Cloudflareの「Is BGP Safe Yet」サイト、経路フィルタリングを怠るISPを名指し

2020年4月初旬、Border Gateway Protocolの不具合により、GoogleやFacebookといった主要サイト宛てのトラフィックが1時間以上にわたってロシアの通信事業者経由に迂回した。ハッキングではなく、信頼ベースのルーティングがまたしても機能しなかっただけのことだ。BGPリークは事故として絶えず発生しているが、このプロトコルはスパイ活動や傍受のために乗っ取られることもある。同じ月、米国の当局はBGP攻撃を含む活動を理由にChina Telecomの遮断に動いた。どこかで何かが壊れるとCloudflareが非難される立場にあり、同社自身がプロトコルを修正することはできなかった。そこでCEOのMatthew Princeは、名指しで批判を始める時だと述べた。

同社が立ち上げたサイト「Is BGP Safe Yet」は、訪問者自身の接続をテストする。正当な経路と無効な経路を用意し、それぞれでページを読み込む。暗号学的検証と経路フィルタを導入済みのISPは偽の経路を捕捉し、本物のページだけを読み込む。両方を受け入れるISPは失敗し、それが目に見える形で示される。Cloudflareは、AT&T、スウェーデンのTelia、日本のNTTといった大手のおかげでインターネットの約半分はすでに保護されていると推定した。それにより、保護されていないISPの利用者でも、インシデント発生時に動作する代替手段をしばしば維持できるほどだった。

この設計は二つのレバーを同時に活用している。消費者は、これまで見ることのできなかったものをワンクリックで確認できるようになり、業界関係者は簡単に確認し、また確認される立場を得る。Cloudflareは限界も認めていた。一部のルーターメーカーは依然としてこれらの保護機能をサポートしていなかったが、世論の圧力が双方を動かすことを期待していた。

プロトコルの衛生状態を外部の人間がテストできるようにする。有効な経路と無効な経路を一つずつ提供し、訪問者自身のブラウザを通じて、そのISPがフィルタリングしているかどうかを明らかにする。

BGPは40年以上前からある信頼ベースのプロトコルであり、Cloudflareを含め、どの単一の参加者も単独でそれを安全にすることはできない。意味を持つには幅広い採用が必要だ。

未採用者は見えなかった。消費者のISPが乗っ取られた経路を受け入れている当の本人であることを伝えるものは何もなかった。

接続ごとのテストは、抽象的な基盤標準を、個々のISPを名指しする評判上の判定に変える。

カバレッジが広がるにつれて全員のセキュリティが向上するため、後れを取る者を名指しで批判することで、早期採用者の価値がさらに高まる。

相互依存する採用者に共有システムを安全にするよう強制することはできないが、未採用をその顧客に見える形にすることはできる。

このサイトは2020年4月17日に公開され、Cloudflareはすでに経路をフィルタリングしている例としてAT&T、Telia、NTTを挙げた。これらの保護機能を組み込んでいなかった基幹設備ベンダーが、遅れのもう半分として残った。