インターネットは、ルーティング情報を交換するためにBorder Gateway Protocol (BGP) に依存しており、このシステムは歴史的に高度な信頼関係に基づいて機能してきました。この信頼モデルは、ネットワークが所有していないIPアドレスを宣言する「ルートハイジャック」を許容し、世界的なトラフィックを転送させる可能性があります。これを緩和するために、暗号技術を用いたフレームワークとしてResource Public Key Infrastructure (RPKI) が開発されました。これにより、IPアドレスブロックの保持者はRoute Origin Authorizations (ROA) を公開することができ、これはそれらのアドレスを宣言する権限を持つ特定のAutonomous Systems (AS) を指定する署名付きのレコードです。ネットワークオペレーターは、Route Origin Validation (ROV) を実行することで、権限のない宣言を自動的に拒否することができます。
IPinfoによる最近の分析では、ルーティングされるプレフィックスの70.3%が現在RPKIで有効とされており、前年比で30%増加しました。この成長は中国の影響を強く受けており、中国における有効なルート内のIPv4アドレスのシェアは、2025年の3.7%から2026年には83.0%へと急増しました。対照的に、IPv6におけるRPKIの採用はIPv4よりもさらに速く加速しており、現在、IPv6のルーティングプレフィックスの79%が有効としてマークされています。この急速な拡大にもかかわらず、このシステムは完全なセキュリティソリューションではありません。RPKIはルートのオリジンのみを検証し、データがそのオリジンに到達するまでの経路を検証するものではありません。これに対処するため、承認されたアップストリームプロバイダーを検証するAutonomous System Provider Authorization (ASPA) が展開されていますが、現在はルーティングの約3.5%しか検証していません。
データは、2026年にIPv4有効ルートが83%に達した中国におけるRPKI採用の劇的な急増を示しています。
IPv6におけるRPKIの採用はIPv4よりもさらに速く加速しており、現在、IPv6のルーティングプレフィックスの79%が有効としてマークされています。
「ルーズ」なROA構成により、依然として重大なセキュリティ上のギャップが存在します。RPKIでカバーされているIPv4ルートの約16.2%は、ROAが実際に宣言されているものよりも大きなブロックを許可しているため、偽造されたRPKI有効ルートを許容してしまいます。この特定の構成は、2026年8月に不正なTLS証明書を取得するために悪用されました。さらに、SEACOMやOrange Marocの事例に見られるように、オペレーターのROAが期限切れになったり削除されたりすると、RPKIの保護が密かに失われる可能性があります。Internet Societyは、RPKI関連の活動が日々のBGP更新ボリュームの1%未満を占めており、ネットワークを不安定にするものではないと指摘していますが、より検証されたルーティングインフラへの移行は、パスの完全性や異なるサービスプロバイダー間での一貫した構成に関して依然として課題に直面しています。
SEACOMやOrange Marocの事例に見られるように、オペレーターのROAが期限切れになったり削除されたりすると、RPKIの保護が密かに失われる可能性があります。