ネットワーク・通信セキュリティ 重要度:★★出題: AM2・PM1
BGPハイジャック対策 と RPKI / ROA
びーじーぴーはいじゃっく / あーるぴーけーあい / Border Gateway Protocol Security / Resource Public Key Infrastructure (ROA)
インターネット上のAS（自律システム）間で経路情報を交換するBGPにおいて、不正な経路広告による通信乗っ取りを電子証明書（ROA）で検証・排除する仕組み。
3行速習ポイント
- BGPは本来相手の経路広告を無条件に信頼する設計のため、設定ミスや悪意あるASによる「BGPハイジャック（経路乗っ取り）」が発生し得る
- RPKI（リソースPKI）では、IPアドレスブロックの正当な保有者が「自ネットワークのプレフィックスと広告元AS番号の対応」に電子署名したROAを登録
- 各事業者のBGPルータはROAを照合（Route Origin Validation：ROV）し、不正なASからの経路広告（Invalid）を破棄する
図解
図RPKI / ROA による BGP 経路ハイジャック防止の仕組み
11. ROA（経路認可情報）の署名・登録
正当性の宣言IPプレフィックス × 最大長 × 正規Origin AS番号の組
IPアドレス保有者が「自ネットワークのアドレス範囲をどのAS番号から広告するか」の対応情報（ROA）にRPKI電子署名を付与して公開レジストリへ登録
22. BGP UPDATE（経路広告）の受信
経路情報の伝播隣接ASから経路情報（プレフィックスとAS_PATH）を受信
インターネット上の各ASのBGPルータが、他のASから発信されたIPプレフィックスの経路広告を受信
33. ROV（経路オリジン検証）の実行
ハイジャック遮断ROAキャッシュと照合し Valid / Invalid を判定
BGPルータがRPKIキャッシュサーバのROAデータと照合し、未認可のAS番号からの広告や最大プレフィックス長違反を Invalid と判定して破棄
💡 BGPはロンゲストマッチ（より長いプレフィックス長優先）で経路選択するため、ROAのMaxLength指定とROV検証で詳細経路の偽広告を破棄する
概要と本質
攻撃者が他社のIPアドレス空間（より詳細なサブネットマスク：ロンゲストマッチを悪用）を自ASから広告すると、世界中のトラフィックが攻撃者のASへ吸い寄せられ、通信傍受や偽サイト誘導が可能になります。RPKI/ROAおよびBGPsecはこの経路広告の真正性を暗号技術で保証します。
重要ポイント・コア概念
- ロンゲストマッチの悪用：BGPルータはプレフィックス長が長い（より詳細な）経路を優先するため、/24などの詳細経路を偽広告されると全域に波及しやすい
- ROA（Route Origin Authorization）：IPアドレスプリフィックス、最大プレフィックス長（MaxLength）、正当なOrigin AS番号の組に署名したデータ
- BGPsec：Origin ASだけでなく、途中のASパス（AS_PATH属性）全体の改ざんも電子署名連鎖で防止する拡張仕様
午後記述・情報セキュリティ対策での攻略ポイント
午前IIで「ROAに登録される情報の組（AS番号とIPアドレスプリフィックス）」や「RPKIの目的」が頻出です。
午後記述で使える加点キーワード（クリックでコピー）
関連する重要用語
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
