要約

  • RIPE NCCは、警告後も復旧しなかった委任RPKI認証局35件を、修復の最終猶予を置いて失効させたと発表した。条件は最新のマニフェストと証明書失効リストを長期間発見・検証できないことだ。短時間の通信断や経路広告の撤回を指す規則ではない。
  • NROの2026年10月の比較資料は、RIPE NCCの90日とAPNICの60日を並べている。これは地域ごとの規則であり、世界共通のRPKI標準ではない。
  • 最後に検証できた時刻、失敗の始点、通知の送達、運用者の対応、証明書の最終状態を記録する必要がある。認証局は再作成できても、元の証明書状態を巻き戻すことはできない。

35件の失効で時計が動き始めた

今回の発表は日付と手順を示している。RIPE NCCは9月24日、RIPEのルーティング・ワーキンググループに、6月9日から機能していない委任認証局の追跡を始めたと報告した。第一陣の利用者には9月14日に警告を送り、修復のためさらに一週間を設けた。その後も機能しなかった35件を失効させたという。この数はRIPE NCCが報告した初回処理の件数であり、地域内の全ての停止中認証局を独立に数えた結果ではない。

今後は、登録ユーザーに7日、30日、60日の時点で通知し、90日を超えても復旧しなければ失効する手順が示された。RPKIダッシュボードには診断情報も追加された。抽象的な政策が、運用者が確認できる手順と日付に置き換わった。

90日が測る条件

RIPE-847は条件を限定している。RIPE NCCが委任認証局の最新マニフェストと証明書失効リスト（CRL）を3か月を超えて発見・検証できなければ、資源証明書を失効させる。新しいマニフェストを探す合理的な努力を求め、最新データを検証できないときと失効時に運用者へ通知する。

マニフェストは認証局が公開する署名済みオブジェクトを列挙し、CRLは失効した証明書を記録する。資源PKIのその枝を利用するには、検証器が最新の公開データを検証できなければならない。ここでいう「機能停止」は、全ての通信経路が常時正常であることを求めるものではない。別の経路から有効なマニフェストを検出・検証できる部分的な障害と、公開データが長期間古いままの状態は区別される。

したがって長い期限は、あらゆるサービス断のタイマーではない。特定の委任認証局を整理する規則だ。RIPEの分析によれば、最新マニフェストとCRLが数か月ない時点で、公開オブジェクトはすでに古い。失効すればルーティング安全性が自動的に向上する、あるいは短い障害で全ての経路認可が直ちに無効になる、という説明ではない。資料は検証器の負荷削減量も、経路受理が変わったかどうかも示していない。

同じ比較表に並ぶ二つの期限

NROが10月9日に公開した2026年第3四半期のRIR政策比較は、RIPE NCCの90日とAPNICの60日を並べる。PDFは、各RIR共通の政策声明ではなく参照資料であり、発行時点で正確でも、その後の実装によって古くなり得ると明記している。実際の要件は各地域の政策とサービス状況で確認する必要がある。

APNICのprop-166も、現在のマニフェストまたはCRLを長期間発見・検証できない委任型、または自己ホスト型の認証局を対象とする。暦月の日数が一定でないため、影響分析では60日を採用した。提案はAPNIC 60で合意され、2025年12月に執行評議会の承認を受けた。APNIC 61の資料では、技術実装が完了したとされている。一方、RIPE NCCの別個の政策は3か月を定め、運用上は90日とする。

これは矛盾ではない。対象となる長期停止状態は似ていても、地域ごとの政策手続きが異なる期限を選んだ。比較資料の数字を全RIR、ホスト型認証局、あらゆる公開障害に適用できる世界共通値と見なしてはいけない。NROは一覧を示し、APNICとRIPE NCCの資料が個別の運用規則を示す。

通知は制御の一部

運用者が計測内容を確認できなければ期限は役に立たない。最後に検証できたマニフェストとCRL、最新データの検証が初めて失敗した時刻、通知を受けた連絡先、運用者の対応、証明書の最終状態を残すべきだ。時刻記録がなければ、「90日機能停止」の内実が、認証局そのものの故障なのか、発見経路や連絡先の問題なのか、観測不足なのか分からない。

通知は介入できる時間もつくる。公開を復旧して親側が再発見できるか確かめる、あるいは委任認証局をもう使わないと判断する機会になる。RIPE NCCによれば、失効後でもダッシュボードの通常手続きで認証局を再作成できる。ただし、それは回復経路であり、以前の証明書を元に戻す操作ではない。

Heng LuのNote 70は、これらの政策を証明する資料ではなく、編集上の視点を与える。登録機能の継続と、機関が行使する権限の範囲を分けて考える視点だ。ここでの統制は一般的な制度主張より狭い。公開された条件、監視期間、通知、証明書状態の変更である。その正当性は、各段階を後から確認できるかにかかっている。

運用者が追うべき記録

委任RPKIを使う運用者は、親RIRと導入形態に応じた期限を把握したい。認証局の担当者と連絡先、最後のマニフェスト・CRL検証、最初の失敗、通知と応答、最終状態を記録する。通知を受けたら、Webページや単一の転送経路が応答するかではなく、最新かつ検証可能なデータを公開できるかを確認する。

公開をやめた認証局なら、親の処理を待つより自主的に失効させる選択肢がある。引き続き必要なら、親の監視が回復を観測できる時間を残して修復する。60日や90日は、重要な公開点を放置する猶予ではなく、持続する機能停止状態に対する政策上の上限だ。

タイマーの下にある判断

規則はコストを分ける。停止中の認証局は検証器の繰り返し取得や古い状態のノイズを生む。整理すれば、依存側が無効な公開点を何度も巡回せずに済む。一方、資源保有者は、登録機関が障害を正確に検出し、適切な連絡先に通知し、復旧手段を保つことに依存する。

だから通知と証拠は規則の中核にある。日時に基づく期限が客観的であるには、その日時が検証可能な状態を示さなければならない。RIRは測定方法を公開し、発行障害と探索障害を分け、通知・応答の記録を保存し、期限切れオブジェクトと管理上失効した証明書を区別できる。

結論は全てのRIRが同じ日数にすべきということではない。運用者が、自分に適用される日数、測っている条件、証明書状態が変わる時点を確認できることが重要だ。RIPE NCCの最初の35件は規則が実運用に移ったことを示す。APNICの60日は、比較が統一を意味しないことを示す。各認証局について問うべきなのは、どのデータの検証が止まり、いつ時計が動き、どの証拠なら失効を止められたかだ。

参照資料： NROの2026-Q3告知、Q3比較PDF、Q2比較PDF、RIPE NCC実装状況、RIPE NCCの9月24日運用報告、RIPE-847、APNIC prop-166、APNIC 61実装報告、Heng Lu, Note 70。