要約

  • RPKI の導入には、認可カバレッジ、バリデータの使用、ルーティングの適用という少なくとも3つの異なる側面があります。これらを1つのパーセンテージにまとめると、セキュリティが向上している場所と、制度上の障害が影響を及ぼす範囲が広がっている場所が隠れてしまいます。
  • セキュリティ上の利点は重要です。許可されない発信元は、暗号検証可能なリソース権限と照合できます。ただし、分類は動機を証明したり、Invalid ルートが攻撃、古いデータ、移行、最大長の誤り、正当なサービス契約のいずれに起因するかを特定したりするものではありません。
  • 2023年から2024年の測定では、ROA でカバーされるプレフィックスが急速に増加した一方、何千もの Invalid アナウンスが持続し、そのほとんどは特定可能な運用状況に起因していました。したがって、カバレッジの拡大は防御能力と誤った認可のコストの両方を高めます。
  • 2021年1月の RIPE NCC の公開上の不整合は、リソース移行、非同期の証明書更新、異なるバリデータの挙動がどのように狭い欠陥を増幅させるかを示しました。教訓は RPKI が失敗したということではなく、導入が実装の詳細を制度上のリスク管理に変えるということです。
  • 証明書の移植性、委任制御、アトミック公開、多様なバリデーション、外部経路監視、訓練された修正は、導入とともに成長すべきです。バリデータレベルの冗長性は、権限チェーンの上位で発行された共通の誤った事実を治癒することはできません。
  • 補償は制御された行為に結びつけるべきです。リソース保持者は自らの認可に責任を持ち、認証局およびリポジトリプロバイダは自らが制御できる予防可能なエラーの結果を負担し、検証運用者は自ら選択したルーティング処理に責任を負うべきです。
  • 番号資源協会（NRS）は、権限の限界、証明権、移植性、損失配分を、障害後の裁量的な好意ではなく、通常の会員保護として主張することで導入を支援できます。

導入はインシデント係数を変化させる

セキュリティ技術はしばしば、導入数をカウントし、阻止された攻撃を推定することで評価されます。このアプローチは階層的なインフラにとっては必要ですが不完全です。導入は悪意のあるアナウンスが阻止される確率を変えるだけでなく、同じ上流の誤りに反応できるネットワークの数を変えます。

認可のないプレフィックスを考えてみましょう。偶発的または敵対的な発信元アナウンスは、通常の BGP 制御、フィルター、商業関係が伝播を決定するルーティング環境に入ります。RPKI カバレッジは、許可された発信元とプレフィックス長に関する署名付きステートメントを追加します。検証ネットワークは経路をこのステートメントと比較できます。経路が競合する場合、ネットワークはそれを拒否し、優先度を下げ、エクスポートを制限し、調査対象としてマークできます。共有された事実により、多くのネットワークが中央ルーティングコントローラーなしでより良い決定を下せるようになります。

次に、誤った署名付きステートメントを考えてみましょう。保持者は正当な発信元を省略したり、不適切な最大長を設定したり、サービス変更時に認可を更新しなかったり、アカウントへのタイムリーなアクセスを失ったりする可能性があります。親認証局がリソース範囲を不整合に更新する可能性があります。リポジトリが不完全な状態を公開する可能性があります。依拠当事者が狭い欠陥を広範な拒否に変える解釈を適用する可能性があります。正しい証明を有用にするのと同じ分散が、誤った証明を重大なものにします。

規模の関係は完全に線形ではありません。運用者は異なるポリシーを適用します。Invalid アナウンスを拒否する者もいれば、優先度を下げるだけ、または選択された境界でのみ適用する者もいます。キャッシュ状態と更新タイミングは異なります。重複する経路は部分的な到達可能性を維持する可能性があります。コンテンツネットワーク、アクセスプロバイダ、小規模企業は同じ露出に直面しません。それでも方向性は明確です。より多くの重要なネットワークが分類を使用するにつれて、上流の誤りの期待外部コストは上昇します。

これはインシデント係数として説明できます。引き金となる欠陥は、証明書範囲、リポジトリ配布、バリデータ解釈、ルーティングポリシーの厳格性、トポロジ、期間によって増幅されます。導入は許可されない発信元に対する保護係数を増加させ、エラーによる Invalid 状態に対する有害係数を増加させる可能性があります。成熟したガバナンスは前者を最大化しながら後者を制限しようとします。導入チャートだけではどちらも報告されません。

カバレッジ、バリデーション、適用は異なる分母です

公の議論では、ある国、地域、またはインターネットの一部が RPKI を導入したと言われることがよくあります。この表現は少なくとも3つの異なる行為を指す可能性があります。

1つ目は認可です。リソース保持者はアドレス範囲をカバーする ROA を作成し、プレフィックス長の制約の下で、それを発信することが許可された1つ以上の自律システムを特定します。カバレッジはアナウンスされたプレフィックス、アドレス単位、発信元ペア、または登録リソースによってカウントできます。それぞれの分母は異なる質問に答えます。少数の大きなアドレスブロックがアドレス加重の数値を支配する一方、多くの小さなネットワークがプレフィックスカウントを支配します。IPv4 と IPv6 の数値は統合すべきではありません。

2つ目はバリデーションです。依拠当事者はリポジトリ資料を取得し、証明書と署名エンティティを検証し、ルーターやポリシーシステム向けの検証済みペイロードを生成します。ネットワークは回復力のために複数のバリデータを運用することがあります。公開観測は、フェッチインフラがリゾルバー、プロキシ、または共有サービスの背後に隠れている可能性があるため、完全なカウントを提供することはほとんどありません。可視インスタンスをカウントすることは自律ネットワークをカウントすることではなく、ネットワークをカウントすることはトラフィックをカウントすることではありません。

3つ目は適用です。ルーターまたはルートポリシーシステムはバリデーション状態を使用します。Invalid ルートを拒否したり、ローカルプリファレンスを下げたり、選択的処理のためにマークしたり、ピアとは異なる方法でカスタマー関係を保護したり、選択を変更せずに観察したりします。適用はアドレスファミリ、ルータークラス、ロケーション、またはビジネス関係によって部分的であり得ます。また、インシデント中に変更される可能性もあります。

これらの分母は相互作用しますが、別々に保つ必要があります。高い ROA カバレッジと弱い適用は、多くのネットワークがまだ決定的に使用していない証明を作り出します。不完全または低品質の認可による強い適用は、回避可能な切断を引き起こす可能性があります。同じ誤った署名状態に対して同じソフトウェアを実行する多くのバリデータは、運用上の冗長性を提供しますが、事実の多様性は提供しません。大規模なトランジットまたはコンテンツネットワークが大規模に適用すると、何千もの小規模バリデータよりも多くの経路に影響を与える可能性があります。

RIPE NCC 年次報告書2025は、定義が重要な理由を示しています。同報告書は、IPv4 ROA カバレッジが71%から75%に、IPv6 カバレッジが40%から42%に、検証済み ROA が47,566から54,857に、証明書が21,045から21,751にそれぞれ増加したと報告しました。これらは認可の成長を示す有用な指標です。しかし、それらは拒否の対象となるグローバルトラフィックの割合、各バリデータの設定、または将来のエラーの到達可能性への影響を確定するものではありません。制度的な主張は、どの層と分母を測定したかを正確に指定すべきです。

セキュリティの向上は現実であり、薄めるべきではありません

集中批判は、あたかも階層構造が発信元検証を望ましくなくするかのように、不注意に使われることがあります。この結論は基本的な問題を無視しています。BGP はすべての発信元アナウンスに暗号権限を確立するように設計されていませんでした。攻撃者や偶発的な設定ミスが他のネットワークのプレフィックスをアナウンスする可能性があります。従来のプレフィックスフィルター、Internet Routing Registry データ、二者間の知識、運用対応は役立ちますが、不均一でグローバルに維持することが難しいことがよくあります。

RPKI は、限定的で機械検証可能な回答を提供します。アナウンスされたプレフィックスと発信元は、関連するリソース証明書チェーンから導出された少なくとも1つの有効な認可に適合しますか？ この回答は経路全体を保護するわけでも、善意を証明するわけでも、可用性を保証するわけでもありません。それでも、攻撃者やエラーが悪用する曖昧さを取り除きます。トポロジ的に重要な到達可能性を持つネットワークによって、許可されないより具体的なプレフィックスや偽の発信元アナウンスが拒否されると、そのアナウンスを通じてトラフィックがリダイレクトされたりブラックホール化されたりする可能性は低くなります。

利点はインシデント前にも及びます。運用者は自らのリソースを監視し、古いまたは競合する認可を検出し、提案された経路変更をテストできます。トランジットプロバイダはより明確なカスタマー制御を構築できます。公の監視者は署名済み認可を観測された BGP 状態と比較できます。調達およびリスクチームは、経路がカバーされているか、運用者に修正プラクティスがあるかを問うことができます。これらは証明品質の真の改善です。

したがって、制度的リスクへの正しい対応は、説明責任の低いルーティング環境を維持することではありません。新しい権限が、それが生み出しうる結果と同じくらい観察可能で異議申し立て可能であることを要求することです。保持者が意味のある制御を維持し、プロバイダが信頼できる状態を公開し、バリデータが安全に障害を起こし、運用者が処理を文書化し、影響を受けるネットワークが迅速な修正を得られるとき、ルート発信元検証はより防御可能になります。

懐疑主義はシステムを改善すべきであり、保護と権力の区別を曖昧にするべきではありません。RPKI がハイジャックを排除するという誤った主張は誇大広告です。証明書階層がすべて受け入れられないという誤った主張も同様に役に立ちません。実証的な課題は、防止された伝播、誤った分類、修正時間、損失配分を一緒に測定することです。

Invalid は行動の判断ではなく分類です

Invalid ルートとは、観測されたプレフィックスと発信元が関連する有効な認可に適合しないルートです。この状態はルーティングポリシーをサポートするのに十分強力です。しかし、不一致が存在する理由の完全な説明ではありません。

認可はネットワーク移行後に誤った発信元を指定している可能性があります。その最大長は正当なより具体的なアナウンスを許可しない可能性があります。顧客が一時的にプレフィックスを発信する DDoS 緩和プロバイダを起動する可能性があります。リースされたブロックは、保持者の現在の ROA に含まれていない当事者によってアナウンスされる可能性があります。企業グループは複数の自律システムを使用していますが、公開組織記録が遅れる可能性があります。移行により、依存するすべての認可が更新されるよりも速くリソース範囲が変更される可能性があります。一部のケースは確かにハイジャックである可能性があります。状態だけではそれらを区別できません。

RouteViews、RIPE RIS、日次 RPKI スナップショットを使用した NDSS 2026の研究は、2023年1月から2024年7月までの期間を調査しました。調査期間中、ROA でカバーされるアナウンス済みプレフィックスの割合は43.6%から52.8%に上昇しました。観測された Invalid プレフィックス数は7,989から6,802に減少し、収集された BGP データの総プレフィックスの約0.7%から0.6%を占めました。複数のスナップショットにわたって、研究者は42,654のユニークな Invalid プレフィックスを観測しました。以前の分類方法を再現し、追加のケースを調査する前に、35,445（83.1%）を潜在的な設定ミスカテゴリに帰属させました。

これらの数値は限界を理解して読むべきです。コレクターの可視性はサンプリングされます。組織マッピングと関係推論は不完全です。設定ミスと一致するカテゴリは、すべてのアナウンスが無害であったことを証明するものではありません。それでもこの研究は、導入とエラーを一緒に測定しなければならない理由を示しています。カバレッジは急速に成長しましたが、Invalid アナウンスは消えませんでした。残りのセットには、通常の運用上の取り決めと未解決のリスクの両方が含まれていました。

同じ研究では、リース関連の Invalid で測定可能な切断が見つかりました。その手法では、直接リースのプレフィックスで4.5%、ブローカーリースのプレフィックスで5.7%でした。これは普遍的な障害率を確立するものではありません。リソース保持者、リース保有者、発信元、レジストリ記録が分離されている場合、分類が商業的な害になる可能性があることを示しています。真剣な導入ポリシーは、これらの関係を統計的ノイズではなく保証問題として扱います。

2021年1月は増幅に関するコンパクトな教訓

2021年1月7日、RIPE NCC は地域間リソース移行中に一貫性のない RPKI 証明書状態を公開しました。その事後分析は、親運用証明書が関連するメンバー子証明書よりも先に更新されたことを説明しました。期間中、子は親にもはや存在しないリソースを過剰に主張していました。

引き金となったイベントは狭いものでした。移行と証明書更新プロセス間の順序問題です。増幅はアーキテクチャと実装の多様性から来ました。一部の古い依拠当事者ソフトウェアは、1つのエントリが無効な場合にマニフェストにリストされたすべての証明書を拒否する厳格な解釈を適用しました。RIPE NCC は、これらのバリデータが不整合期間中に RIPE リソースをカバーするすべての RPKI 証明書を拒否し、アクセスログから327の依拠当事者インスタンスが影響を受けたと推定しました。

いくつかの事実が重要です。不整合は限られた時間続きました。すべての依拠当事者が同じように振る舞ったわけではありません。すべての運用者が影響を受けた出力に基づいて経路を拒否したわけではありません。事後分析は完全なグローバル障害数を主張しませんでした。しかし、移行から親子の不整合、バリデータ拒否、潜在的なルーティング結果に至る因果連鎖を特定しました。

修正措置も同様に有益でした。RIPE NCC は、証明書が変更されるたびにメンバー証明書をチェックし、過剰主張に対して再発行を強制し、不整合期間を短縮し、アトミック公開を追求することを提案しました。また、現在の依拠当事者バージョンを推奨しました。これらは工学的な対応ですが、ガバナンスの制御でもあります。それぞれが制度的な誤りが伝わる範囲を制限するからです。

このエピソードは、中央集権的な認証が常に失敗する証拠として使われるべきではありません。通常のレジストリイベントが証明書階層やバリデータ解釈と、単純な導入統計が見逃す方法で相互作用する可能性がある証拠です。移行完了メトリクスはイベントを成功としてカウントするかもしれません。ROA カバレッジチャートはほとんど動かないかもしれません。しかし、権限が変更された順序は、遠く離れた依拠当事者にとって重要でした。

したがって、すべての導入報告書にはインシデント証拠を含めるべきです。影響を受けた証明書範囲、可視の依拠当事者、変更された検証済みペイロード、観測された経路、利用可能な場合は運用者ポリシー、修正までの時間、残存する不確実性。この記録がなければ、機関は分母を称賛し、部外者は説明されない残余を負います。

制度的リスクは異なる制御されたアクションを通じて伝わります

RPKI が1つのサービスとして説明されると責任が曖昧になります。それは異なる当事者によって実行される制御されたアクションの連鎖です。

リソース保持者は、その決定をプロバイダに委任していない限り、どの発信元とプレフィックス長を認可するかを決定します。認証局はリソース範囲を表す証明書を発行および更新します。公開サービスは証明書、失効情報、マニフェスト、署名エンティティを利用可能にします。依拠当事者ソフトウェアはこれらの資料を取得し、標準と実装の選択に従って検証します。キャッシュは検証済みペイロードをルーターに提供します。ネットワーク運用者は、検証状態がカスタマー、ピア、またはトランジットから受信した経路にどのように影響するかを決定します。その後、BGP は結果を独立して制御されるネットワークを通じて伝播させます。

各アクションには異なるエラータイプがあります。保持者は広すぎる、狭すぎる、または遅すぎる認可を行う可能性があります。認証局は、失効、拒否、誤った範囲設定、または変更の順序付けを誤る可能性があります。リポジトリは到達不能、古い、または不整合である可能性があります。バリデータは過剰に拒否したり、データを保持しすぎたり、早く期限切れにしたり、別の実装から逸脱したりする可能性があります。ルーターは誤ったポリシーを誤ったセッションに適用する可能性があります。運用者はテストされた例外パスなしで適用したり、保護が約束された場所で適用を怠ったりする可能性があります。

この連鎖は権限においては階層的ですが、行動においては分散されています。この区別は2つの逆の誤りを防ぎます。1つ目は、レジストリが Invalid 状態に寄与したという理由だけで、レジストリが直接経路をオフにしたと主張すること。2つ目は、自律的な運用者が最終的なルーティング決定を行ったため、レジストリを免責すること。因果関係は共有されることはあっても、無限になることはありません。

ガバナンスは証拠と救済策を制御されたリンクに結びつけるべきです。誰がリソース範囲を変更したか？ 誰が署名したか？ 誰が公開したか？ 誰が検証したか？ 誰がペイロードを送信したか？ 誰が経路処理を変更したか？ 各当事者はその時点で何を観測できたか？ 各当事者はどのような修正を実行できたか？ これにより、1つの組織がインターネット全体を制御していると偽ることなく、防御可能な説明責任のストーリーが得られます。

また、補償にも役立ちます。正当な発信元を省略した保持者は、保持者が要求したものを正確に公開した認証プロバイダにすべての損失を転嫁すべきではありません。不整合な状態を公開したプロバイダは、運用者の独立した拒否ポリシーの背後に隠れるべきではありません。冗長性なしに脆い適用を設定した運用者は、そのローカルな選択を認証局からの避けられないコマンドとして描写すべきではありません。損失は、制御、予見可能性、危害を防止または制限する能力に従うべきです。

集中型権限は出口が儀式的であるときに最も危険です

リソース保持者は、オンラインポータルで ROA を作成および削除できるため、ROA を制御しているように見えるかもしれません。権限の実際の分布は異なる可能性があります。レジストリが認証局を運営し、秘密鍵を保持し、アカウントアクセスを制御し、唯一受け入れられる公開ポイントを提供し、広範な条件でサービスを停止できる場合、保持者の制御は条件付きです。アクションを要求することはできますが、紛争後に署名や公開を継続できない可能性があります。

ホステッドサービスは価値があります。小規模ネットワークはサポートなしに機密性の高い暗号システムを運用することを強制されるべきではありません。制度的な問題は、利便性が移行不可能な依存関係になるときに生じます。保持者がホステッドから委任認証に切り替えられず、公開プロバイダを変更できず、必要な履歴をエクスポートできず、サービス紛争中に継続性を維持できない場合、導入はプロバイダの実質的なレバレッジを増加させています。

委任認証は、保持者または選択された専門家が下位の署名鍵を制御できるようにすることで、この集中を減らすことができます。しかし、親権限を排除するものではありません。親は下位が運用する証明書を引き続き変更または失効させることができます。また、委任は公開の信頼性、鍵の喪失、スタッフの能力を解決するものでもありません。通常のバランスを変更します。保持者は日常の署名を制御し、運用サポートを権限の恒久的な管理から分離できます。

移植性は鍵素材の所有以上のものを含むべきです。保持者は、証明書、署名エンティティ、公開参照、現在および意図された変更、監査証跡、依存関係の理解可能な記録を必要とします。移行は競合する有効な状態や公開のギャップを避けるべきです。送信側と受信側のプロバイダは、独立した観測を伴う限定された引き継ぎを必要とします。親は移行を無関係な商業条件を課すために使用すべきではありません。

したがって、出口はリスク管理です。保持者が離脱できることを知っているプロバイダは、サービス品質を維持し、不利なアクションを説明し、サポートを権限から分離して価格設定する強いインセンティブを持ちます。離脱できる保持者は、紛争が訴訟に達する前に信頼できる救済策を持ちます。RPKI の適用が増加するにつれて、儀式的な出口は許容できなくなります。離脱の失敗の結果は、ポータルでの不便さではなく、グローバルな到達可能性を認可する能力の低下である可能性があるからです。

バリデーションの多様性は独立した真実を生み出しません

複数のバリデータを運用することは健全なプラクティスです。プロセス障害、ローカルホストの問題、ソフトウェアのバグ、ネットワーク分離、実装固有の動作から保護します。別々に維持された実装を使用すると、同一のインスタンスが再現するであろう逸脱を明らかにできます。地理的および管理的に別々のキャッシュは、共通のローカル依存関係を減らします。

しかし、バリデーションの多様性には限界があります。バリデータは一般に同じ署名階層を消費します。制御する証明書または ROA が誤っており、有効に署名されている場合、すべての準拠バリデータは同じ有害な出力に同意する可能性があります。その場合の一致は、一貫した計算を示すものであり、正しい制度的判断を示すものではありません。

この区別は重要です。組織はしばしば、冗長性があたかも集中を解決するかのように説明します。誤った親事実の下にある5つのバリデータは、展開を回復力のあるものにする一方で、共有された誤りをより確実に利用可能にすることができます。複数のリポジトリインスタンスは古いまたは誤った資料を複製できます。独立したソフトウェアは同じ過剰主張を正しく拒否できます。共通の権限の下での多様性は権限を多様化しません。

救済策は多層的です。バリデータ運用者は現在の実装を使用し、出力を比較し、適時性を監視し、障害モードをテストすべきです。認証プロバイダはアトミックまたは安全に順序付けられた公開、独立した公開前チェック、外部から可視の変更ログを使用すべきです。リソース保持者は重要な状態変更の通知を受け取り、検証済みの修正パスを維持すべきです。運用者は、文書化されていない最初の答えに決定を任せるのではなく、競合するバリデータ出力がルーティングにどのように影響するかを定義すべきです。

2020年の依拠当事者に関する研究はさらなる警告を提供しています。3つの認証局を観察した研究者は、一貫性のないフェッチ動作を特定し、特定のテスト条件下で観測された依拠当事者のほぼ90%が委任公開ポイントに接続できなかったことを発見しました。著者らは、そのような動作が誤った無効状態と到達可能性の損失を引き起こす可能性があると警告しました。この実験からインターネット全体の発生率を推測することはできませんが、実装の多様性とリポジトリトポロジがそれ自体の相関弱点を導入する可能性があることを示しています。

したがって、導入報告はインスタンス数を権限の多様性、ソフトウェアの多様性、ネットワークパスの多様性、管理上の独立性から区別すべきです。高いインスタンス数は、依然として1つの管理サービス、1つのソフトウェアファミリー、または1つの信頼決定を表す可能性があります。回復力の主張は、各複製がどの障害クラスを生存できるかを特定するときにのみ信頼できます。

運用者の自律性は現実ですが、収束は依然として共通の害を引き起こす可能性があります

標準は検証状態をルーティングアクションから分離します。ルーターは経路を Valid、Invalid、または NotFound としてマークし、ポリシーをネットワークに任せることができます。これはインターネットルーティングのコア原則を維持します。自律ネットワークは、技術的および商業的な状況に応じて、どの経路を受け入れ、優先するかを決定します。

自律性は相関する結果を防ぐものではありません。大規模運用者は同じセキュリティガイドラインを読み、同様のベンダー例を使用し、Invalid アナウンスを拒否する同様の圧力に直面します。トポロジ的に重要な数少ないネットワークが多くの下流経路に影響を与える可能性があります。管理されたセキュリティサービスは、1つのポリシーを多数の顧客に分散できます。調達要件は、自主的な制御を実質的な市場期待に変えることができます。収束は合理的かもしれませんが、共通の上流エラーのコストを増大させます。

答えは緩和的なルーティングを要求することではありません。発信元検証を約束する運用者は、明らかに許可されていない経路を拒否できるべきです。また、何を拒否しているのか、信頼できる証拠が誤りを示したときにどのように反応するかを知るべきです。ポリシーはピアクラスとアドレスファミリごとに明示的であるべきです。バリデーション状態の変更は破壊的なルーター動作を引き起こすべきではありません。複数のキャッシュ、適時性アラーム、安全な再評価は、回避可能な不安定性を減らします。

例外メカニズムには注意が必要です。ローカルアサーションは、不利な証明書アクションや文書化されたエラーの際に到達可能性を維持できますが、ローカルビューのみを変更します。不注意に使用されると、例外は不十分な認可衛生を隠し、保護を弱める可能性があります。利用できない場合、ネットワークは疑わしい Invalid 状態に従うか、即席のフィルターを通じて重要な顧客を復元するかを選択しなければならない場合があります。制御された例外は、影響を受けるプレフィックスと発信元、正当化、承認者、開始、有効期限、レビュー条件を指定すべきです。

運用者は、機密性の高いトポロジを明らかにせずに、集約された適用の説明を公開すべきです。Invalid がカスタマー、ピア、トランジットから拒否されるかどうか、IPv4 と IPv6 で異なるかどうか、必要なバリデータビューの数、古いデータ時の動作、影響を受けるネットワークが証拠を提出する方法を述べることができます。透明性は導入を測定可能にし、保持者に現実的な修正パスを提供します。

最終的なルーティング決定はローカルのままです。脆弱なポリシーに対する責任も同様です。制度的リスク移転は、利用可能な回復力制御を無視した運用者に対する免疫に、有効なセキュリティ推奨を変えるべきではありません。

移行、リース、緩和は継ぎ目を露出させます

静的な所有権の例では、RPKI は運用ネットワークよりも単純に見えます。リスクは移行と共有された役割で現れます。

IPv4 移行は認識されるリソース権限を変更します。売り手は既存の ROA、委任証明書、リポジトリ参照、カスタマールートを持っている可能性があります。買い手は異なる発信元を計画し、トランジットプロバイダを通じてアナウンスし、ブロックを分割する可能性があります。レジストリの認識が古い認可の撤回または新しい認可の公開よりも先に変更される場合、取引は Invalid 状態または有用な認可のない期間を生み出す可能性があります。2021年1月のインシデントは、当事者を超えた親子リソースの順序付けさえも重要であることを示しました。

リースは登録保持者を運用発信元から分離します。貸し手は RPKI を制御する一方、借り手はタイムリーな認可に依存します。ブローカーは商業条件を調整しますが、証明書権限を持たない場合があります。トランジットまたはホスティングプロバイダが借り手に代わってアナウンスする場合があります。契約が終了すると、認可は適切なタイミングで削除されなければなりません。早すぎると切断を引き起こし、遅すぎると商業関係を超えた権限を残します。

DDoS 緩和は別の一時的な発信元関係を生み出します。攻撃中、専門家はより具体的な経路を発信し、フィルタリングされたトラフィックをトンネルを通じて戻します。認可がないか、最大長が狭すぎる場合、保護アクションはまさに顧客がストレス下にあるときに Invalid として分類される可能性があります。過度に広い事前認可は、たまにしか使用されないプロバイダの権限を拡大する可能性があります。正しい設計は、範囲、起動証拠、失効を調整します。

合併、ネットワークアウトソーシング、企業再編も同様の継ぎ目を生み出します。法的エンティティ、リソース保持者、運用ネットワーク、公開名は異なる日に変更される可能性があります。RPKI は商業取引を決定しませんが、その状態は不完全な移行をルーティング結果を通じて可視にすることができます。

これらのケースは、導入品質を ROA が存在するかどうかだけで評価できない理由を説明しています。より良い尺度は、認可が変更を通じて運用関係を正確に追跡するかどうかです。移行記録、証明書変更、観測された BGP、修正間隔を一緒に調査すべきです。移行をうまく処理できない高カバレッジ環境は、通常の日はより安全であり、権限が最も重要となる瞬間により脆弱である可能性があります。

外部監視は測定対象の権限から独立していなければなりません

認証プロバイダには内部アラームが必要ですが、内部保証だけが正確性の唯一の証拠であってはなりません。状態に署名または公開する組織は、エラーを迅速に検出するインセンティブを持ちますが、自らのパフォーマンスを説明するために使用する記録も制御します。独立した観測は異なる視点を提供します。

NIST RPKI Monitor は利用可能な証拠のタイプを示しています。ROA を RouteViews BGP データと6時間間隔で比較し、日付、アドレスファミリ、レジストリ地域による分析を可能にします。発信元不一致や最大長不一致などの Invalid 原因を区別し、プレフィックス-発信元ペアをリストし、重複経路を調査し、選択された間隔でのバリデーション状態の変更を記録します。その手法はすべてのパスや運用者ポリシーを観測するわけではありません。選択されたグローバルルーティングデータと署名済み認可が示したものの再現可能な外部レポートを作成します。

RIPE RIS と RouteViews は、参加ピアとコレクターからのアーカイブされた BGP 観測を追加します。独立したバリデータは署名済み状態のスナップショットとログを保存できます。運用者のルッキンググラスと到達可能性テストは、影響を受けた経路が選択された場所から引き続き可視であるかどうかを示すことができます。インシデント報告はこれらのクロックを相互参照できます。

監視設計はプロバイダが自らの作業を評価することを防ぐべきです。公開記録は、証明書と認可の変更、リポジトリの適時性、バリデータの不一致、可視のルート状態変更、報告された到達可能性の影響、修正マイルストーンを特定すべきです。機密性の高いアカウント証拠は保護されたままでよいです。外部結果は、別の資格のある審査員がタイムラインを再現するのに十分な詳細を必要とします。

測定の限界は明示的であるべきです。1つのコレクターで欠落している経路は他の場所で可視である可能性があります。Valid ルートはパス攻撃を通じて依然としてハイジャックされたり、通常の障害を受けたりする可能性があります。Invalid ルートは、運用者が拒否しない場合、到達可能なままである可能性があります。アクセスログはフェッチを示し、必ずしもルーターの適用を示すわけではありません。顧客報告は害を明らかにする可能性がありますが、ルーティング、DNS、トランスポート、アプリケーションの問題を混同します。

これらの限界は不透明性を正当化するものではありません。複数の証拠クラスを正当化します。目標は魔法のグローバルトゥルース入力ではありません。変更が害を引き起こした可能性のある権限が、自らのダッシュボードを通じてのみインシデントを定義できないようにすることです。

修正速度はエンドツーエンドで測定されなければなりません

機関はデータベースを迅速に修正できますが、外部への影響は持続します。エンドツーエンドの復旧には複数の時計があります。

最初の時計はエラー作成から検出までです。リソース保持者がルート障害に気づくか、外部モニターが状態変化を検出するか、認証プロバイダが不整合を発見します。2番目は検出から受け入れられた修正要求までです。アカウントアクセス、本人確認、エスカレーションがこの間隔を決定します。3番目は承認から修正された公開までです。4番目はリポジトリフェッチとバリデータ更新を含みます。5番目はキャッシュからルーターへの配布、ローカルポリシーの再評価、BGP コンバージェンスを含みます。

1つの当事者によって制御される時計のみを報告すると、ユーザー体験よりもパフォーマンスが良く見える可能性があります。認証プロバイダは ROA が承認から数分以内に修正されたと言うかもしれませんが、承認に数時間かかり、バリデータは以前の状態を保持していました。運用者はローカル例外を迅速に復元したと言うかもしれませんが、他のほとんどのネットワークは経路を拒否し続けました。保持者は正しいデータをタイムリーに送信したと言うかもしれませんが、自らの以前の認可がインシデントを引き起こしました。

成熟したサービスは、制御可能な各間隔のパーセンタイル測定値と、シーケンス全体の制限付き外部推定値を公開すべきです。影響の大きいイベントにはタイムスタンプ付きの公開レポートが必要です。定期的な修正は、顧客の機密性を保護するために集約できます。テールパフォーマンスは単純な平均よりも重要です。長時間の停止は、契約、緊急サービス、または小規模運用者の支払い能力を危険にさらす可能性があるからです。

サービス期待は導入を反映すべきです。適用が広まるにつれて、オプションの情報サービスに適した修正目標は不十分になります。権限は、信頼できる到達可能性への影響を伴う証明書エラーに対して24時間対応のエスカレーションを維持すべきです。これはすべての苦情が即座に認可変更を受けることを意味するわけではありません。不正は可能であり、競合する主張には保存が必要です。認証された保持者の修正を異議申し立てられた試みから迅速に区別し、最も狭い安全な暫定措置を適用できることを意味します。

復旧訓練には、移行、最大長エラー、アカウントロックアウト、リポジトリの不整合、バリデータの逸脱、委任プロバイダの障害を含めるべきです。内部インターフェースが完了を報告するときだけでなく、外部モニターと選択された運用者が期待される修正状態を見るときに訓練は成功します。

補償は説明責任を礼儀から規律に変えます

多くのインフラ契約は、広範なカテゴリーの結果的損害を除外しています。ある程度の制限は理解できます。レジストリとセキュリティプロバイダはグローバルルーティングを保証できず、1つのプレフィックスに依存する価値は合理的なサービス料金を超える可能性があります。無制限の責任は有用なサービスを妨げたり、アクセスを prohibitive にしたりする可能性があります。

完全な実質的免疫は逆の問題を生み出します。プロバイダが証明書の発行または公開を制御し、予防可能なエラーが到達可能性に影響を与える可能性を予見でき、その結果生じるコストを一切負担しない場合、導入は保持者とその顧客にリスクを移転しますが、規律は移転しません。謝罪と事後分析は知識を向上させますが、失われた取引や緊急能力を回復するものではありません。

補償は構造化されるべきであり、劇的であってはなりません。サービス credit スキームは、公開または修正のコミットメントの不履行をカバーできます。資金提供された請求メカニズムは、プロバイダが原因の重大なインシデントに対する検証済みの直接対応コストをカバーできます。保険は定義された運用上の障害をカバーできます。プロバイダが因果関係を争う場合には独立した判断が必要です。上限は、すべてのネットワークが同一の露出を持つと偽るのではなく、サービスレベルと制御されたリスクによって変動できます。

請求者は、証明書状態、公開記録、バリデータ証拠、経路観測、文書化された損失を使用して因果連鎖を証明すべきです。基準は、地球上のすべてのネットワークが経路を拒否したことを要求すべきではありません。直接緩和コスト、契約上のサービス罰則、失われた収益、投機的な風評被害を区別すべきです。寄与過失は重要です。古い保持者の認可、弱い運用者の冗長性、または遅れた報告は、プロバイダの責任を排除せずに回復を減らす可能性があります。

金銭以外の救済策も重要です。修正、公的な明確化、証拠の保存、独立したレビュー、手数料の免除、移植性支援、管理の変更は、将来の害を減らす可能性があります。繰り返されるエラーは、保証ステータスとプロバイダの適格性に影響を与えるべきです。

ポイントはすべてのルーティングインシデントを金銭化することではありません。エラーのクラスを防ぐのに最も適した機関が、評判以外に予防に投資する理由を持つことを確実にすることです。導入がそのエラーの爆発半径を増加させる場合、補償能力も増加すべきです。

導入リスクデータセットは通常別々に保たれている事実を結合すべきです

2020〜2027年に対する最も強力な実証テストは、接続されたイベント研究です。既存の情報源はしばしば1つの層を分離します。ROA 数、証明書統計、バリデータ観測、BGP 経路、障害報告、移行ログ。制度的リスクはそれらの間の接続に現れます。

単位は、観測されたプレフィックス-発信元ペアに影響を与える重要な認可状態変更であるべきです。各イベントについて、研究者は時間、認証局、変更前後の認可、最大長変更、リソース移行または公開されたアカウントイベント、リポジトリの適時性、複数の実装からのバリデータ出力、BGP 可視性、重複経路、運用者報告、修正アクション、総期間を記録すべきです。個人および商業的に機密性の高いデータは最小化できます。

イベントは慎重に分類されるべきです。保持者設定、認証アクション、公開の不整合、バリデータエラー、リポジトリ到達不能、移行遷移、リース関係、緩和サービス、疑わしいハイジャック、未解決の不一致、混合原因。分類の信頼度は公開されるべきです。証拠が改善されるにつれて、経路はカテゴリを変更できます。

導入露出は複数のプロキシを通じて推定されるべきです。カバーされたプレフィックス、アドレス単位、可視の検証ネットワーク、既知の実施者のトポロジカルリーチ、影響を受ける経路数、観測された切断。単一のプロキシは限られた公開証拠です。結果は、導入レベルと時間を通じて同じエラークラスを比較すべきです。

分析は利益とコストの両方をテストすべきです。Invalid 処理は可能性のある許可されていない発信元をどのくらいの頻度で制約しましたか？ 正当な運用上の取り決めはどのくらいの頻度で無効になりましたか？ それぞれはどのくらい持続しましたか？ どの証明書またはリポジトリエラーが広範なバリデータ不一致を生み出しましたか？ 重複する Valid ルートは到達可能性を維持しましたか？ 機関が経験を積むにつれて修正は速くなりましたか？ 高い適用環境はクリーンな認可に対するより強いインセンティブを生み出しましたか？

期待される結果は単純な非難ではありません。導入は、稀な上流エラーの重大性を増加させながらも、全体的なルーティング害を減少させる可能性があります。これはより強力な保護策を伴う継続的な導入を支持します。あるいは、一部のアーキテクチャは高い認可カバレッジを示すが、弱い運用修正を示し、トップでの進歩が制度的成熟を上回っていることを示唆します。結合された証拠のみがこれらの結果を区別できます。

2027年のテストは将来的で反証可能であるべきです

2020〜2027年の地平の最終年はまだ完全な記録を提供していません。既に知られている結果としてではなく、公開された質問を伴うテスト期間として扱われるべきです。

第一に、認可の成長は持続的な正当な Invalid の絶対負荷の増加なしに続きますか？ 分母には新たにカバーされたプレフィックスを含め、一時的な展開エラーと長期的な競合を分離すべきです。第二に、認証プロバイダは、グローバルに可視にならなかったイベントを含む完全なインシデント履歴を公開しますか？ 第三に、バリデータとリポジトリ運用者は、保持者が理解できる方法で適時性と逸脱を公開しますか？

第四に、保持者は継続性を失うことなく、ホステッド、委任、適格な公開の取り決めを切り替えられますか？ 第五に、移行とリースの遷移は測定された認可の切り替えを持ちますか？ 第六に、影響を受けた運用者は24時間の修正パスに到達し、合理的な応答を得られますか？ 第七に、大規模な検証ネットワークは、機密性の高いルーティング設計を明らかにすることなく、インシデント分析のためにポリシーと例外について十分に透明ですか？

第八に、プロバイダが制御するエラーが検証された害を引き起こしたときに、補償メカニズムが実際に請求を支払うか、物質的な救済策を提供しますか？ 好意的な広報にのみ存在する救済策は制御ではありません。第九に、独立したモニターは不完全な制度的説明に異議を唱えるのに十分な履歴データを保持していますか？ 第十に、保証監査は導入が重大にした証明書とリポジトリのリスクを対象としていますか？

これらのテストは反証可能です。移植性は完了した移行と時間指定された訓練を通じて実証できます。外部監視は保存されたスナップショットに対して検証できます。修正は最初の信頼できる警告から観測された復旧まで計時できます。補償は匿名化された集計で監査できます。持続的な Invalid は記載された収集限界に対して測定できます。

導入目標はこれらのテストと対になるべきです。修正パフォーマンスを公開することを拒否しながらより多くの ROA を促進するプロバイダは、その権力の利益側のみを報告しています。厳格な拒否を推進するが信頼できるインシデント連絡先を提供しない運用者は、切断する可能性のある当事者に運用リスクを移転しています。自らの認可衛生を怠りながら補償を要求する保持者は、回避可能な選択を他の人に保険をかけてもらうよう求めています。フレームワークはすべての制御されたアクションに適用されます。

番号資源協会はリスク移転を明示的な会員契約にできます

番号資源協会（NRS）は、RPKI をブランディング手段として扱うことや、無制限の証明書権限を取得する根拠として扱うことを避ければ、建設的な役割を果たすことができます。その貢献は明確な契約であるべきです。会員はルート発信元セキュリティを支持し、機関はセキュリティが必要とする権限を制限します。

第一の保護は選択です。会員は、相互運用可能なセキュリティ要件に従い、サポートされたホステッドサービスを使用したり、委任認証局を運用したり、適格な専門家を任命したりできるべきです。協会は、管理が集中化されるとサポートが容易になるという理由だけで秘密鍵を保持すべきではありません。

第二は移植性です。証明書と公開の取り決めは、テストされた移行手順、エクスポート可能な証拠、期限付きの協力義務を持つべきです。請求、ガバナンス、またはポリシーの紛争にある会員は、狭く実証されたセキュリティまたは法的根拠が行動を必要としない限り、日常的な署名制御を失うべきではありません。

第三は独立した観測です。NRS は、証明書サービスチームに従属しないモニターに資金を提供し、明確な証拠境界を持つインシデント記録を公開すべきです。会員と外部研究者は、特権アクセスに頼ることなく、署名済み状態を観測されたルーティングと比較できるべきです。

第四は救済策です。条件は、保持者、認証プロバイダ、リポジトリプロバイダ、運用者の間で義務を割り当てるべきです。緊急修正、レビュー、証拠保存、補償は広範な導入前に構成されるべきです。プロバイダは、制御するエラーに比例した財務能力を保持すべきです。

第五は到達範囲についての謙虚さです。NRS はすべてのネットワークに経路を受け入れることを強制したり、Valid ルートが安全であることを保証したり、RPKI 親の権限を排除したりすることはできません。自らのサービスを交換可能にし、その決定をレビュー可能にし、そのインシデント証拠を信頼できるものにすることができます。それは、導入を単独の制度的信頼のみに依存させるのではなく、重要な積極的な貢献です。

NRS は宣言ではなく、完了した訓練と否定的なケースで判断されるべきです。認証サービスをクリーンに移行し、圧力下でエラーを修正し、プロバイダの過失後に救済策を受け取った会員は、別のカバレッジチャート以上のものを示します。機関は、より強力なルーティングセキュリティを支持しながら、自らの権力の限界を受け入れるときに正当性を獲得します。

結論：セキュリティ導入には制度的バランスシートが必要です

RPKI 導入はしばしば、不確実性からセキュリティへの一方向の移転として提示されます。より正確な表現には2つの側面があります。正しい認可と賢明な経路処理は、許可されていない発信元の到達範囲を減らします。同じ共有権限は、誤った証明書、リポジトリ、設定状態の到達範囲を増加させる可能性があります。

これは導入を無効にするパラドックスではありません。それは重要になるインフラの通常の状態です。電力網、支払いシステム、身分証明システムはすべて、共有制御から価値を得る一方で、相関する障害モードを獲得します。答えは、権力の分離、移植性、独立した測定、テストされた復旧、信頼できる損失配分です。

RPKI にとって、バランスシートはアーキテクチャの正確性を維持しなければなりません。認証局は検証済みリソース権限に影響を与えますが、すべてのルーターを運用するわけではありません。運用者はルーティングポリシーを選択しますが、消費する上流証明書の事実を作成するわけではありません。保持者はさまざまな程度で認可を制御しますが、依然としてホステッド管理とアカウントアクセスに依存する場合があります。バリデータは状態を計算しますが、有効に署名された制度的エラーを修正することはできません。

したがって、導入データはエラーおよび障害データとともに公開されるべきです。カバレッジは、持続的な Invalid、証明書変更、移行イベント、バリデータ動作、ルーティング観測、修正時間とリンクされるべきです。2021年の RIPE NCC イベントと2023〜2024年の Invalid ルート研究は、狭い欠陥が増幅される可能性があり、観測された Invalid のほとんどがハイジャックラベル以上の説明を必要とすることを示しています。

政策の方向性は肯定的ですが条件付きです。正確な ROA カバレッジを引き続き増加させてください。多様なバリデーションと比例した経路処理を引き続き提供してください。同時に、保持者に意味のある証明書の選択肢を与え、安全な公開を要求し、外部から観測し、修正を訓練し、制御に応じて検証された害を補償してください。

2020〜2027年の研究期間の終わりまでに、成功はより高い導入パーセンテージ以上のものを意味するべきです。悪意のあるまたは偶発的な許可されていない発信元アナウンスが伝播する可能性が低くなり、一方で制度的な上流エラーが抗弁不可能なグローバルペナルティになる可能性が低くなることを意味するべきです。権限が効果的になるとセキュリティは向上します。効果的な権限が観測され、異議申し立てられ、移動され、自らの回避可能な誤りのコストを負担することを強いられるときに正当性は向上します。

ソースと範囲

本稿の数値結果は、引用された情報源の分母、観測期間、可視性の限界を維持しています。ルートコレクターはすべてのパスを観測するわけではなく、可視のバリデータはすべての適用ネットワークを代表するわけではなく、検証状態は法的権利や悪意を証明するものではありません。移植性、補償、結合インシデントデータ、NRS 会員保護権に関する推奨事項は、2027年までに評価するための将来的な制度的提案です。