要約

  • RIPE 93の公式概要によると、2026年8月8日から14日まで、IRRに完全一致する786のプレフィックス・起点ASの組がRPKIでは一貫してInvalidだった。
  • 371件はROAの最大プレフィックス長を超え、415件は起点ASが違った。修正すべき場所は同じではない。

経路フィルターには、しばしば「登録されているか」という問いが渡される。今週のRIPE 93発表概要が突きつけるのは、その問いだけでは閉じない786件だ。Antonis CharitonとUsama Ejazの測定では、IRRのrouteオブジェクトと完全に一致する組が、8月8日から14日までRPKI Invalidのままだった。発表は10月27日火曜日の予定で、ここで扱う数値は公開済みの概要に載るものだ。

371件はROAが許した最大長より細かなプレフィックスを広告した。残る415件は起点ASが一致しない。RIPE NCCの解説に照らせば、前者は広告の分割とmaxLength、後者は起点の承認関係を調べる案件になる。IRRの一致は登録内容を示す。署名されたROAとの整合性は別の検査である。

研究は57のRIPE RIS・RouteViewsコレクター、19のIRR情報源、週を通して利用できた17のRPKI検証ビューを時刻をそろえて比較した。一週間の観測集合では64.4%がIRRに完全一致し、その一致の79.9%は一つのIRR情報源にしか現れなかった。多数のデータベースを検索したという操作と、多数の独立した根拠があるという結論は違う。

顧客AS-SETを再帰展開する別の8月8日の再現では、完全一致の99.27%が残った。概要は、展開不能または途中で止まった集合をなお調査対象としている。欠けたASNを即座にフィルターから消せば、調査漏れが通信断に化ける。

RFC 6811は検証状態を定め、経路をどう扱うかは明示的なローカルポリシーに委ねる。プレフィックス、起点、IRRの出所、ROAの不一致箇所、観測時刻、AS-SET展開結果を一枚にそろえ、フィルターを変更するネットワークが判断を記録すべきだ。