リソース公開鍵インフラストラクチャ（RPKI）について知っておくべきすべて

リソース公開鍵インフラストラクチャ（RPKI）について知っておくべきすべては、公開された証拠がインターネットインフラストラクチャ、ガバナンス、運用上の依存関係、または市場の可視性に関連しているため、BTW Media によってプロファイリングされています。

• 情報セキュリティは常に注目されるテーマであり、ボーダーゲートウェイプロトコル（BGP）は長年にわたり脆弱性にさらされてきました。新しい暗号化フレームワークであるリソース公開鍵インフラストラクチャ（RPKI）について学ぶことは興味深いでしょう。
• ネットワークオペレータは、BGP ハイジャックのリスクを軽減するために、ピアツーピアプロトコルや手動ルートフィルタリングなどの信頼ベースのメカニズムを使用しています。これらのソリューションはある程度効果的ですが、独自の限界があります。
• 暗号技術の力を活用することで、RPKI は BGP の脆弱性によって引き起こされる継続的な課題に対して、標準化されたスケーラブルなソリューションを提供します。

当社の見解：
RPKI は、暗号技術を使用して BGP の脆弱性に対する標準化されたスケーラブルなソリューションを提供することで、インターネットルーティングのセキュリティにおいて画期的な進歩を表しています。
– Fei Wang, BTW ジャーナリスト

なぜ RPKI が必要なのか？

ネットワーク情報セキュリティに関して、ボーダーゲートウェイプロトコル（BGP）について聞いたことがあるかもしれません。しかし、インターネットルーティングのバックボーンである BGP は、長い間、操作やハイジャックに対して脆弱でした。リソース公開鍵インフラストラクチャ（RPKI）は、BGP を強化し、悪意のある行為者からインターネット経路を保護するために設計された暗号化フレームワークです。

参照：RIP（Routing Information Protocol）とは？

BGP は、インターネットのバックボーンを接続し、ルーターがパケットがインターネット上を移動する最も効率的な経路を決定するのを支援するプロトコルです。GPS が衛星や他の GPS デバイスと通信して正確なナビゲーション指示を提供するのと同様に、BGP はネットワーク（自律システム）間でルーティング情報を交換します。ルーターは、自身が利用可能な経路を BGP メッセージを介して隣接ルーターに通知します。これらのメッセージには、到達可能な IP プレフィックスとそれに到達するためのパスに関する情報が含まれています。その後、隣接ルーターはこの情報を使用して、自身のルーティングテーブルを更新し、宛先 IP アドレスにパケットを転送するための最適な経路を決定します。

参照：セキュリティ、匿名性、安定性：プロキシサーバーがますます人気のインターネットツールである理由

しかし、無視できないシナリオは、悪意のあるエンティティがインターネットサービスプロバイダのネットワークに侵入し、IP プレフィックスの誤ったルーティングを詐称して広告する場合です。突然、正当なトラフィックが意図しない宛先にハイジャックされ、混乱を引き起こし、オンラインサービスの機密性、完全性、可用性を損ないます。BGP ハイジャックとも呼ばれるこの陰湿な現象は、インターネットルーティングを保護するための強力なセキュリティ対策の必要性を浮き彫りにしています。

例を挙げましょう：2008 年 2 月、政府の命令を実行するために、パキスタンテレコムはYouTube のトラフィックを自社のサーバーにリダイレクトする BGP ルートを誤って広告しました。残念ながら、このルートを受信した上流プロバイダーは検証せずに受け入れ、その情報を転送し、誤ったルートがインターネット全体に伝播し、ほとんどすべての人が Facebook がサーバーをパキスタンのネットワークに移動したと信じるまでになりました。このミスにより YouTube が麻痺しただけでなく、パキスタンのインターネットサービスプロバイダ（ISP）は、すぐに何百万もの YouTube ユーザーからのリクエストを受信するという困難な状況に陥りました。

BGP はルーティング広告の真正性を保証しないため、ハッカーの意図的な攻撃やネットワークパラメータの誤った設定がルートハイジャックを引き起こす可能性があります。DNSSEC に続いて ICANN が展開する次のインターネットセキュリティキーインフラストラクチャとして、RPKI は、特定の IP アドレスプレフィックスのルーティング広告が正当かどうかを検証するために、IP アドレスリソース管理の観点から IP アドレスリソースの認証認可システムを構築し、実装が信頼できる情報源を提供するゾーン間ルーティングセキュリティスキーム（S-BGP や BGPS EC など）を提供します。

Ma Di、中国インターネットネットワーク情報センター

既存のソリューション：IRR、BGPsec、RPKI

ネットワークオペレーターは、BGP ハイジャックのリスクを軽減するために、ピアツーピアプロトコルや手動ルートフィルタリングなどの信頼ベースのメカニズムを使用しています。これらのソリューションはある程度効果的ですが、本質的に限界があり、経路の完全性を維持するために人間の監視と協力に依存しています。そのような弾力的なソリューションの 1 つは、インターネットルーティングレジストリ（IRR）で利用可能な情報を使用してフィルタリングすることです。IRR は、地域インターネットレジストリ（RIR）やサードパーティプロバイダーによって提供されるルーティング情報の公開データベースです。しかし、このソリューションには限界があり、関係するサードパーティがデータを一貫して維持できないためです。

ボーダーゲートウェイプロトコルセキュリティ（BGPsec）は、RFC 8205 で定義されている BGP の安全な拡張機能である別の高度なソリューションです。BGPsec では、AS_PATH 属性が新しい BGPsec_Path 属性に置き換えられ、ピアから受信した経路を暗号学的に検証する手段を提供します。

これらの高度なソリューションは、ルーティング情報の暗号学的認証のためにリソース公開鍵インフラストラクチャ（RPKI）に依存しています。

クイッククイズ

BGP の危機に対する既存のソリューションでないものはどれですか？

A. BGPsec

B. RPKI

C. AS

D. IRR

答えはこの記事の最後にあります。

RPKI とは何か？

RPKI は、インターネットトラフィックのパスポートとビザの管理システムと考えることができます。ルーティング情報は、インターネットの宛先または国のようなものです。特定の国に合法的に入国するために有効なパスポートとビザが必要なように、インターネットルーターは、IP プレフィックスを広告および検証するために、RPKI によって発行された有効な暗号証明書とルート起源認証（ROA）を必要とします。暗号証明書は IP アドレス保持者の身元を確認するパスポートの役割を果たし、ROA は IP プレフィックスの正当な起源を認可するビザの役割を果たします。正しい「パスポート」（暗号証明書）と正しい「ビザ」（ROA）がなければ、インターネットルーターは特定の宛先に安全にルート（IP プレフィックス）を広告できず、不正なトラフィックを防ぎ、パケットが意図した宛先に安全かつ効率的に到達することを保証します。RPKI が有効になると、ネットワークオペレーターとルーターは、警戒心の強い国境警備員のように機能し、ルーティング広告の正当性を保存および配布する前に検証し、インターネット上の特定の「国」（IP プレフィックス）への不正なトラフィックの出入りを防ぎます。

参照：RIPENCC とは？

APNIC 地域インターネットレジストリにおける RPKI の動作方法

RPKI の証明書発行システムは、上図に示すように、インターネット番号リソースの割り当てアーキテクチャに対応しています。このシステムは、トップからボトムへリソース証明書を発行することによってリソースを認可します。証明書の内容には、IP アドレスプレフィックス/AS 番号と受益機関との間のバインディング関係が含まれており、リソース保持者がこの番号リソースの一部を合法的に使用することを許可されていることを示します。

RPKI は階層モデルに基づいて機能し、地域インターネットレジストリ（RIR）がインターネット番号リソースの管理を担当するトップレベルの機関として機能します。これらのリソースには、インターネットルーティングの重要なコンポーネントである IP アドレスブロックと自律システム番号（ASN）が含まれます。RIR はリソース保持者に暗号証明書を発行し、IP アドレスの割り当てを暗号鍵に結合します。これらの証明書は、IP アドレスプレフィックスの正当な起源を指定するルート起源認証（ROA）を生成するために使用されます。

RPKI が重要な理由

RPKI の導入は、インターネットエコシステムに多くの利点をもたらしました。RPKI は、ルート広告の真正性を検証するメカニズムを提供することで、BGP ハイジャックやルートリークを防止し、インターネットルートのセキュリティと安定性を向上させることができます。さらに、RPKI はネットワークオペレーターにルーティングポリシーの制御を提供し、トラフィックが意図した経路に沿って流れることを保証し、誤設定や悪意のある活動のリスクを最小限に抑えます。

RPKI の利点
A. Whois データベースや IRR データベースを手動で確認するよりもはるかに安全です。
B. プレフィックスの安全な起源または起源 AS の確認は、BGP の完全性に対する多くの攻撃を防ぐための第一歩です。
C. リソース保持者の指示/情報を暗号学的に検証できます（例：認証書の署名）。

Q: インターネット境界ルーターは、RPKI ルーター検証のためにサーバーとどのように同期できますか？

確認できる公開サーバーはありますか？

「リポジトリで何が起こっているかというと、仲介役として LACNIC とルーターの間に立つソフトウェアがあります。それが RPKI バリデーターで、メキシコと共同開発されたポータルプロジェクトの一環であり、暗号学的に検証された情報を境界ルーターに提供します。境界ルーターとバリデーターの関係は、非常に高い信頼性が求められます。両者の近接性とセキュリティが良好である必要があります。バリデーターをルーターに使用することは推奨されません。公開バリデーターは存在しますが、それはバリデーターがどのように見えるかなどを確認するためのものであり、境界ルーターに接続するためのものではありません。」Gianina Pensky、登録サービス責任者がLACNIC ウェビナー - RPKI によるネットワークセキュリティで回答しました。

このように、RPKI はインターネットルーティングセキュリティの重要な発展分野を代表しています。暗号技術の力を活用することで、RPKI は BGP の脆弱性によってもたらされる継続的な課題に対して、標準化されたスケーラブルなソリューションを提供します。私たちが複雑なデジタル環境に直面し続ける中で、RPKI の導入は、より安全で回復力があり信頼できるインターネットインフラストラクチャを構築するための重要な一歩です。

正解は C です。