ハクソク

世界を動かす技術を、日本語で。

RPKIがインターネットルートの70%を保護しています

2026年10月16日原文(ipinfo.io)

概要

  • インターネットの経路制御は主に BGP と 信頼 に依存
  • RPKI 導入で経路ハイジャック対策が強化
  • 中国の急速なRPKI導入が世界的な普及率を大幅に押し上げ
  • IPv6 でのRPKI普及がIPv4を上回る
  • RPKIの限界や運用上の落とし穴も明らかに

インターネット経路制御とRPKIの役割

  • インターネットは BGP (Border Gateway Protocol) を使い、各ネットワークが到達可能なIPアドレスを相互に通告
  • BGPの通告は 信頼 に大きく依存し、誤った通告で通信障害やサービス不可が発生
    • 例：2008年2月、 Pakistan Telecom がYouTubeの経路を誤って全世界に通告、YouTubeへのアクセスが約2時間不能
  • こうした問題への対策として、 RPKI (Resource Public Key Infrastructure) の開発が進行
    • RPKIはIPアドレス所有者が ROA (Route Origin Authorization) を発行し、許可したAS番号のみが通告可能に
    • RPKIを検証するネットワークは、不正な経路通告を拒否できる

RPKIの普及状況と効果

  • 2026年9月時点 で、世界の 70.3% の経路プレフィックスがRPKI有効（前年比で大幅増加）
    • 前年54.0%→70.3%、16.4ポイント増（過去2年合計より多い伸び）
  • 中国のIPv4アドレスでのRPKI有効率が 3.7%→83.0% へ急増、世界全体の伸びの約60%を中国が占める
  • 無効な経路はほとんど伝搬せず、RPKI検証が広まったことで不正経路は即座に遮断
    • 有効経路は平均596地点で観測、無効経路は2地点のみ
  • 国別の無効経路割合は、経路数でなく実際に観測されるアドレス数で評価すべき
    • 例：スペインの無効経路割合は28.2%だが、実際に影響があるのは0.057%のみ

RPKIの普及を牽引した国と地域

  • 世界全体のRPKI有効率は、2023年42.7%→2024年47.9%→2025年53.1%→2026年65.0%と推移
  • 中国を除くと、2025年58.0%→2026年63.2%と5.2ポイント増
  • 新興国でも急速な普及
    • エジプト：23%→99%
    • カザフスタン：16%→84%
    • メキシコ：37%→78%
    • 南アフリカ：38%→60%
  • 未保護アドレスの約60%が米国、うち多くは米国防総省所有

IPv6でのRPKI普及状況

  • 2025年初頭、IPv6でのRPKI普及の鈍化が懸念されたが、その後加速しIPv4を上回る
  • 2025年末～2026年、IPv6のRPKI有効経路率は 56%→79%、IPv4は 54%→68%
  • ROAあたりの平均アドレスブロック数やリポジトリ数も増加傾向

RPKIの限界とリスク

  • RPKIは経路の 起点（origin） のみを検証し、経路そのもの（path）は検証しない
    • 正規のROA設定の隙間を突いた攻撃が可能
      • 例：2026年8月28日、HetznerのAS番号を偽装したRPKI有効な経路が出現、悪意あるアップデート配信に悪用
  • 世界のRPKIカバー経路のうち 16.2% （IPv4）は、より細かい経路を偽装できる“緩いROA”設定
    • ホスティングやアクセス系事業者で設定の差が大きい
      • 例：Contaboは553経路中540経路で緩い設定、DigitalOceanは863中780経路
  • RFC 9319ではmaxLength未設定が推奨だが、現状多くが緩いまま

RPKIカバー率の低下事例

  • RPKI保護はROA失効で突然消失することがある
    • モーリシャス：2025年94.0%→2026年69.0%、SEACOMのROA消失が主因
    • サウジアラビア、モロッコでも大規模ROA失効と復旧が発生
  • 通信自体は維持されるが、RPKIによる保護が消失

RPKIの測定上の注意点

  • RPKI記録の検証方法によっては、実際は有効な経路が“失敗”と誤判定される場合あり
    • 上位証明書へのリンク切れ等が原因
    • 実際のルータ検証では問題なく保護されている場合も多い

経路パス検証（ASPA）の進展

  • RPKIは経路起点の検証のみ、経路パスの検証には ASPA (Autonomous System Provider Authorization) が対応
    • ASPAはネットワークが正規の上流プロバイダを署名付きで公開し、経路リークを検出可能
  • 2025年9月時点で131ネットワークがASPAを公開、2026年には3,272ネットワークへ急増
    • 普及は段階的、今後の発展に期待

Hackerたちの意見

RPKIについて心配なのは、レジストリに対する法的圧力なんだよね。ロシアの許可されたルートをオランダのデータベースサーバーに集中させて、自動的にそれを強制することで、オランダ政府がそのデータベースをいじるだけでロシアのインターネットアクセスを簡単に遮断できちゃう。

└

これはレジストリの法的義務に関する非常に特定の問題だけど、法的権限がレジストリに行動を求める理由の別の側面を無視してるよね。国際法がなかったり、ISPに法的制約がなかった方が世界は良くなると思う？BGPオペレーターが何か特別な存在だと思ってるの？私たちが今いるレジストリシステムは、ほぼ30年も機能してきたもので、以前の非公式な取り決めの名残なんだよ。それは相互関係なんだから、変えたいならその政策プロセスに関わってみてよ。

└

ICANNやRIPEがロシアを困らせる方法はいくつかあると思う。でも、彼らがそれをやってもスプライントネットを生むだけだって理解してる（または理解してほしい）と思うよ。

└

証明書の取り消しが戦争行為になるなんて…2030年代はすごいことになりそうだね。

└

この仮定が起こるためにRPKIは必要ないし、いろんな政府がネットワークプロバイダーに圧力をかける方法はもっと簡単にあるよ。

└

RPKIがなければ、多くの政府がBGP攻撃を仕掛けてロシアのインターネットアクセスを簡単に遮断できる。オランダが一方的に行動していると仮定すると、ロシアのISPは他のISPと連携して別のルートでオンラインに戻ることができる。もしロシアの敵がこの問題を追及したら、ロシアとのピアリングを許可するかどうか、誰が許可しないか、ロシアのピアとピアリングしないことを選ぶかどうかの政治的な問題にすぐに発展するだろう。これは常にそうだった。インターネットはネットワークのネットワークで、ホスト政府がその権限を行使することを選べば、すべてが管理される。RPKIがあろうがなかろうが、インターネットの分断は常に政治的な決定だったんだ。

└

もしそうなったら、ロシアの皆がRPKIの強制をオフにするだけだから、インターネットアクセスが数時間オフになるだけだよ。最近の.deのDNSSECの失敗を見てみて。 [0] それに、レジストリはすでにロシアのIP空間を他の誰かに一方的に移転する能力があるから、例えばそれをAWSに移転して、すぐに使い始めたら、同じような効果がある。ただし、スイッチを切り替えることで修正できるわけじゃない。人々はロシアかAWSに接続するかを選ばなきゃいけなくなるから。 [0]: https://blog.cloudflare.com/de-tld-outage-dnssec/

└

オランダはやらないよ。個人的にはやるべきじゃないと思う。将来的に悪用されやすい前例を作ることになるから。でも実際の理由は、ロシアの影響がオランダで根付いていて、約3分の1の票が親ロシアの政党に入ってるし、MH17の破壊については公の議論からほぼ消えてしまったから。

└

どちらの方向にも勝ち目はないと思うよ。妥当なトレードオフを受け入れなきゃいけない。ただ、高いレベルでは、少なくとも一つの国に集中すべきじゃないという点には同意する。でも、全体の仕組みは相互信頼に基づいてるからね。

└

それか、西側の通信会社にロシアの通信会社と接続を切るよう命じることもできるね。そっちの方がもっと効果的だと思う。

└

IPアドレス空間とドメインネームシステムは中央集権的で、明確なルートがあるから、IANAやRIPEはずっと前にロシアをインターネットから排除できたはずなんだ。彼らがそうしなかった主な理由は、戦争が終わった後のことを考えてるからだと思う。その時、西側はルートAのインターネットを持ち、ロシアはルートBのインターネットを持つことになって、AとBを再統合するのはすごく難しくて、IPv4からIPv6への完全な移行よりも時間がかかる可能性が高いんだ。インターネットとその基盤を管理するすべての組織に共通するテーマは、ルートの分裂を避ける努力だよ。

じゃあ、どのIPブロックがどの国や証明書に属しているかを確認できる公共サービスはあるの？whoisはもう古いよね。

Hacker Newsで議論の続きを見る