監視を行うべきである。文書化されたロールバックパスと、他の場所で可視性が現れた場合に即座にルートを撤回する権限を持つべきである。

規制当局や公的機関にとって、これは技術的な実現可能性がネットワーク制御命令の一部であるべきことを意味する。サービスをブロックする命令は、その方法が無関係なネットワークに害を与えないことの証明を要求しなければ不完全である。裁判所、通信規制当局、省庁は BGP の専門家になる必要はないが、制御をグローバルルーティングに触れる前に、事業者に封じ込め、テスト、緊急連絡先の認定を要求することができる。

この原則は検閲を超えて拡張される。DDoS ブラックホール、制裁執行、マルウェアシンクホール、裁判所命令による削除、緊急虐待対応はすべて、グローバルに意味のあるルートまたは DNS 変更を作成し得る。各制御はそれを正当化した権限にスコープされなければならない。制御が強力であればあるほど、それが流出できないという証拠は強力でなければならない。

パキスタン・テレコムの記録には、学習を完全にする公開ポストモーテムが欠けている。ルートパスと公開コンテキストを示しているが、内部の決定連鎖、テスト証拠、エクスポート制御、または是正は示していない。その欠如自体が説明責任の記録の一部である。検査できない修復は、約束であって制御ではない。

予防インセンティブは回避可能な爆発半径に従うべきである

この出来事の耐久性のある政策価値は、誰が最小コストで害を回避できるかを明らかにすることである。パキスタン・テレコムは、エクスポート可能な BGP を国内ブロックに使用しないか、ルートを封じ込めることによってグローバル伝播を回避できた。PCCW は顧客ルートをフィルタリングすることによって増幅を回避できた。YouTube は監視とルート権限を通じて露出を減らすことができるが、別のネットワークが最初の誤った主張をするのを安価に防ぐことはできなかった。ユーザーはまったく制御を持っていなかった。

したがって、説明責任は制御のレバレッジに従って予防の期待を割り当てるべきである。ローカルブロックの発信元は封じ込めを証明しなければならない。上流は顧客ルートの権限を証明しなければならない。アドレス保有者は権限を公開し監視しなければならない。大規模ネットワークは無効または非合理的なルートを拒否しなければならない。業界団体と規制当局は、顧客がスローガンではなく証拠に基づいてプロバイダを選択できるように、それらの期待を十分に可視化しなければならない。

優れたインシデント後の証拠パッケージは、基本的な質問に答えるはずである。どのルートが作成され、なぜか？それはローカルブラックホールのみを意図していたのか？どのアウトバウンドフィルターがそれを止めるべきだったか？なぜそれらは失敗したか？どの上流がそれを受け入れたか？上流は顧客がどのルートセットをアナウンスする権限があると信じていたか？ルートはいつ撤回されたか？どのアラートが発動したか？その後何が変わったか？これらの回答がなければ、同じ障害パターンが別の政策ラベルの下で再発する可能性がある。

公開記録は、過剰請求することなく強力な結論を支持する。許可されていない AS17557 の起源、PCCW の伝播、YouTube の対抗アナウンス、国内ブロッキングの文脈、意図しないグローバル障害を支持する。悪意のある意図、正確な内部コマンド、法的責任の発見を発明することは支持しない。説明責任の分析は運用上のものである。実用的な制御と外部化されたコスト。

結論は単純だが厳しい。グローバル BGP に流出する可能性のあるローカルネットワーク制御はローカルではない。それは共有インフラリスクである。それを選択する当事者とそれを伝播する上流は、彼らが作り出せる爆発半径に比例した予防義務を負わなければならない。

経路ハイジャックは外部性を障害に変えた

外部性とは、決定の外部にいる誰かに押し付けられるコストである。2008年の YouTube ハイジャックは教科書的なルーティング外部性である。国内のブロッキング決定とその技術的実装は、パキスタンの政策と通信環境内で行われた。障害コストはグローバルインターネット全体に現れた。YouTube、そのユーザー、広告主、クリエイター、トランジットプロバイダ、ネットワークオペレーターは、自分たちが作り出さなかったコストを負担した。だからこそ、このインシデントは有名な BGP の話以上のものであり続ける。それはインセンティブに関するケースである。

ローカル事業者がルートを注入することで安価にブロックを実装でき、そのルートが流出した場合に全コストを負担しない場合、事業者は脆い方法を選択するかもしれない。上流が広範に顧客ルートを受け入れ、公のインシデント後にのみ注意を払う場合、フィルターに過少投資するかもしれない。コンテンツプラットフォームが誰かが自分の空間をアナウンスするたびに復旧作業を吸収することが期待される場合、プラットフォームは、誤った権威を作成または伝播するネットワークと部分的に共有されるべき回復力コストを負担する。市場の失敗は抽象的ではない。それは間違った経路をたどるパケットとして現れる。

インセンティブ設計とは、予防制御を失敗よりも安くすることを意味する。通信事業者にとって、それは非所有空間に対するブラックホールルートを高リスクとして扱う内部変更制御、外部ルートコレクターに対する自動チェック、BGP に触れる政策義務付けられたネットワーク制御に対する経営陣の承認を含むことができる。上流にとって、それは顧客固有のプレフィックスフィルター、RPKI 検証、最大プレフィックス制限、AS パスの健全性チェック、異常な広告を拒否またはシャットダウンする契約上の権利を含む。プラットフォームにとって、それはルート監視と公開ルート権限を含む。各当事者は、グローバルな害の後に安全でないものを修復するよりも、安全なことを行う方が簡単であると感じるべきである。

公開された PTCL のポストモーテムの欠如は重要である。なぜならインセンティブは証拠によって形作られるからである。ルートは消え、ユーザーは戻り、公衆は先に進むかもしれない。しかし、何が変わったかの記録がなければ、部外者はコスト転嫁メカニズムが除去されたかどうかを知ることができない。パキスタン・テレコムはブロッキングにエクスポート可能な BGP を使用するのをやめたか？PCCW は顧客フィルターを変更したか？YouTube はルート監視を変更したか？規制当局は国内ブロックの技術的要件を変更したか？いくつかの回答は非公開で存在するかもしれない。公的説明責任には、それらの十分な可視性が必要である。

コスト転嫁は小規模なターゲットにも影響する。YouTube は反撃するエンジニアリングリソースと可視性を持っていた。小規模な人権サイト、地方新聞、銀行、病院ポータル、ソフトウェアアップデートサーバーは持っていないかもしれない。国内ブロックや誤ったルートが可視性の低いターゲットに対して流出した場合、同じ外部性がより長く続く可能性がある。なぜなら観察者が少ないからである。したがって、YouTube のケースは有名なプラットフォームについてだけではない。ルーティング外部性が、回復オプションの少ない可視性の低い当事者にどのように害を与えるかについての警告である。

最長一致プレフィックスがローカルルートをグローバルに説得力のあるものにした

このインシデントの背後にある技術的な力は、ルーターの観点からは複雑ではなかった。208.65.153.0/24へのルートは208.65.152.0/22へのルートよりも具体的である。両方が存在する場合、/24内のアドレスへのトラフィックは/24に従う。ルーターは、狭いルートが検閲、メンテナンス、DDoS 緩和、ミス、または盗難のために作成されたかどうかを尋ねない。彼らは転送ルールを適用する。ルートが受け入れられると、人間の意図は消える。

だからこそ、より具体的なルート制御は非常に重要である。分割は正当であり得る。ネットワークはトラフィックエンジニアリング、DDoS 緩和、緊急復旧、部分的なフェイルオーバーに具体的なルートを使用する。しかし、具体的なルートは広範な正当なアナウンスを上書きし、トラフィックを引き付けることもできる。制御していない空間に対して具体的なプレフィックスをアナウンスするネットワークは強力な主張を行っている。上流はその主張を懐疑的に扱うべきであり、特にプレフィックスがグローバルに知られたサービスに属する場合である。

YouTube の緊急/24および/25アナウンスは、具体的な修復の有用性と混乱の両方を示している。一致する/24をアナウンスすることで誤った/24と競合できるが、ルーターは他の BGP 属性に基づいて等長ルートを選択する。/25をアナウンスすることでさらに具体的なルートが作成されたが、すべてのネットワークが/25のグローバルアナウンスを受け入れるわけではない。多くのプロバイダは IPv4 で/24より長いプレフィックスをフィルタリングするからである。この修復は技術的に巧妙で、運用上制約されていた。それは、起点と上流での予防が被害者による緊急分割よりも優れている理由を示している。

RPKI はこの状況を変えるが、慎重なプレフィックス政策の必要性を排除するわけではない。ROA は正当なオリジンを認可し、最大長を設定できる。誤ったオリジンの/24が現れた場合、検証ネットワークはそれを無効として分類し拒否できる。ただし、正当な保有者が緊急の/25を必要とし、ROA がそれらを許可しない場合、それらの緊急ルートも無効になる可能性がある。ROA が多すぎる特異性を許可する場合、保護を弱める可能性がある。したがって、YouTube イベントは、成熟した RPKI 配備に先行していたにもかかわらず、maxLength ガバナンスの実用的な例である。

ルートセキュリティプログラムは、通常の集約、計画されたトラフィックエンジニアリングの具体的なルート、緊急分割制限、ROA の maxLength 値を一緒にマッピングするべきである。それらを別々のスプレッドシートとして扱うことは失敗を招く。ある緊急時に可用性を救うルートが別の緊急時に無効を作成する可能性がある。拒否されるべき誤ったルートは、許可が広範すぎるともっともらしく見える可能性がある。最長一致ルールは単純だが、その結果を管理することは単純ではない。

政府命令は技術的説明責任を迂回すべきではない

YouTube ブロックの政治的文脈は、それが運用上の圧力を生み出したために関連する。しかし、政府命令は技術的説明責任を消し去らない。国家が通信事業者にサービスをブロックするよう要求する場合、事業者は依然として方法、範囲、テスト、封じ込めに関する義務を負う。国家もまた、その権限外のネットワークに予見可能な害を与える制御を要求しない義務を負う。国内政策目標は、誤ったルートを偶然に世界に輸出することを正当化できない。

この原則は電気通信規制で明示的であるべきである。ブロッキング命令、裁判所命令、緊急ネットワーク制御は、技術的封じ込めの声明を必要とする。どのメカニズムが使用されるか？どのシステムが影響を受けるか？エクスポートはどのように防止されるか？どのテストが制御がローカルであることを検証するか？誰がグローバルな可視性を監視するか？制御が流出した場合に誰が撤回できるか？どの上流に通知されたか？もし答えが「誰かのプレフィックスを BGP にアナウンスしてローカルに留まることを期待する」であれば、その方法は配備には十分に成熟していない。

同じことがプライベートな虐待対応にも適用される。ネットワークは DDoS 攻撃中にトラフィックをブラックホール化したり、悪意のあるインフラをシンクホール化する必要があるかもしれない。これらの行動は正当であり得るが、スコープされなければならない。1つのプロバイダ内でリモートトリガーされたブラックホールは、コミュニティとフィルターが正しい場合に安全であり得る。グローバルトランジットに漏れるルートは巻き添え被害を生み出す可能性がある。共通の原則は封じ込めである。制御の運用境界は制御の背後にある権限と一致しなければならない。

パキスタン・テレコムの記録は、その境界が欠落した場合に何が起こるかを示しているので価値がある。グローバルインターネットはそのルートを国内の法的指示として解釈しなかった。それは到達性として解釈した。他のネットワークはそれに応じて転送決定を行った。ルートの法的または政治的理由は BGP にとって不可視だった。その不可視性は願い事で消えるバグではない。それはオペレーターが尊重しなければならない設計上の制約である。

公的説明責任のために、規制当局は制御が流出した場合に事後報告書を求めるべきである。それらの報告書は、元の政策目標が合法か人気かだけに焦点を当てるべきではない。方法が比例していたか、封じ込めが存在したか、外部害が発生したか、将来の制御が技術的に制限されるかを尋ねるべきである。検閲に関する政策議論とルート封じ込めに関するエンジニアリング議論は別物だが、2008年のインシデントはそれらが衝突し得ることを示している。

上流フィルタリングは共有安全義務である

上流プロバイダは到達性を販売する。その到達性は彼らの価値でありリスクである。プロバイダが顧客のルートを受け入れるとき、それをインターネットのはるかに大きな部分に可視化することができる。したがって、プロバイダは顧客がどのプレフィックスをアナウンスしてもよいかを知る共有安全義務を負う。この義務は完全でも些細でもないが、中心的である。それがなければ、すべての顧客セッションが誤った権威への可能な経路になる。

2008年には、ルートレジストリ、手動フィルター、運用連絡先が利用可能だったが不均一だった。今日では、RPKI、より良いツール、MANRS 規範、ルートコレクター、検証サービスが期待をより強固にしている。現代の上流は複数の信号を組み合わせるべきである。顧客ルートオブジェクト、ROA、契約記録、過去のアナウンス、最大プレフィックスしきい値、AS パスフィルター、突然の有名プレフィックス変更に対するアラーム。目標は官僚的な純粋さではない。顧客が偶然または悪意を持って、所有していないネットワークへのインターネットの経路になることを防ぐことである。

フィルタリングは公平性の問題でもある。フィルタリングしないプロバイダは、フィルタリングするプロバイダにコストを課す可能性がある。1つの主要トランジットネットワークが誤ったルートを伝播した場合、リモートネットワークはそれを拒否するために慌て、被害者は対応し、ユーザーは苦しむ。フィルタリングしないプロバイダは、公の失敗が発生するまで低い運用摩擦の恩恵を受ける。だからこそ MANRS のような集団規範が重要である。それらはルートフィルタリングを私的な品質選択からコミュニティの責任に変える。

顧客はプロバイダにこれについて尋ねるべきである。企業は多くの場合、価格、容量、稼働時間に基づいてインターネットトランジットを購入する。また、プロバイダが顧客アナウンスをフィルタリングするか、RPKI を検証するか、24時間の NOC 連絡先を維持するか、ルーティングセキュリティイニシアチブに参加するかを尋ねるべきである。これらの質問に答えられないプロバイダは、通常の日にはパケットを配信するかもしれないが、悪い日には増幅器になる可能性がある。

YouTube ハイジャックは上流の増幅を可視化した。PCCW の伝播はパキスタン・テレコムのローカルルートをグローバル問題に変えた。修復には撤回と対抗アナウンスが必要だった。より良い予防システムは、顧客エッジでルートを拒否し、国内のミスを国内に留めたはずである。それが将来のインシデントのベンチマークである。

有用な比較は非難ではなく、制御のレバレッジである

公正な説明責任マップは、すべての当事者が同じ力を持っていたふりをすべきではない。パキスタン・テレコムはローカル実装とルートオリジネーションを直接制御していた。PCCW は顧客ルートの受け入れとエクスポートを直接制御していた。YouTube は自身のルートアナウンス、監視、緊急対応を制御していた。他のネットワークは伝播されたルートを受け入れるかどうかを制御していた。ユーザーはほとんど何も持っていなかった。規制当局は政策権限を持っていたが、必ずしもルーターへのアクセスを持っていなかった。制御の分布は不均等であるため、責任の分布も不均等であるべきである。

この制御レバレッジマップは、最も安価な予防ポイントを特定するため、一般的な非難よりも有用である。最も安価なポイントは、誤ったルートがパキスタン・テレコムを離れるのを防ぐことだった。次に安価なのは PCCW で拒否することだった。後のポイントは、ルートがすでにグローバル収束に入っていたため、より高価になった。YouTube の緊急分割は重要だったが、それは2つの初期ゲートが失敗した後の修復だった。リモートネットワークがルートを拒否することも有用だったが、主要な上流が伝播した後にすべてのネットワークにルートをキャッチさせることは、イングレスで止めるよりも効率的ではない。

同じマップは現代のインシデント訓練を導くことができる。政府命令、顧客のミス、または DDoS 対応が非所有空間のルートを作成すると仮定する。発信元はローカルのみの制御を持つべきである。上流は許可されていないプレフィックスを拒否すべきである。アドレス保有者はルート監視アラートを受信すべきである。大規模ネットワークは無効なオリジンを拒否すべきである。公開ルートコレクターはイベントを可視化すべきである。連絡先は数分以内に到達可能であるべきである。各層は持続時間と爆発半径を減少させる。

有用な役員演習は、自社のネットワークが誤ってエクスポートして他人に害を与える可能性のあるルートは何か、顧客ルートを誤って伝播してインターネットに害を与える可能性のあるものは何か、外部の誤ったルートが自社のサービスに害を与える可能性のあるものは何かを問うことである。これらの3つの質問は、発信元、増幅器、被害者の役割をカバーする。多くの組織は異なる時点で3つの役割すべてを占める。

パキスタン・テレコムのイベントは、3つの質問すべてに当てはまるため、永続する。それは発信元の失敗として始まり、上流の増幅器の失敗となり、被害者に修復を強いた。説明責任の教訓は、最初の2つの役割が3番目の役割が即興で回復しなければならない前に害を防ぐように、インセンティブと証拠を設計することである。

予防インセンティブのための読者の決定

読者はパキスタン・テレコムの記録を、ルーティング制御が予防力を持つ当事者にコストを課すかどうかのテストとして扱うべきである。ネットワークがローカルブロッキングルートを作成する場合、それらのルートが流出できないことを証明する責任を負うべきである。上流がグローバルトランジットを販売する場合、顧客ルートが許可されていることを証明する責任を負うべきである。プラットフォームが重要なアドレス空間を所有する場合、ルート権限を公開し監視する責任を負うべきである。ユーザーが制御を持たない場合、障害と混乱を通じて最初に代償を払う当事者であるべきではない。

通信事業者にとっての決定は、通常の所有または顧客到達性を表さないルートに対してエクスポート封じ込めを形式化することである。国内ブロック、DDoS ブラックホール、マルウェアシンクホール、緊急フィルターはローカルのみの証明を持つべきである。それはネットワークの外部からテストされるべきであり、内部設定から単に想定されるべきではない。変更記録は、なぜその方法が選ばれたか、何が意図された境界を離れるのを防ぐかを説明すべきである。

上流にとっての決定は、顧客フィルタリングをオプションの衛生状態として扱うのをやめることである。それは中心的な製品品質である。顧客は、プロバイダが世界に到達できるためトランジットを購入する。世界はまた、プロバイダが顧客からの誤った到達性を受け入れないことに依存している。その義務は契約、監査、ルーティングセキュリティプログラム、公開インシデント報告に現れるべきである。

プラットフォームとコンテンツプロバイダにとっての決定は、不当な非難を受け入れずに準備することである。YouTube のようなサービスは、外部の障害が発生するため、ルート監視、RPKI、緊急分割計画、プロバイダ連絡先を必要とする。しかし、彼らの準備は、発信元と上流が過少投資する言い訳になるべきではない。被害者による回復力は、悪いルートをソースで止めることができる当事者による予防の代わりではなく、バックストップである。

政策立案者にとっての決定は、政策命令がネットワークインフラに触れるたびに技術的封じ込めを要求することである。国内の法的命令は、エクスポート可能な制御を通じて実装された場合、グローバルな技術的イベントになり得る。YouTube ハイジャックは、ルートベースのブロッキングや緊急ネットワーク介入を検討するすべての政策プロセスにおける警告例であるべきである。

予防インセンティブはインシデント後にも可視化されるべきである。有用な記録は、発信元がローカルブロッキング方法を変更したか、上流が顧客フィルターを変更したか、ルート監視アラートが調整されたか、緊急連絡先がインシデントが必要とする速度で機能したかを示すだろう。その証拠がなければ、コスト転嫁は大部分が外部のままである。ユーザーはアクセスを失い、プラットフォームは公開障害を吸収し、研究者は教訓を文書化し、ルーティングシステムは次のオペレーターがそれを繰り返すのを待つ。より良いインセンティブシステムは、安価な予防ポイントに説明責任を負わせる。悪いルートが離れる前に止めることができるネットワークは、今それを証明できるべきである。増幅を防ぐことができる上流は、フィルターカバレッジと例外ガバナンスを示せるべきである。それが、有名なミスが永続的な予防になり、民間伝承にならない方法である。

これは小規模オペレーターにとっても重要である。すべてのルートリークがグローバルプラットフォームに害を与えるわけではないが、すべてのリークは同じ経済性をテストする。発信元と上流がほとんどのコストを回避し、被害者とユーザーが障害を吸収する場合、過少投資は合理的なままである。契約、監査、公開インシデントレビュー、コミュニティ規範がルート封じ込めを可視化する場合、インセンティブは変わる。予防はサービス品質の一部になる。パキスタン・テレコムのケースは、被害者が YouTube だったため有名であり、根本的な説明責任の教訓は、1つのネットワークのローカル行動が別のネットワークの公的な害にエクスポートされ得る場合に適用される。

結論

説明責任の基準は、実用的な制御と公開証拠が結合したものである。最も強力な記録は、すべてのアクターがすべての結果を制御したふりをしない。それは誰が障害を防ぐことができたか、誰がそれを検出できたか、誰が爆発半径を制限できたか、誰が影響を受けた当事者に通知できたか、誰が信頼関係を修復できたか、そして修復が依存していたシステムと人々に届いたことをどの証拠が証明するかを特定する。