要約

  • RIPE NCCは、AS番号の保有者がRPKI APIからBGPsecルーター鍵証明書を作成・管理できるようにした。
  • 証明書は鍵を認可する。経路の検証にはBGPsec対応ルーターと、その機能を使うセッションが必要だ。

鍵の発行窓口は整った。受け取った鍵を使う機器の列は、まだ長くない。RIPE NCCのTim Bruijnzeels氏は10月22日の告知で、RPKI APIからBGPsecルーター鍵証明書を作成・管理できると発表した。一方で、ハードウェアルーターの対応は遅れ、段階的な導入と性能にも課題があると述べる。翌日の会員向け報告も新機能を紹介した。

仕組みの出発点はAS番号とルーターの公開鍵を結び付けることだ。RFC 8209の証明書を持つルーターは、対応する秘密鍵でそのASの安全な経路広告に署名できる。BGPsecを使うセッションの相手側も対応していれば、広告に記されたAS経路の整合性を検証する。ROAが起点の権限を扱い、ASPAが提供者関係を扱うのに対し、この鍵は経路上の署名に効く。

RIPE NCCのAPI文書は操作を具体的に示す。RPKI権限を持つLIRのAPIキーでPKCS#10の申請を送り、鍵の一覧や証明書とチェーンを取得し、識別子を指定して失効させる。同じAS番号で複数の鍵も扱える。公開された呼び出し例はRPKIの試験用ホストを使っている。運用範囲を読む際には、この記載と発表内容を分けて見る必要がある。

RIPE NCCが担うのは発行。AS保有者は鍵を管理し、ルーターを設定する。隣接ネットワークはBGPsecのセッションで検証する。今回つながったのは最初の区間だ。経路保護の広がりを示す数字は、証明書の発行だけでなく、実際の機器とセッションから出てくる。