小規模なRPKIサーバーを誰が運営しているのか？

記事本文へスキップ UnsplashのConny Schneiderによる写真。ボーダーゲートウェイプロトコル（BGP）には組み込みの信頼性が欠けており、インターネットのルーティング層は偶発的または悪意のあるプレフィックスハイジャックに対して脆弱です。リソース公開鍵基盤（RPKI）は、アドレス空間の所有者が、5つの地域インターネットレジストリ（RIR）にアンカーされた信頼の連鎖を通じて公開されるルートオリジン承認（ROA）により、どの自律システム（AS）が自身のプレフィックスをオリジンとして承認できるかを暗号学的に許可することで、その問題に対処します。ほとんどのROAはRIRによって直接公開されていますが、クラウドプロバイダー、ISP、ホビイスト、教育機関、RPKI as a Service（RPKIaaS）企業によって運営される、小規模で独立して運用される多数の公開サーバーも、グローバルなRPKIデータセットに貢献しています。この記事では、これらの小規模サーバーを誰が運営し、なぜ運営しているのかを調査します。 RPKIとは何か、そしてなぜ気にかけるべきか ウェブサイトを開くたびに、トラフィックはBGPによって案内され、数十のルーターをホップします。BGPはインターネットの接着剤であり、ルーターに地球上のあらゆるIPアドレスに到達するためにパケットをどこに送るべきかを伝えます。問題は、BGPがネットワークがお互いを信頼していた時代、そして誤動作がまだ稀であった時代に設計されたことです。どのネットワークでも、実際には制御していないIPプレフィックスを所有していると（偶発的または悪意を持って）アナウンスできます。これはルーティングインシデントと呼ばれ、トラフィックが誤った宛先に静かにリダイレクトされる原因となる可能性があります。RPKIは、その問題に対するインターネットの（一つの）回答です。IPアドレスブロックの正当な所有者がROAに暗号学的に署名できるようにすることで機能します。ROAは、「IPプレフィックスXは、自律システム番号（ASN）Yによってアナウンスすることが許可されている」という小さなレコードです。ルートオリジン検証（ROV）を実装しているルーターは、これらの署名されたレコードを使用して受信したBGPアナウンスメントをチェックし、一致しないものをドロップします。システム全体は、5つの地域インターネットレジストリ（RIR）にアンカーされた信頼の連鎖に基づいています。ARIN（北米）、RIPE NCC（ヨーロッパ/中東/中央アジア）、APNIC（アジア太平洋）、LACNIC（ラテンアメリカ）、AFRINIC（アフリカ）です。これらの組織はネットワークにIPアドレス空間を発行し、トップレベルのRPKI認証局（CA）を運営しています。ROAオブジェクトは、RIRサーバーから直接、または小規模で独立した公開サーバーから公開できます。 小規模なRPKI公開サーバー ほとんどのROAオブジェクトは、十分にリソースがあり、専門的に維持され、グローバルに信頼されている5つのRIRによって公開されています。しかし、これらの巨人たちの傍らには、クラウドプロバイダー、ホビイスト、教育機関、インターネットサービスプロバイダー（ISP）、RPKIaaS企業によって運営される、小規模な公開サーバーのロングテールが存在します。この記事で説明されている調査中に、私たちはこれらの「小規模」サーバーを調査し、それらから何を学べるか、なぜそれらが運営され、そもそもなぜ存在するのかを調べました。 「小規模」の定義 最初の方法論的な課題は、サーバーを「小規模」にするものを定義することでした。私たちは、ROAカウントに基づいた簡単な定義を使用しました。サーバーは、1,300未満のROAオブジェクトをアナウンスする場合、「小規模」と分類されます。このしきい値は、すべての既知のRPKIサーバーのROAカウントの経験的累積分布関数（ECDF）を検査することによって選択されました。分布は大きく偏っています。少数の大規模プロバイダー（5つのRIRとAmazon Web Services（AWS））がほとんどのROAを占めています。1,300 ROAのカットオフは、これらの大規模プレイヤーとそれ以外との間の自然な区切りを捉えています。1つの注目すべき除外：AWS RPKIリポジトリデルタプロトコル（RRDP）サーバー。AmazonはRPKI公開インフラストラクチャを異常な方法で構築しています。そのアーキテクチャは、他の小規模サーバーとは十分に異なるため、スコープ外とされました。その構築が運用上の利点を提供するかどうかは、今後の研究の未解決の疑問として残っています。 なぜ誰かが独自のRPKIサーバーを運営するのか？ 小規模サーバーの存在は、自然に「なぜわざわざ？」という疑問を投げかけます。RIRはすでにメンバーシップの一部として公開サービスを提供しています。答えは、独立して運用するためのいくつかの正当な理由があるということです。下の表にいくつかの例を挙げます。 理由 | 説明 ---|--- RPKIaaS | RPKIをマネージドサービスとして、統一されたREST APIで提供し、顧客がRIRポータルに直接対話したり、複数のAPIを使い分けたりすることなく、リソース管理を自動化できるようにします。 クロスRIRの簡素化 | 複数のRIR（例：ARINとRIPE）からIP割り当てを受けている組織は、各レジストリでアカウントを維持する代わりに、単一のインターフェースからすべてのROAを更新できます。 研究と教育 | 学術機関やホビイストは、Krill（NLnet LabsのオープンソースCAソフトウェア）を実行してRPKIを実験したり、構成をテストしたり、デプロイメント研究に貢献したりできます。 運用管理 | 公開スケジュール、オブジェクト署名、インフラストラクチャの完全な制御。これは、厳格なセキュリティ要件やカスタムルーティング設定を持つ組織に役立ちます。 楽しみ/学習 | 独自のRPKIサーバーを実行することは、インターネットルーティングインフラストラクチャに関する理解を深めるための正当な方法です。データセット内の最小のサーバーの多くは、個人またはホビーのセットアップのようです。 表1 — 独立したRPKI公開サーバーを運営する理由。 データセット：IP空間統計 Routinator API（バージョン0.15.1）を使用して、2026年4月23日現在、各適格な公開サーバーからすべてのROAオブジェクトを取得しました。結果のデータセットは、1,163の一意のASにわたる3,778のプレフィックスをカバーする2,467の一意のROAを網羅しています。表2は、主要な数値を要約しています。 メトリック | 値 | 備考 ---|---|--- ROAカバレッジを持つIPv4プレフィックス | 1,409 | 約698,000個の個々のIPアドレスをカバー ROAカバレッジを持つIPv6プレフィックス | 2,369 | 天文学的なアドレス範囲をカバー インターネットにおけるIPv4の割合 | 0.0162% | 微小だが無視できない部分 分析された総ROAオブジェクト数 | 3,778 | 1,163の一意のASにわたる 有効なROAオブジェクト | 3,444 (91%) | 暗号検証を通過 無効なROAオブジェクト | 48 (1.2%) | 暗号検証を通過せず 不明 | 286 (7.6%) | さらなる分析から除外 maxLengthを使用するROA | 53.98% | maxLengthセットは、プレフィックスのビットセットよりも小さい BGPカバレッジのないmaxLengthを使用するROA | 19.6% | サブプレフィックスハイジャックのリスクがある可能性 表2 — 小規模RPKIサーバーデータセットの主要統計（2026年4月23日収集データ）。 いくつかの数値が際立っています。カバーされているIPv4空間（698,000アドレス、または全IPv4アドレスの0.016%）とIPv6空間（アドレス数または%）はどちらも小さく見えますが、決して無視できるほどではありません。データセットには、政府サービス（Anguillaの公式ドメインであるgov.aiなど）をホストするプレフィックスや、人々が日常的に依存している可能性のあるその他のサービスが含まれています。これらのサーバーの失敗がインターネットを壊すわけではありませんが、一部のユーザーにとっては、インターネットの一部を静かに検証不可能にする可能性があります。不明なROAオブジェクトは、アクティブなBGPアナウンスメントを持つものはありませんでした。これは良いニュースです。なぜなら、問題のプレフィックスがBGPハイジャックに対して脆弱であることを示唆するからです。 数値の内訳：サーバー概要 表3は、調査からのサーバーごとの統計情報を凝縮しています。各行は1つの公開サーバーを表し、列にはプレフィックス数、有効性の内訳、maxLengthの使用状況、BGP到達可能性、およびFirehol（さまざまな不正リストを組み合わせて包括的で完全なブロックすべきプレフィックスのリストを作成し、許容可能なレベルの安全性を確保しようとする企業）ブロックリストとの重複が表示されます。いくつかの行を以下に例として示します。 サーバー | プレフィックス | 有効 | 無効 | 不明 | MaxLength | BGP % | 対象 | Firehol ---|---|---|---|---|---|---|---|--- r.magellan.ipxo.com | 776 | 755 | 18 | 3 | 164 | 100% | 103 | 4 cloudie-repo.rpki.app | 504 | 504 | 0 | 0 | 424 | 80.8% | 147 | 2 rpki.admin.freerangecloud.com | 476 | 476 | 0 | 0 | 48 | 100% | 28 | 0 rpki.sub.apnic.net | 390 | 254 | 28 | 108 | 91 | 98.2% | 27 | 4 krill.47272.net | 388 | 388 | 0 | 0 | 143 | 96.6% | 69 | 0 rpki.roa.net | 156 | 1