要約

  • ルーティング作業部会のスレッドへの返信は、Ben Cartwright-CoxがRIPE NCCの新APIを使い、BGPsecルーター鍵証明書を初めて公開したと報告した。RIPEの公開リポジトリには、10月22日発行、AS212232に対応する証明書がある。
  • RFC 8634の手順は五段階。新証明書を公開し、RPKIキャッシュへの配布を待ち、ルーターを切り替えてUPDATEを更新し、必要なら旧証明書を失効させ、検証期限後に旧鍵を撤回する。

最初の証明書は窓口を出た

BGPsecは機能発表から、運用者が中身を確かめられるファイルへ進んだ。RIPE NCCは10月22日、RPKI APIでBGPsecルーター証明書を作成・管理できると発表した。同じルーティング作業部会のスレッドでは数時間後、Ben Cartwright-CoxがAPIを使って最初の証明書を公開したと報告された。RIPEの公開リポジトリには、その日に発行されAS212232に対応するBGPsecルーター証明書が載る。小さなファイルの次に待つのは、署名経路を消さずに稼働中ルーターの鍵を換える作業だ。

証明書の用途は明確だ。拡張鍵用途はBGPsec Router、鍵用途はデジタル署名、ASリソースは212232。発行時刻は10月22日14時43分46秒UTC、有効期限は2027年7月1日だ。証明書は公開鍵側の許可証で、認証する側が許可されたASNと公開鍵を対応づける。対になる秘密鍵はルーターに置く。RIPE NCCのAPIが受け取るのはPKCS#10証明書署名要求であり、その秘密鍵をアップロードする仕組みではない。

APIの公開ドキュメントにはライフサイクル操作が並ぶ。ルーター鍵の作成、認証局にひも付いた鍵の一覧と取得、失効、証明書や発行チェーンの取得。アクセスには各LIRが発行するAPIキーとResource Certification (RPKI) API権限が必要だ。作成要求にはASN、BGP IdentifierのrouterId、CSRを含め、認証局がルーター鍵IDを付ける。管理境界ははっきりしている。署名用の秘密は運用者が保管し、認証局が証明書を発行・公開する。

この境界があるから、最初の証明書は単なるリリースノートより面白い。BGPsec署名はBGP UPDATEのASパスに沿って渡される。ROAや経路起点検証が「このASはこのプレフィックスを起源としてよいか」を調べるのに対し、ASPAはプロバイダー関係を記録して経路リーク検出を助ける。ルーター証明書はBGPsec用の鍵を許可する。経路への署名と検証は、対応ルーターとピアが担う。

鍵の交換はカレンダー通りに

RFC 8634は鍵交換を五段階に分ける。新証明書を公開し、世界各地のRPKIキャッシュが取得するのを待つ。次にルーターを新鍵へ切り替え、送信するBGPsec UPDATEを更新する。旧鍵で署名したメッセージを無効にする必要があれば、旧証明書を失効させる。旧証明書の検証期限が切れると、依拠側がRPKI-Router Protocolで鍵の撤回を伝え、ルーターは旧鍵で署名した経路を削除する。配布待ちは、相手が新しい公開鍵を知る前に新署名だけが届く事態を防ぐ。

APIは呼び出しを自動化できるが、伝播にかかる時間は縮められない。変更記録には、新証明書の公開、キャッシュからの可視性、ルーター切替、UPDATE更新、必要に応じた失効を結び付ける。最終的な鍵撤回は旧証明書の検証期限後だ。「作成」からすぐ「失効」へ飛ぶスクリプトは、障害を作る速さだけなら優秀だ。

RIPE NCCはルーター製品のBGPsec対応が遅れており、段階的導入と性能にも課題があると述べる。RFC 8207は、一部機器により多くのメモリーや新しいプロセッサーが必要になる可能性を挙げる。部分導入では署名経路が島状に分かれる。鍵交換計画には、どの境界ルーターが署名し、どのピアが検証し、署名の連なりがどこで止まるかが欠かせない。

公開API文書が示す環境はlocalcert.ripe.netのRPKI pilotだ。RIPEのリポジトリには10月22日発行のAS212232証明書がある。公開記録にはまだ、証明書の指紋と公開時刻、ルーター切り替え、署名を更新したUPDATE、指定されたBGPsecピアの検証を結ぶ日付入りの鍵交換記録がない。その記録があれば、APIが実際の経路運用までどこまで届いたかを判断できる。

出典：RIPEルーティング作業部会の告知と初回利用報告（2026年10月22日）、RIPEリポジトリのルーター証明書原本、RIPE NCC BGPsec APIドキュメント、IETF RFC 8209、IETF RFC 8205、IETF RFC 8207、IETF RFC 8634。