経路ハイジャックって何？（RPKIを普及してリスクを減らそう！）

Cloudflareが公開している「 isBGPSafeYet 」(Is BGP safe yet?)というサイトが気になりました。これはなんでしょうか、世界中の名だたる network operator が「Safe」か「Unsafe」かに分類されちゃってますよ。そして、その下で、「BGPハイジャック（経路ハイジャック）」について、説明されていました。経路ハイジャックは、大規模なインターネット障害としてニュースになるのですが、Cloudflareは何をしたいのでしょうか？ちょっと深堀してみました。

#Cloudflare

#セキュリティ

平野尚志

2023.12.01

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

isBGPSafeYet ？

Cloudflareが公開しているサイトを調べていて「 isBGPSafeYet.com 」(Is BGP safe yet?)というサイトが気になりました。Cloudflareは、このサイトで何をしようとしているのでしょうか？

各大手組織（オペレーター）のBGP（経路情報）の状態が、「Safe（安全）」か、「Unsafe（危険）」か、掲示されている。 # できれば、安全な組織でいて欲しいですね。
BGPハイジャックの説明 # 適切な技術用語は「BGPハイジャック」ですが、一般的には「経路ハイジャック」と日本語訳されるみたい。
Q&A
1. BGP （Border Gateway Protocol ) とは何か
2. BGPが安全とは言えない理由
3. RPKI （Resource Public-Key Infrastructure） とは何か
4. テストはどのように行うか。
5. できることはありますか？
6. 何ができるでしょうか？

経路ハイジャックとは

「 isBGPSafeYet 」に経路ハイジャック（BGPハイジャック）の動きをわかりやすく説明する図が掲載されていました。

経路ハイジャック

Unsafeの場合（予防措置が取られていない）

PC(Laptop)からインターネット上のWebへアクセス経路を示している状況で、正常時のデータの流れを示しています。

その時、「Hijack the Request」というボタンをクリックします。

すると、Hijackerによる「経路ハイジャック」が成功すると、PC(Laptop)のアクセスが別のサイトに誘導されてしまいます。悪意を持って実施された場合には、不正アクセスや情報漏洩などが行われる可能性があります。

Safeの場合（予防措置が取られている→RPKIに対応している）

次に、RPKIという予防措置が実施されているケースが紹介されています。

正常時の動作には、違いはありません。

その時、「Attempt to Hijack」というボタンをクリックします。

RPKIで誤った経路情報の拡散を防ぐことで、経路ハイジャックが試みられても、適切な経路を維持することができることを示しています。

経路ハイジャックの影響と対策

経路ハイジャックが発生すると、望まないところにデータが送られてしまうんですね。怖い怖い。

今のインターネットには、このような危険のある環境が日常なのですね。

その中で、この危険を予防する対策が行われているんですね。

ルーターのBGPにRPKI対応する。
インターネットで経路交換しているルーターが、できるだけ多くRPKI対応した方が、安全性が高まる。
インターネットがより強くなる。
それを呼びかけて、協調してもらう。

この対策は、各組織が努力しなければならないことになるので、対応状況がまちまちになってしまうんですね。

「 isBGPSafeYet 」などでその対応状況を各方面に知らしめることで、社会全体で解決していくことを促しているのでしょうね。

BGPって、どこが弱いの？

インターネットは、AS（Autonomous System）と呼ばれる番号で識別される組織が相互接続することで形成されています。AS間は、BGPというプロトコルで、経路情報を交換しています。各ASは、「自身が使用する経路」を広告（route advertisement、経路を相手に通知）します。この経路が世界中に伝搬することで、地球の裏側にも通信できるようになっています。

ASが本当に「自身が使用する経路」を広告していればよいのですが、悪意か手違いかに関わらず誤った経路を広告できててしまい、相手は信用して受け入れてしまうという弱点があるのです。

よって、「経路の信頼性をどのように担保したらよいか？」を解決する対策が行われているのです。そのキーワードが「RPKI（Resource Public-Key Infrastructure）」となるわけです。

※日本語で技術的な解説してくださっている情報があります。