RPKIによるインターネット経路の保護率、1年で54%から70%へ

IPinfoは、ルーティングされたプレフィックスのうちRPKIで検証済みのものの割合が、2025年9月の54.0%から2026年9月には70.3%に上昇したと報告した。中国の伸びが大きく寄与しているという。

RPKI (Resource Public Key Infrastructure) は、IPアドレスの保有者が、経路広告を許可する自律システム (AS) を署名付きのROA (Route Origin Authorization) として公開する仕組みである。IPinfoは、2026年9月28日時点の可視性分析に基づき、RPKIの普及状況と経路の誤りを報告している。

普及率の推移

2026年9月28日時点で、ルーティングされたプレフィックスは1,614,288件であった。同記事によると、IPv4アドレスのうちRPKI検証済みの経路に含まれる割合は65.0%で、中国を除くと63.2%となる。

• 検証済みプレフィックスの割合は、2025年9月の54.0%から2026年9月の70.3%へ16.4ポイント上昇した。
• 中国のIPv4アドレスのうち検証済み経路に含まれる割合は、2025年9月の3.7%から2026年9月の83.0%に上がった。
• 無効なIPv4プレフィックスの件数割合は、スペインが28.2%で最も高かった。

経路の誤りと事例

同記事は、無効な経路はほとんど伝播しないと述べている。RPKIによる検証の有無は、2008年の事例とも関連づけられている。2008年2月24日、Pakistan Telecom (AS17557) がYouTubeのアドレスに対してより具体的な経路を広告し、PCCW Global (AS3491) がそれを受け入れて転送したため、約2時間にわたりYouTubeのトラフィックが迂回された。

2026年8月28日には、Hetzner (AS24940) を発信元として偽装した162.55.80.0/24の経路が現れ、RPKI検証では有効と判定された。同記事によると、これはROAのmaxLengthが緩く設定されていたためである。Hetznerは事案後に3つのプレフィックスを厳格化したが、保護対象の63経路のうち49経路は依然として開放されたままである。

Kentikによると、この偽装経路は、Virtualizorの悪意ある更新を仮想化ホストに配信するために使われる可能性がある。

その他の事例は次のとおりである。

• SEACOM (AS37100) は1月1日に、6件のROAのうち4件を失った。
• Saudi Telecom (AS25019) は、3月30日から4月13日までの間に19経路でRPKIの保護を失った。ROAは9月21日と22日に復旧した。
• WIND TRE (AS1267) は、自身のROAが許可していない34経路を自身のアドレス空間で広告している。

ASPAの導入状況

ASPA (Autonomous System Provider Authorization) の導入も進んでいる。ASPAレコードを持つネットワークは、2025年9月28日の131件から2026年9月28日には3,272件に増加した。ASPAで検証可能な経路の割合は、同期間に6.2%から9.7%に上がった。

Syrian Telecom (AS29386) は、観測されたトランジットの大半をカバーしていない4社の事業者を指定するASPAレコードを公開している。同記事は、Job Snijders氏が「seems to be stalling」と述べたことも伝えている。

筆者の見立て

• 筆者は、RPKIは設計どおりに機能しているとみている。
• 筆者は、この誤りはまさにRPKIが防ぐよう設計された種類のものだと論じている。
• 筆者は、保護率の上昇は大きいと評価している。
• 筆者は、RPKIが経路の不安定化を引き起こしているわけではないと解釈している。
• 筆者は、この結果は国別のRPKI統計の読み方を変えるものだと示唆している。
• 筆者は、これこそが実質的な進展だと論じている。
• 筆者は、これが必ずしも経路の悪化を意味するわけではないと解釈している。
• 筆者は、実際の穴は小さいと論じている。
• 筆者は、ここには重大な測定上の落とし穴があると論じている。
• 筆者は、世界全体のASPA失敗率はまだインターネットの健全性を示す指標ではないと示唆している。
• 筆者は、ASPAにより他者がPCCWの経路上の位置を確認できるようになると解釈している。
• 筆者は、残る穴は主にアドレスを保有するネットワーク側の対応に依存していると解釈している。
• 筆者は、RPKIに不具合はなく、ROAがそれを許可していたのだと解釈している。
• 筆者は、RPKIは発信元の許可を検証するものであり、万能ではないと論じている。
• 筆者は、その失敗の原因を特定するには慎重さが必要だと論じている。
• 筆者は、最上位にあるCogent、Arelion、GTTのネットワークが正しく対応していると論じている。

この記事は元記事の事実のみに基づいて自動生成されました。

出典

• 媒体: IPinfo
• 原題: RPKI Now Protects 70% of Internet Routes, Up From 54% a Year Ago
• URL: https://ipinfo.io/blog/rpki-protects-70-internet-routes
• (RIPE NCC、Internet Society Pulse、Kentik、Hurricane Electric、RIPE Labs、RIPE RIS、RouteViews) の報道による