堅牢性の原則

コンピューティングにおいて、堅牢性の原則はソフトウェアの設計ガイドラインであり、「自分の行動には保守的、他者から受け取る行動には寛容」と述べられています。これは、「送信する行動には保守的、受け取る行動には寛容」と言い換えられることがよくあります。この原則は、TCPの初期の仕様でこの言葉を使用したJon Postelにちなんで、Postel の法則としても知られています。^[1]

つまり、他のマシン (または同じマシン上の他のプログラム) にメッセージを送信するプログラムは仕様に完全に準拠する必要がありますが、メッセージを受信するプログラムは意味が明確である限り、非準拠の入力を受け入れる必要があります。

プログラマーの間では、互換性のある関数を作成するための原則は、入力型では反変で、出力型では 共変であるという形式でも知られています。

RFC 1122 (1989) は、ポステルの原則を拡張し、プログラマーは「ネットワークには、最悪の影響をもたらすように設計されたパケットを送信する悪意のあるエンティティが満ちている」と想定することを推奨しています。^[2]プロトコルは、未知のコードを持つメッセージを受け入れる (おそらくログに記録する) ことで、将来のバージョンのプロトコルで既存のフィールドに新しいコードを追加できるようにする必要があります。プログラマーは、受信者の欠陥を露呈する可能性のある「合法だが不明瞭なプロトコル機能」を持つメッセージを送信することを避け、「他の不正なホストから生き残るだけでなく、そのようなホストが共有通信機能に引き起こす可能性のある混乱の量を制限するために協力する」ようにコードを設計する必要があります。^[3]

2001 年、マーシャル ローズは、新しいアプリケーション プロトコルの設計にポステルの原理を適用する際のいくつかの展開上の問題を特徴づけました。^[4]たとえば、不適合なメッセージを送信する欠陥のある実装は、仕様からの逸脱を許容する実装でのみ使用され、おそらく数年後に、そのメッセージを拒否するより許容度の低いアプリケーションに接続される可能性があります。このような状況では、問題を特定することが困難な場合が多く、ソリューションを展開するにはコストがかかります。そのため、ローズは「実装のオーバーヘッドが発生する場合でも、プロトコルで明示的な一貫性チェックを行う」ことを推奨しました。

2018年、フロレンティン・ロシェとオリヴィエ・ペレイラによるプライバシー強化技術に関する論文では、Tor ルーティングプロトコル内のポステルの堅牢性原理を利用して、オニオンサービスとTorクライアントの匿名性を侵害する方法が示されました。^[5]

2023年、マーティン・トムソンとデイヴィッド・シナジは、ポステルの堅牢性原理は実際にはセキュリティを含む堅牢性の欠如につながると主張した。^[6]

欠陥は事実上の標準として定着する可能性があります。プロトコルの実装は異常な動作を再現する必要があります。そうしないと、相互運用できなくなります。これは、予期しない事態を許容することの結果であると同時に、致命的なエラー状態を避けようとする自然な抵抗の産物でもあります。この環境で相互運用性を確保することは、しばしば「バグごとの互換性」を目指すことと呼ばれます。

• オープン・クローズ原則
• プロトコルの骨化
• 静的規律
• Unix哲学

• (インターネット) 堅牢性原則の歴史 (Nick Gall、2005 年 5 月)
• インターネット プロトコル、22 ページ。 J. Postel、IEN 111、1979 年 8 月。