要約

  • draft-ietf-opsawg-ipfix-quic-header-00 は、QUIC のヘッダー、Connection ID、Packet Number、Frame Type、Stream ID を表す七つの IPFIX 情報要素を提案し、保護された三項目の取得には復号を必要とする。
  • 値が入ったフィールドが示すのは、特定設定の輸出装置がその値を回収したことまでである。接続全体の同一性、適法な鍵利用、移行後の連続性、端点処理、アプリケーション結果は別の証拠を要する。

フローレコードに QUIC の Destination Connection ID、Packet Number、Stream ID が並ぶ。名称は標準化され、形式も整い、コレクターへの転送も成功している。その画面を「接続の記録」と呼びたくなる。

だが、記録されたのは、ある場所から見えた範囲である。

9月10日に公開された OPSAWG の作業部会草案は、quicHeaderFlag、quicVersion、quicDestinationConnectionID、quicSourceConnectionID、quicPacketNumber、quicFrameType、quicStreamID の七項目を提案する。フラグ、バージョン、長いヘッダーの Connection ID には wire 上で見える材料がある。Packet Number、Frame Type、Stream ID は保護され、端点または復号できる経路上装置でなければ回収できない。

見える項目にも前提がある。QUIC の短いヘッダーは Destination Connection ID の長さを送らない。中間装置が解釈するには、Connection ID 自体または長さをあらかじめ設定する必要がある。その設定が古い、別の通信向けである、あるいは証跡に残っていないなら、形の整った出力でも切り出しが誤っているかもしれない。外部設定は値の出所の一部である。

次の境界は「flow」にある。草案は QUIC 独自の意味ではなく IPFIX の定義を用いると明記する。RFC 7011 の Flow は、一つの Observation Point を一定期間に通った、共通の性質を持つパケットやフレームである。Metering Process は選択、サンプリング、時刻付与、分類、派生処理を行ってから Flow Record を輸出できる。したがって、そのレコードは最初から観測位置と計量方針に制限される。

QUIC 接続は五つ組との一対一対応を崩すよう設計されている。アドレスやポートが変わっても接続は継続でき、端点は複数の Connection ID を発行、交代、廃止できる。同じ接続が別経路で別の五つ組を見せる一方、Connection ID は発行端点の文脈内の経路識別子にすぎない。人、端末、顧客セッションの世界共通 ID ではない。移行を越えてレコードを結合するなら、その結合自体に証跡が要る。

Packet Number も単独の通し番号ではない。QUIC には Initial、Handshake、Application Data の別々の番号空間があり、方向も欠かせない。一つの輸出装置で番号が飛んでいても、ネットワーク損失とは限らない。サンプリング、別経路、観測開始の遅れ、鍵の欠落、または輸出バッファの圧迫によるレコード欠落かもしれない。RFC 7011 は選択を認め、輸出時の Data Record 欠落を明示的に扱う。前後のレコードが揃っていても、間が完全だったことにはならない。

Frame Type と Stream ID にも同じ節度が必要である。Frame Type は保護を外した後に適用する文法を示すが、型固有の全フィールド、相手側の処理、アプリケーションの受理までは証明しない。Stream ID が一意なのは一つの接続内だけである。確認済みの接続文脈、端点ログ、アプリケーション照合がなければ、永続的な要求や取引の名前にはできない。

復号能力と復号権限も分離しなければならない。QUIC のヘッダー保護とペイロード保護を正しく解除すれば、対応する鍵文脈でパケットを認証できる。しかし、誰が鍵保持を認めたのか、どの項目を開示できるのか、どのコレクターが何日保持できるのか、どの自動判断に使えるのかは答えない。実行可能性は統治上の許可証ではない。

revision 00 の Security Considerations は RFC 7012 を越える追加事項はないとする。この短さを危険の不在と読んではならない。RFC 7011 は輸出側と収集側の相互認証、完全性、トラフィックの機密性、プライバシー、偽メッセージやテンプレート攻撃を扱う。これらは情報要素を囲む運用条件であり、値そのものには格納されない。

説明可能な証拠列には、Observation Point と Domain、輸出装置の識別、パーサー版、短いヘッダーの CID 長仮定、フィルターとサンプリング、復号文脈と権限、テンプレート版、Packet Number 空間、輸出損失カウンター、コレクター、保持規則が含まれる。その上で五つ組、Connection ID、stream をまたぐ各結合を残し、端点とアプリケーションのログで検証する。

この境界は標準化の価値を下げない。共通の情報要素は独自スキーマを減らし、限定された観測を道具の間で運べる。ただし文書はまだ revision 00 の Internet-Draft で、Datatracker の状態は I-D Exists である。RFC、普及実績、運用品質が成立したわけではない。

経営判断に必要な原則は、輸出装置には設定された場所で見えたことだけを語らせる、というものだ。接続の連続、stream の到達、アプリケーションの処理、事業結果という広い主張は、それぞれ別の証拠で獲得し直さなければならない。

出典