要約

  • ICE の制御側はコンポーネントごとに有効な候補ペアを指名する。完全実装同士で役割が衝突すれば、一様に選ばれた 64 ビット値で担当を決める。
  • その値が大きいことも、候補ペアが選ばれたことも、組織的権限、人の同意、信号経路の真正性、メディア保護、利用成果を保証しない。

「制御側」は偉い側ではない

二つの完全 ICE エージェントが同時に制御側を主張することがある。RFC 5245 は、それぞれがあらかじめゼロから 2^64−1 の範囲で一様に選んだタイブレーカーを比較させる。大きい側が役割を維持し、もう一方が切り替わる。487 Role Conflict 応答は、この食い違いを状態機械の中で修復する。

比較対象に、発呼者か着呼者か、誰が SDP を先に送ったか、誰が費用を負担するか、端末を誰が所有するかという情報は含まれない。役割が変わっても、それだけを理由に値を引き直さない。タイブレーカーは本人識別子ではなく、二者が同じ作業を奪い合わないための道具だからだ。

管理画面で「マスター」「セッション所有者」と表示すれば、手順の簡略化では済まない。RFC が付与していない権限を運用側で創作することになる。

候補から選択までを一語で潰さない

エージェントはホスト、サーバー反射、中継の候補を集め、別途成立しているシグナリングで交換する。候補ペアを組み、優先順位を付け、STUN の接続性チェックを行う。成功したトランザクションによってペアが有効リストに入れば、その時点の検査経路で双方向にメッセージを往復できたという証拠になる。

制御側はその後、ローカル方針に基づきコンポーネントごとのペアを指名する。通常指名では USE-CANDIDATE を付けたチェックを送る。RFC 8445 はこの方式を残し、RFC 5245 の積極的指名を削除した。

候補優先度、チェック成功、有効化、指名、双方での選択は別々の出来事である。有効だから選択済みとは限らず、指名されたから永久に使えるわけでもない。「ICE 接続済み」という一つの緑色表示だけを保存すると、どの証拠が得られ、どれが抜けたのかを後で復元できない。

信頼は ICE の外から持ち込まれる

ICE はシグナリング接続がすでにあることを前提とし、その接続自体の NAT 越えを担わない。候補、ユーザー名フラグメント、短期パスワードは、その外部境界を通って到着する。

STUN のメッセージ完全性は重要だが、鍵が正しい相手に安全に届いたという前提を引き継ぐ。シグナリングが候補や資格情報を差し替えたなら、ICE は誤った材料に対して正確に動作し得る。RFC 8445 が偽の無効、偽の有効、偽のピア反射候補を検討するのはそのためだ。

「有効」は、そのトランザクションと資格情報に基づく状態機械上の判定である。IP アドレスの所有証明でも、相手組織の身元証明でもない。

同意の有効期限は選択状態と別に進む

RFC 7675 は、最初の ICE 成功を候補ペアへの送信に対する初期のアプリケーション同意として扱う。ただし人の操作は介在しないと明記する。この同意は一つの 5 タプルに限られ、要求と応答による更新がなければ失効する。

選択ペアの記録が残っていても、最後の同意確認は古くなり得る。ICE だけでは同意終了の時点も分からない。したがって、選択したペア、対象 5 タプル、直近の更新、別系統で得た人または事業上の許可を独立して管理する必要がある。

さらに、ICE はメディアを暗号化しない。メディアの機密性と完全性、端点認証は別の仕組みが担い、アプリケーションが復号・受理を判断する。経路が選ばれたという証拠から、音声が聞こえた、SLA を満たした、会議が成功したとは推論できない。

到達できるアドレスを公開してよいとは限らない

RFC 8828 がホスト候補のプライバシーを扱うのは、候補情報がネットワーク構成を漏らすからだ。アドレスを知ったこと、そこへ到達できたこと、公開する権利を持つことはそれぞれ異なる。

RFC 5128 は直接経路が成立せず中継が必要になる場合も示す。指名済みのペアが、直接的、安価、安定、第三者非依存だという保証はない。

Lu Heng の現実レイヤーの考え方に沿えば、台帳は段階を保つべきだ。役割主張、競合解決、認証された候補交換、完全性を確認したチェック、成功ペア、指名、双方の選択、現在の同意、保護された通信、アプリケーション受理、サービス成果である。下段の証拠に上段の権限を借りさせてはならない。

RFC 5245 は現在では歴史的文書であり、共通 ICE 手順は RFC 8445、SDP のオファー／アンサーは RFC 8839 が引き継いだ。実装監査では適用世代を確認する必要がある。それでも、乱数が決めるのは仕事の分担だけ、という境界は変わらない。

出典