要約

  • RFC 8206 は、二つの ASN を設定した BGPsec PE が両方の有効な鍵を持ち、関係する eBGP セッションの移行まで古い鍵を保持することを求める。これはパス認証の条件であって、企業取引の記録ではない。
  • ROA の併存、二重署名、pCount=0 はいずれも限定された移行の証跡にすぎない。合併、支配、全移行、相手の承諾、パケット到達、サービス成功を示さない。

署名は強い事実に見える。そのため、署名が答えない問いまで答えているように扱われやすい。古い ASN の鍵が有効であることは、ある局面では正しい運用判断である。しかし、その事実から「旧組織は新組織に吸収された」と読むには、鍵と会社の間に存在しない橋を架けなければならない。

RFC 8206 が扱うのは AS 移行である。提供者が AS を統合することがあり、旧 ASN をしばらく残すことがあり、PE が相手に対して旧 ASN のように振る舞うことがある、と文書はいう。これは可能な一般シナリオであり、特定の事業者の合併を証言するものではない。移行は長期化し得るし、全ルータの同時変更も、すべての顧客との協調も要求されない。旧 ASN が残る理由は、しばしば一つのローカルな隣接関係にある。

起点検証でも、証拠の範囲は広がらない。新 ASN が同じプレフィックスを起点として発信し始める一方、旧 ASN の PE も発信を続ける期間には、二つの ROA が必要になり得る。これは許された起点認可の併存である。ROA は RPKI における起点検証用の認可であって、会社の所有、法的な移転、全ルータの状態、相手方の受入れを証明する書類ではない。

RFC 8205 の BGPsec モデルも同じように限定的だ。RPKI 証明書は ASN と IP アドレス空間の割当を証明し、送信者は対応する秘密鍵で署名する。検証者はその秘密鍵を持たずにパスを検証できる。したがって成功した検証は、設定された信頼・商取引関係の下で Secure_Path が有効だったという事実である。FIB がその経路を選んだこと、パケットが届いたこと、利用者向けサービスが成立したこと、企業の支配が移ったことには答えない。

RFC 8206 の手順はさらに狭い。対象は新旧 ASN をローカル設定した PE と、既存 eBGP ピアの境界である。出方向では PE が双方の ASN で署名し、古い ASN の移行部分に pCount=0 を用いる。非 BGPsec ピア向けに再構成される AS_PATH にはその部分が現れないが、BGPsec の Secure_Path には残る。入方向で CE がなお旧 ASN を期待する場合にも、定められた条件で PE がその部分を加える。この慎重な細工は、限定された境界の意味を保つためのものである。

文書は、協調していない顧客ドメインが pCount=0 を受け入れると期待する案を明確に退ける。遠隔 CE の再設定も、世界規模の同期も要求しない。それゆえ、この機構は共有仕様として小さく有効である。同時に、境界の外側で何が実装され、受容され、完了したかを示せない。

古い鍵を「関係する eBGP セッションがすべて移行するまで」保持する要件も、外部への完了通知ではない。これは PE を運用する側への保守義務である。署名済み更新一件が、未移行セッションがゼロだと発表するわけではない。その結論には、セッション台帳、PE 設定、鍵の有効期間、検証ログ、独立した転送・サービス観測が必要になる。受信側は各自の信頼と業務方針でパスを判断する。

Heng Lu の最小初期仕様という考え方は、この抑制を読み解く助けになる。共通層が決めるのは、相互運用と安全に必要な最小の決定的規則である。移行の時期、鍵の管理、相手の選択、顧客の採用はローカルな決定として残る。自発的な採用が運用上の事実になるのは、互換性のある当事者が実装し、検証し、受け入れた場所だけだ。RFC の公開や鍵の存続だけでは、その事実にならない。

調査では、仕様、ROA、鍵状態、署名済みパス、検証結果、セッション状態、観測された転送とサービス、そして必要なら会社・登記資料を別々に保存すべきである。Wesley George は仕様の共同著者である。古い鍵を残すための規則は、合併を語る権限を鍵に与えていない。

出典