インターネットルーティングセキュリティ：RPKI ROVによるBGPハイジャック防止
RPKIのROAがIPプレフィックスを広告できるASをどのように認可し、ROVが経路をValid・Invalid・NotFoundに分類するかを解説します。Invalid経路への対応はネットワーク運用者の方針に委ねられ、ROVはAS_PATH全体や到達可能性を保証しません。
発行・訂正窓口：infostoa · 編集基準
この記事の個別の執筆者・専門査読者の情報は提供されていません。
自律システム（AS）はBGPで到達可能なIPプレフィックスと経路属性を交換します。経路オリジン検証（ROV）は、広告されたプレフィックスのOrigin ASが検証済みRPKI情報と整合するかを確認します。これはオリジン認可に限った検査で、AS_PATH全体の安全性や宛先への到達可能性を証明するものではありません。検証結果を経路ポリシーにどう反映するかは運用者が決めます。
1. BGPの信頼モデルと経路ハイジャックの構造的リスク
BGPは自律システム間で到達可能なIP prefixと経路属性を交換します。起点検証は、そのprefixを広告するASの認可を確認します。
2. リソース公開鍵基盤（RPKI）とROA（Route Origin Authorization）の暗号構造
RPKIはインターネット番号資源の証明書と、検証可能な経路オリジン情報を結び付ける仕組みです。RFC 6480は証明書に基づく基盤を定義し、RFC 6811は検証済み情報とBGP経路を照合する手順を示します。ROAはプレフィックス、許容する最大プレフィックス長、認可されたOrigin ASを指定します。資源保有者は認可情報の発行を管理しますが、ルーターが保有者の署名鍵を持つという意味ではありません。
3. エッジルーターにおける経路オリジン検証（ROV）の3状態判定ロジック
RFC 6811の3状態は、検証済み経路オリジン情報（VRP）と経路のプレフィックス・Origin ASを照合して決まります。経路プレフィックスを覆うVRPがなければNotFoundです。少なくとも一つのVRPがOrigin ASと長さの条件に一致すればValid、プレフィックスを覆うVRPはあるものの一致がなければInvalidです。RFCはInvalid経路の拒否を必須とせず、処理をローカルポリシーに委ねます。ROVが確認するのはオリジン認可であり、経路全体の安全性や到達性ではありません。
4. 実務家の視点：ポリシーと運用上の限界
ROVの結果を実際の遮断ポリシーへ結び付ける方法は、ネットワークとリスク方針によって異なります。RFC 6811はInvalid経路の拒否を説明する一方、検証データの誤りが正当な経路をInvalidと判定し、サービス拒否を招く危険も指摘しています。検証器への接続やデータ更新の失敗を監視し、拒否ポリシーには変更管理と復旧経路を組み合わせます。RIPE NCCの資料ではROA管理とorigin validationが別の運用作業として扱われています。アドレス保有者は正確な認可を維持し、ネットワーク運用者は検証状態の使い方を定めます。
RFC 6811はRFC 8481とRFC 8893によって更新されています。RFC 8481は、運用者が明示的に設定しない限り、検証状態に基づくポリシーを自動適用しないと明確にしています。RFC 8893は、送信ポリシー後のeffective origin ASを使って隣接ルーターへ出す経路を検証する場合を扱います。運用時は検証キャッシュの鮮度、NotFoundとInvalidの区別、影響するプレフィックス、ROA修正またはポリシー撤回の手順を確認してください。RFC 8481 RFC 8893