経路ハイジャックって何？（RPKIを普及してリスクを減らそう！）

Cloudflareが公開している「 isBGPSafeYet 」(Is BGP safe yet?)というサイトが気になりました。これはなんでしょうか、世界中の名だたる network operator が「Safe」か「Unsafe」かに分類されちゃってますよ。そして、その下で、「BGPハイジャック（経路ハイジャック）」について、説明されていました。経路ハイジャックは、大規模なインターネット障害としてニュースになるのですが、Cloudflareは何をしたいのでしょうか？ちょっと深堀してみました。

平野尚志

2023.12.01

isBGPSafeYet ？

Cloudflareが公開しているサイトを調べていて「 isBGPSafeYet.com 」(Is BGP safe yet?)というサイトが気になりました。Cloudflareは、このサイトで何をしようとしているのでしょうか？

各大手組織（オペレーター）のBGP（経路情報）の状態が、「Safe（安全）」か、「Unsafe（危険）」か、掲示されている。 # できれば、安全な組織でいて欲しいですね。
BGPハイジャックの説明 # 適切な技術用語は「BGPハイジャック」ですが、一般的には「経路ハイジャック」と日本語訳されるみたい。
Q&A
1. BGP （Border Gateway Protocol ) とは何か
2. BGPが安全とは言えない理由
3. RPKI （Resource Public-Key Infrastructure） とは何か
4. テストはどのように行うか。
5. できることはありますか？
6. 何ができるでしょうか？

経路ハイジャックとは

「 isBGPSafeYet 」に経路ハイジャック（BGPハイジャック）の動きをわかりやすく説明する図が掲載されていました。

経路ハイジャック

Unsafeの場合（予防措置が取られていない）

PC(Laptop)からインターネット上のWebへアクセス経路を示している状況で、正常時のデータの流れを示しています。

その時、「Hijack the Request」というボタンをクリックします。

すると、Hijackerによる「経路ハイジャック」が成功すると、PC(Laptop)のアクセスが別のサイトに誘導されてしまいます。悪意を持って実施された場合には、不正アクセスや情報漏洩などが行われる可能性があります。

Safeの場合（予防措置が取られている→RPKIに対応している）

次に、RPKIという予防措置が実施されているケースが紹介されています。

正常時の動作には、違いはありません。

その時、「Attempt to Hijack」というボタンをクリックします。

RPKIで誤った経路情報の拡散を防ぐことで、経路ハイジャックが試みられても、適切な経路を維持することができることを示しています。

経路ハイジャックの影響と対策

経路ハイジャックが発生すると、望まないところにデータが送られてしまうんですね。怖い怖い。

今のインターネットには、このような危険のある環境が日常なのですね。

その中で、この危険を予防する対策が行われているんですね。

ルーターのBGPにRPKI対応する。
インターネットで経路交換しているルーターが、できるだけ多くRPKI対応した方が、安全性が高まる。
インターネットがより強くなる。
それを呼びかけて、協調してもらう。

この対策は、各組織が努力しなければならないことになるので、対応状況がまちまちになってしまうんですね。

「 isBGPSafeYet 」などでその対応状況を各方面に知らしめることで、社会全体で解決していくことを促しているのでしょうね。

BGPって、どこが弱いの？

インターネットは、AS（Autonomous System）と呼ばれる番号で識別される組織が相互接続することで形成されています。AS間は、BGPというプロトコルで、経路情報を交換しています。各ASは、「自身が使用する経路」を広告（route advertisement、経路を相手に通知）します。この経路が世界中に伝搬することで、地球の裏側にも通信できるようになっています。

ASが本当に「自身が使用する経路」を広告していればよいのですが、悪意か手違いかに関わらず誤った経路を広告できててしまい、相手は信用して受け入れてしまうという弱点があるのです。

よって、「経路の信頼性をどのように担保したらよいか？」を解決する対策が行われているのです。そのキーワードが「RPKI（Resource Public-Key Infrastructure）」となるわけです。

※日本語で技術的な解説してくださっている情報があります。

2014/12/05 インターネット経路制御の信頼性向上に向けて～RPKIの普及と課題～
2021/01/27 RPKI 101(2020/05)
2021/03/30 IIJのRPKIの取り組み

RPKIとは

「isBGPSafeYet」は、経路ハイジャックの予防措置として、すべてのインターネットオペレーターに向けて、ルーターの「RPKI（Resource Public-Key Infrastructure）」対応を呼びかけることのようです。

このRPKIとは何なんでしょうか？

RPKIは、IPアドレス（経路）やAS番号に関して、誰が正しいROV（Route Origin Validation）所有者なのか、電子証明書で証明できる。
RPKIは、各地域のインターネットレジストリー(APNIC、AfrNIC、RIPE、ARIN、RIPE、LACNICなど)によって運用されている。
RPKIにより、IPアドレス（経路）が正しいか、誤っているか、検証できる。

※日本語で技術的な解説してくださっている情報があります。

2014/12/05 インターネット経路制御の信頼性向上に向けて～RPKIの普及と課題～
2021/01/27 RPKI 101(2020/05)
2021/03/30 IIJのRPKIの取り組み

RPKIを使うと、どうして経路ハイジャック対策になるの？

RPKIを使って、正しい経路だけ受け入れられる仕組みに移行することで、誤った経路の混入を防ぐことができます。

RPKIによる経路の 電子証明書 を ROA(Route Origination Authorization)という。
受信した経路をROAで検証することをROV（Route Origin Validation）という。
受信した経路をROVした結果により、一般的には不正な経路は破棄される。
経路をROAでROVすると、正しい経路をルーターに投入できるようになる。

RPKIに対応する組織(AS)が増えれば増えただけ、インターネットの安全性・安定性が高まっていきます。

Cloudflareの経路安全性やRPKIの情報共有サイト

現代は、インターネットの情報網に依存する社会になっていますが、脆弱なところ（リスク）が残っているんですね。リスクは、ずいぶん前から認識されていて、その解決方法も研究され続けています。

時間はかかっていますが、良い解決方法を提案して、オープンに議論して、インターネットにかかわる事業者が歩調を合わせて、それぞれに実装されていきます。

そして、リモートワークが認知された現在、一般の利用者にとっても、世界のどこでも同じような環境が提供される環境をより安全にするためには、安全で安定したインターネットの存在が不可欠なので、ちょっとづつできることをやるということが必要なんですね。

Web サイト	概要
https://isbgpsafeyet.com/	Is BGP safe yet? No.
https://rpki.cloudflare.com/	RPKI Explore the Routing Security ecosystem

参考情報、出典

Cloudflare リンク集

Cloudflareに関するメディア掲載記事（Published in an IT magazine）

Cloudflare 報道発表資料（Published in PRTIMES）

Classmethod

- 「Cloudflare」タグの記事一覧

経路ハイジャックって何？（RPKIを普及してリスクを減らそう！）

isBGPSafeYet ？