要約

  • Orange España の事案は、アカウント侵害、敵対的な ROA、バリデータの非同期更新、Invalid を拒否する各事業者の方針が連鎖し、障害時刻も復旧時刻も一様にならないことを示した。
  • 必要なのは RPKI の後退ではなく、影響半径の大きい操作に対する再認証、独立承認、保護された通知、検証可能な受領記録、既知の安全状態への復帰と実地訓練である。

経路は同じでも、証拠が変わった

Kentik の再構成では、2024年1月3日09時28分 UTC ごろ、Orange España のアドレス資源に関する RPKI の動きが始まった。09時42分ごろには、実際の影響につながる三つの認可が現れた。しかし、トラフィックの大幅な減少が観測されたのはそれより数時間後だった。

この間隔を理解するには、ROA を経路そのものと混同してはならない。Route Origin Authorisation は、どの自律システムが特定のプレフィックスを起点としてよいかを署名付きで示す。パケットを運ぶわけでも、世界中のルーターへ一斉に命令を送るわけでもない。

各バリデータがその情報を取得して状態を計算し、ネットワーク運用者が自らの BGP 方針へ反映する。Orange España の AS12479 は従来どおり正しい経路を広告していても、新しい ROA と一致しなければ Invalid と判定され得る。物理的なネットワークが偽物になったのではなく、それを説明する署名付きの証拠が敵対的に書き換えられた。

RFC 6811 は Invalid を、対象プレフィックスを包含する検証済み情報があるものの、観測されたオリジンに一致する認可がない状態と定義する。同時に、この分類だけで経路の排除を強制しないことも明示する。拒否するには、事業者がその方針を設定していなければならない。

したがって、「RPKI が Orange España を切断した」という表現は制御の所在を曖昧にする。署名系は、認められた権限によって作られた状態を正しく配布した。バリデータは期待どおり判断し、ROV を採用したネットワークは自ら選んだ防御方針を実行した。弱点は署名より前、強い結果を生む書き込みの承認にあった。

障害を刻んだ三つの時計

公開観測には、世界共通の開始時刻も終了時刻もない。Kentik は AS12479 への流入トラフィックが、おおむね14時20分から18時00分 UTC に大きく減ったとした。Cloudflare は現地時間16時45分から19時45分の低下を示し、Orange España が広告する IPv4 空間の大幅な縮小も観測した。

bgp.tools は、対象プレフィックスの一つが14時11分 UTC ごろから可視性を失い、17時47分ごろから戻り始めたと記録する。多くの観測フィードで回復するまで、さらにおよそ1時間を要した。いずれも観測範囲が異なるため、単純に平均して一つの時刻にすることはできない。

第一の時計は書き込み時刻である。攻撃者が ROA を作成または変更した時点を刻む。第二は検証時刻で、各バリデータが新しい状態を取得し処理した時点を刻む。第三は運用時刻で、各ネットワークの方針が Invalid の経路を利用不能にした時点を刻む。

bgp.tools で可視性が階段状に下がったのは、この非同期性と整合する。更新の早いバリデータも遅いものもある。Invalid を拒否するネットワークも、しないネットワークもある。直接接続や特定の相互接続関係によって限定的な経路が残る場合もある。

この観測は全インターネットの完全な調査ではない。それでも、同じ署名変更の効果が場所ごとに異なる速度で現れたことは示している。防御側には完全拡散前に異常を止める時間があり得る一方、訂正後も古い状態や計算結果がしばらく残る。

「署名済み」が意味しないもの

暗号署名は、想定した信頼連鎖から情報が発行され、配送中に改変されていないことを確認する。しかし、認証済みセッションを操作している人物の意図までは審査できない。正規アカウントで敵対的な操作が行われれば、署名は有効なままである。

Ben Cartwright-Cox の分析が示す「signed but not secure」という表現は、このずれを端的に捉える。RPKI セキュリティに関する体系的研究も、認証、リポジトリ、検証ソフトウェア、運用導入を相互接続した攻撃面として扱う。暗号だけで統治上の問題が消えるわけではない。

この構造は RPKI に限らない。ドメイン登録、クラウドのルーティング設定、証明書発行、鍵管理にも、管理画面のアカウントが広い自動判断を変える場面がある。画面上は事務的な権限でも、実態は共有インフラに作用する本番権限である。

二要素認証は必要だ。公開された報告によれば、事案後に RIPE NCC は二要素認証を必須化した。だが、ログイン時の本人確認と、個々の高リスク操作への承認は別の制御である。乗っ取られたセッション、弱い復旧手段、内部者、過大な役割権限は、認証後にも残る。

最低でも四つの問いを分けなければならない。誰がセッションを開始したか。その人物はこの操作を実行できるか。別の責任者は予想される影響を見て承認したか。公開後の状態が現用ネットワークと一致することを誰が確認するか。「ログイン済み」という一つの答えでは足りない。

アカウントを戻しても経路は戻らない

Kentik の時系列では、18時00分 UTC より前に制御の回復と訂正 ROA が見られたが、その後も一部の Invalid が残った。これは復旧の完了条件を変える。パスワード変更やセッション失効は、依存先が消費している状態の修復を保証しない。

まず侵害時間帯の作成、変更、削除をすべて洗い出す。次に、現行 ROA と実際に意図した BGP 広告を照合する。複数のバリデータと経路観測点で Valid、Invalid、NotFound の変化を追う。最後に、プレフィックスの可視性とトラフィックが説明可能な範囲へ戻ったことを確認する。

安全な復帰点も事前に定義すべきである。「直前の変更を取り消す」だけでは、攻撃者が連続して変更した場合や、直前状態がすでに不整合だった場合に失敗する。復帰先は、時刻と期待 BGP 状態を含めて明示的に検証された既知の安全版でなければならない。

演習は組織境界を越える必要がある。資源保有者、ホステッド RPKI 提供者、登録機関の支援担当、バリデータ運用者、ROV を適用するネットワークでは見える証拠が異なる。書き込みからトラフィック回復までを一つの時系列に並べて初めて、検知、停止、訂正、完了証明の責任が分かる。

影響半径に応じて承認を変える

すべての ROA 変更を重い審査にかけるのは現実的でない。ネットワーク変更には速度が必要で、過剰な手続きは回避行動を生む。重要なのは、操作前に影響半径を見積もり、通常作業と例外的な書き込みを分けることである。

判断材料には、対象アドレス数、初めて使うオリジン ASN、異常に広い集約、現行 BGP 広告より厳しい maxLength、多数の既存認可の一括削除がある。観測中の経路が Valid または NotFound から Invalid へ変わる見込みは、強い警戒信号となる。

高リスク操作では、その時点で再認証する。数時間前のログイン確認を流用しない。さらに独立した承認者へ、差分、対象プレフィックス、予想される検証状態を提示する。単なる「承認」ボタンでは、判断に必要な情報を与えたことにならない。

通知先は操作セッションから守られていなければならない。攻撃者が同じ画面で連絡先を変更し、そのまま書き込める設計では警報にならない。受領記録には変更前後、実行者、承認者、時刻、影響見込み、復帰手順を含め、資源保有者が独立して検証できるようにする。

例外的な変更には短い異議時間を設け、緊急時にはより強い承認を伴う迂回路を用意する。緊急 ROA や暫定的な例外には自動失効を付ける。危機のために作られた権限が、忘れられた恒久状態になってはならない。

CENIC が事案後に示した強い認証、アラート、復旧準備は実務的な出発点である。経営層はさらに、その制御がログインだけでなく危険な取引そのものを囲んでいるか、実際のバリデータと BGP 観測を用いた訓練で証明されたかを問うべきだ。

Running-Code Primacy が置く境界

Heng Lu が公に掲げる Running-Code Primacy は、この事案の事実を証明する資料ではなく、救済策を制約する規範的立場である。インターネットの実際の秩序は、公開プロトコル、実装されたコード、運用上の相互接続に宿り、機関の記録が世界のネットワークへの所有権へ拡張されてはならないという考え方だ。

書き込み保管の強化は、この境界と両立する。登録機関やホステッドサービスは、自らが持つ書き込み権限をより安全に扱う。ネットワーク運用者は Invalid を拒否するかどうかの裁量を保つ。資源保有者は移植可能で検証できる証拠を持つ。中央機関が世界の経路を直接決める必要はない。

Orange España を理由に Invalid 拒否を広く緩めるのも誤りである。敵対的 ROA の即時影響は減るかもしれないが、本物の経路ハイジャックを受け入れる余地が増える。分散した防御は維持し、その入力となる署名済み情報の権限管理を厳しくする方が整合的だ。

公開資料から断定できないこと

すべての顧客、プレフィックス、接続先が同じ形で影響を受けたとは言えない。観測事業者ごとに視野が異なり、サンプリング間隔や時刻表記も異なる。本稿は複数資料が支持する仕組みを論じるが、一つの観測を世界全体の精密な計測へ拡張しない。

アカウントが侵害された具体的な全手順も公開情報だけでは確定しない。不正なアクセス、敵対的な ROA 変更、到達性への影響は確認できるが、特定のマルウェア、内部協力、特定方式の認証情報窃取までは立証されていない。

二要素認証の必須化についても、採用率だけで完了とは言えない。耐フィッシング性、復旧コードの管理、セッション失効、役割分離、高リスク取引の承認を別々に測る必要がある。本人確認と操作への同意を再び混同してはならない。

署名の一歩手前を守る

Orange España の教訓は、RPKI が異常な動作をしたことではない。信頼の仕組みが、弱く保管されたアカウント権限から生じた状態を忠実に増幅したことである。書き込み、検証、運用方針がそれぞれ正常に動き、連鎖全体では深刻な障害になった。

今後の成熟度は、ROA の件数や ROV の導入率だけでは測れない。誰が書けるか、どの規模で第二承認が必要か、通知先が侵害セッションから独立しているか、安全状態へ何分で戻れるか、複数観測点の Invalid が何分で消えるかも測るべきである。

署名検証が答えるのは、「信頼された仕組みからこの主張が出たか」である。インフラ統治には、もう一つの問いが残る。「その主張を作った権限は、引き起こし得る結果に見合うものだったか」。

出典