RPKIがインターネットルートの70%を保護するようになる

インターネットは、BGP（Border Gateway Protocol）を使用して、ネットワーク間でどのIPアドレスにトラフィックを配信できるかを互いに伝えることに依存しています。これらのルーティングアナウンスメントは、歴史的に信頼に大きく依存してきました。ネットワークが、意図的か偶発的かにかかわらず、本来アナウンスすべきでないアドレスをアナウンスすると、トラフィックが誤った場所に送信され、サービスが到達不能になる可能性があります。 2008年2月24日、Pakistan Telecom（AS17557）は、YouTubeのアドレスに対してより具体的なルートをアナウンスすることで、パキスタン国内でYouTubeをブロックしようとしました。そのアップストリームプロバイダーであるPCCW Global（AS3491）は、このアナウンスメントを受け入れ、インターネット全体に伝え、約2時間（RIPE NCCのケーススタディ）にわたってYouTubeのトラフィックを世界中にリダイレクトしました。これはまさにRPKIが防止するように設計されているエラーの一種です。RPKIに関する作業は2年前にIETFで開始され、地域インターネットレジストリは2011年にRPKI証明書の発行を開始しました。 RPKI（Resource Public Key Infrastructure）により、IPアドレスブロックの所有者は、それをアナウンスすることを許可されたネットワーク（Autonomous Systems、またはAS）を指定した署名付きレコードであるRoute Origin Authorization（ROA）を発行できます。RPKIをチェックするネットワークオペレーターは、アナウンスメントをこれらのレコードと比較し、失敗したものを拒否できます。 RPKIで有効とされているルーティングプレフィックス（IPアドレスブロック）の割合は、2025年9月の54.0%から2026年9月には70.3%に上昇し、1年間で16.4パーセンテージポイント、つまり30%増加しました。これは急激な増加です。その前の2年間では、それぞれ3〜4ポイントの上昇でした。この急増の大部分は1つの国によるもので、中国はIPv4アドレスの3.7%を有効なルートで占めていたのが83.0%になり、世界の増加分の約60%を占めました。 RPKIは、過去1年間で、その前の2年間を合わせたよりも多く成長しました。16.4ポイントに対し、それぞれ3.9ポイントと3.2ポイントでした。各年の9月28日にデータを取得。 RPKIは設計どおりの機能を発揮しています。典型的な有効なプレフィックスは、公開されているRIPE RISおよびRouteViewsコレクターに接続するルーターの596に観測されます。RPKIレコードがないものは595、無効なものはわずか2に観測されます。無効なルートはほとんど伝播しない 8月、Internet Society Pulseは、RPKI関連のアクティビティが毎日のBGPアップデート量の1%未満を占めていることを発見しました。この割合は上昇していますが、まだ小さいため、RPKI自体がルーティングを不安定にしているわけではありません。私たちは、RPKIが実際にインターネットルーティングを保護しているかどうかを知りたいと思っていました。 RPKIステータス別のBGPの観測点（RIPE RISおよびRouteViewsコレクターのピア）が各プレフィックスを観測した数。2026年9月28日、1,614,288のルーティングプレフィックス全体。 RPKIレコードを持つルートとレコードを持たないルートは同じように遠くまで伝播します。典型的なものは596の観測点、レコードがないものは595の観測点に観測されます。チェックに失敗したルートはわずか2つの観測点にしか観測されません。十分な数のネットワークがチェックするようになったため、これらの無効なルートはドロップされています。無効なルートのほぼ半分は、単一の観測点にしか到達しません。誤ったネットワークがアドレスをアナウンスする場合、最も明確なハイジャックまたはミスの種類ですが、71%は1つにしか到達しません。 これにより、国レベルのRPKI統計の読み方が変わります。ある国が悪く見えるのは、ほとんど誰も見ないアナウンスメントのせいかもしれません。 無効なルートの数を単純に数えることは、その国がどの程度影響を受けているかを大幅に誇張する可能性があります。スペインは無効なIPv4プレフィックスの割合が28.2%と最も高くなっています。それらのルートに含まれるアドレス数を、各ルートが観測されている観測点の数で重み付けしてカウントすると、0.057%に低下します。スロバキアは17.4%からほぼゼロに低下します。イタリアは、100万IPv4アドレスを持つ国の中で最も高い0.121%を記録しており、1年前の0.075%から上昇しています。そのうち90%は1つのネットワークによるものです。WIND TRE（AS1267）は、自身のROAで許可されていない34のルートをアナウンスしています。19はROAで許可されているよりも詳細であり、15はAS1267からアナウンスされていますが、ROAはWIND TREの別のネットワークであるAS24608を指定しています。いずれも77の観測点以上に到達せず、その周辺の署名済みブロックの約617と比較されます。 左側のボックスは、Dixonの代替新生代に短期間だけ繁栄した、細身の走行性竜脚類の骨格を示しています。私はこのクリーチャーについては、この投稿ではあまり言及しません。なぜなら、16年前の私たちの考えは pretty well 持ちこたえていると考えており、興味があれば元の投稿を読むことができるからです。上のスプレッドのもののうち、Lumberは鼻があり、実際にそれのために作られており、これまでのところ発見されたどの実世界の竜脚類とも異なり、Turtosaurは竜脚類の骨板を論理的な結論に導いています。私は両方とも好きです。 グレー：国のルーティングされたIPv4プレフィックスのうちRPKIが無効である割合。青：無効なルートにあるIPv4アドレスの割合、各ルートが観測されている観測点の数で重み付け。100万IPv4アドレス以上を持つ、グレーの割合が最も高い12カ国、2026年9月28日。各国の後の数字はそのグレーの割合による順位です。 中国が2026年の急増の大部分を牽引 各年の9月28日にIPv4アドレスでカウントすると、RPKI有効ルートにある割合は2023年の42.7%から2024年には47.9%、2025年には53.1%、2026年には65.0%に上昇しました。最後のジャンプは11.9ポイントで、前の各年は約5ポイントでした。 中国を除くと、その割合は58.0%から63.2%に上昇し、5.2ポイントの増加で、前年よりもわずかに少なくなりました。 中国自体の変化は並外れたものでした。2025年9月にはIPv4アドレスの3.7%が有効なルートにありましたが、1年後には83.0%になりました。その大部分は今年発生しました。2025年12月末には、中国のルーティングプレフィックスのわずか2.9%しか有効ではありませんでした。それは世界の数字を動かす方向も変えました。2025年には中国は世界平均を押し下げました。世界全体で53.1%、中国を除くと58.0%でした。2026年には押し上げました。世界全体で65.0%、中国を除くと63.2%でした。他の国々も大きく動きました。エジプトは23%から99%、カザフスタンは16%から84%、メキシコは37%から78%、南アフリカは38%から60%でした。 各国のIPv4アドレスのうちRPKI有効ルートにある割合、2026年9月28日。グレーはデータなしを意味します。 保護されていないアドレスがどこにあるかも同様に集中しています。2026年9月28日時点でRPKI有効ルートにないすべてのルーティングIPv4スペースのうち、約60%が米国にあり、アドレスの約4分の1は米国国防総省に属しています（IPv4の保有者については、今後の投稿で詳しく説明します）。その大部分は、国防総省が2021年に不正使用を監視するためにアナウンスを開始したスペースであり、サービスを実行するためではありません。 IPv6が先行 2025年初頭には、IPv6のRPKI採用が鈍化しているという懸念がありました。しかし、代わりに加速し、現在ではIPv4を追い越しました。RIPE LabsのRPKI 2024年レビューでは、Job SnijdersはIPv6 ROAの成長が「停滞しているように見える」と指摘しました。私たちの期間中、RPKIで有効とマークされたIPv6ルーティングプレフィックスは56%から79%に増加し、IPv4プレフィックスは54%から68%に増加し、IPv6が約10ポイント先行しました。Hurricane ElectricのRPKIレポートも同じ順序を示しています。 彼が指摘した他の2つの指標も変化しました。ROAあたりの平均アドレスブロック数は、12月末の2.31から2.62に回復し、彼が63から53に減少したと数え、統合と読んだ公開ポイントは、レジストリに依存するのではなく、より多くの組織が独自のレポジトリをホストするようになったため、73から91に増加しました。 アドレスファミリー別の、RPKIで有効とマークされたルーティングプレフィックスの割合。毎日、2025年9月28日から2026年9月28日まで。 RPKIができないこと RPKIは、プレフィックスをオリジネートできるかどうかを検証します。パスを検証するわけではなく、公開した許可の範囲内に留まる攻撃者を検出できないため、万能ではありません。 2026年8月28日、162.55.80.0/24（256アドレスのブロック）のルートがHetznerのAS24940をオリジンとして偽装して出現しました。HetznerのROAは、周囲の/16（256倍大きいブロック）をカバーしており、/24のような小さなアナウンスメントも許可していたため、偽装されたルートはそれを満たしていました。ルートはRPKIで有効であり、競合する正当な/24は存在せず、最長プレフィックスマッチにより、誰もがそれを優先しました。これは、Kentikによって文書化されているように、正規のTLS証明書を取得し、ハイパーバイザーに悪意のあるVirtualizorアップデートを提供するのに十分でした。RPKIに関する何もない