概要

BGP（Border Gateway Protocol）は、インターネットを構成する自律システム（AS：Autonomous System）どうしが経路情報を交換するための基幹プロトコルです。「どのIPアドレス帯（プレフィックス）にどの経路で到達できるか」をAS間で広告し合うことで、世界中のネットワークが相互接続されています。BGPはDNSの名前解決層より下位の「経路制御層（ルーティング層）」を担いますが、設計当初から経路広告の正当性を検証する仕組みを持たず、性善説の上に成り立っています。誤設定や悪意ある経路ハイジャックが過去に何度も大規模障害・通信の不正な迂回を引き起こしており、SC試験ではその原理とRPKI・BGPsecによる対策が問われます。

仕組みと動作原理

AS間の経路広告の基本

インターネットは無数のAS（ISP・大学・企業等が保有するネットワークの単位で、AS番号で識別）の集合体です。各ASは自身が保有するIPアドレス帯（プレフィックス）を隣接ASに広告し、広告を受け取ったASはさらに別の隣接ASへ転送（再広告）します。この繰り返しにより、経路情報がインターネット全体に伝播します。

AS65001（プレフィックス保有者）
  → 「203.0.113.0/24 は AS65001 経由で到達可能」と広告
    → 隣接AS65002が受信し、自身の情報を付加して再広告
      → さらに隣接ASへ伝播（AS_PATHとして経由AS番号が蓄積）

BGPルータは複数の経路候補から、AS_PATH（経由AS数）の短さなどを基準に最適経路を選び、実際のパケット転送に使用します。重要な弱点は、この経路広告に電子署名等の認証機構がなく、広告元が本当にそのプレフィックスの正当な保有者かを検証できない点です。

経路ハイジャックの原理

経路ハイジャックとは、本来の保有者ではないASが、自分が保有していないIPアドレス帯を「自分経由で到達可能」と誤って（あるいは意図的に）広告し、そのプレフィックス宛の通信を不正に引き寄せる現象です。

種類原因典型例
誤設定によるハイジャックオペレータの設定ミスで他社プレフィックスを誤って広告2008年 Pakistan Telecom による YouTube 経路のハイジャック
意図的な経路ハイジャック攻撃者が意図的に他社プレフィックスを広告し通信を奪取暗号資産取引所向けDNSサーバへの経路を乗っ取り、DNS応答を改ざんして資産を窃取した事例
経路リーク（Route Leak）本来伝播すべきでない経路情報を誤って外部に再広告学術網向け限定経路が誤って全世界に伝播し大規模障害

より短い（より詳細な）プレフィックスが優先される性質（more-specific優先）を悪用し、正規の /24 広告に対し /25 のようなより詳細な経路を偽って広告することで、通信を確実に奪取する手口もあります。

経路ハイジャックによる通信の不正な迂回
1
正規AS
自社プレフィックス（例: 203.0.113.0/24）を正常に広告
 2
攻撃者AS（または誤設定AS）
同一または、より詳細なプレフィックスを自分経由として広告
認証機構がないため誰でも広告できてしまう
 3
他のASのBGPルータ
AS_PATHの短さ・詳細度から不正な経路を最適経路として選択
正規経路より優先されてしまう
 4
利用者の通信
攻撃者AS経由に迂回
盗聴・改ざん・通信途絶（ブラックホール化）が発生

実際の影響： 経路ハイジャックは単なる通信障害にとどまらず、迂回先で通信内容を盗聴・改ざんされる中間者攻撃や、暗号資産の窃取、大陸規模でのサービス断など重大インシデントに発展した事例が複数報告されています。

RPKI（Resource Public Key Infrastructure）による対策

RPKIは、IPアドレス帯とAS番号の正当な保有者をデジタル証明書で証明する公開鍵基盤です。地域インターネットレジストリ（RIR：APNIC・ARIN等）を信頼のアンカーとし、保有者は「このプレフィックスはこのAS番号が広告してよい」という電子署名付きの証明（ROA：Route Origination Authorization）を発行します。

構成要素役割
RIR（地域インターネットレジストリ）IPアドレス帯・AS番号を割り当て、信頼のアンカーとなる証明書を発行
ROA（Route Origination Authorization）「このプレフィックスはこのAS番号が起点として広告してよい」という電子署名付きの証明
RPKI検証キャッシュサーバ（Relying Party）ROAを収集・検証し、BGPルータに正当性情報を提供
BGPルータ（Origin Validation）受信した経路広告をROAと照合し、Valid/Invalid/Unknownを判定
RPKIによる経路正当性検証の構成要素
RIR
信頼のアンカー・証明書発行
ROA
プレフィックスと起点ASの署名付き証明
検証キャッシュサーバ
ROAを収集・検証
BGPルータ
Origin Validationで受信経路を判定
RPKI
経路の正当性を検証

RPKIによるOrigin Validationは、経路広告の「起点AS」がプレフィックスの正当な保有者と一致するかのみを検証します。AS_PATH全体（経路の途中経路）の正当性までは保証しない点が重要な限界です。

BGPsecの考え方

BGPsecは、RPKIの限界であるAS_PATH全体の正当性を検証するために標準化された拡張です。経路広告が伝播する各AS区間ごとに電子署名を付与し、経路情報全体（起点から現在までの経路）が改ざんされていないことを暗号学的に保証します。

観点RPKI（Origin Validation）BGPsec
検証対象起点ASとプレフィックスの正当性のみAS_PATH全体（経路すべて）の正当性
防げる攻撃なりすまし起点による経路ハイジャック経路途中の改ざん・付け替えを含む高度な攻撃
導入負荷比較的軽い（現在普及が進行中）重い（全経路上のルータ対応が必要で普及率は低い）
現状主要IX・ISPで導入が進む実運用での普及はごく限定的

SC試験での頻出ポイント

  • BGPには認証機構がない：経路広告の真正性を検証する仕組みがなく、誤設定・悪意ある広告がそのまま伝播してしまう
  • 経路ハイジャックの手口：正規プレフィックスと同一または、より詳細（more-specific）なプレフィックスを広告して通信を奪取する
  • RPKI（Origin Validation）の効果と限界：起点ASの正当性は検証できるが、AS_PATH途中の改ざんまでは防げない
  • ROAの役割：プレフィックスと広告してよいAS番号を結び付ける電子署名付き証明
  • BGPsecはAS_PATH全体を保護するが普及率が低い：RPKIとの守備範囲の違いを区別して問われる

よくある誤問・ひっかけパターン

誤り① 「RPKIを導入すれば経路ハイジャックを完全に防げる」→ 誤。RPKI（Origin Validation）は起点ASとプレフィックスの正当性を検証するのみで、経路途中（AS_PATH）の改ざんや付け替えまでは防げません。それを補うのがBGPsecです。

誤り② 「経路ハイジャックは常に悪意ある攻撃者による意図的な行為である」→ 誤。実際にはオペレータの設定ミス（誤って他社プレフィックスを広告してしまう等）による事例が多く、大規模障害の多くは誤設定に起因します。

誤り③ 「BGPsecが広く普及しているのでBGPの経路は基本的に安全」→ 誤。BGPsecは全経路上のルータが対応する必要があり導入負荷が大きいため、実運用での普及率は低いのが現状です。現時点での主要な対策はRPKIによるOrigin Validationです。

関連用語

  • DNSセキュリティ — 名前解決層の防御。BGPは一段下の経路制御層を担い、経路ハイジャックはDNS応答の改ざんと組み合わされる場合がある
  • ゼロトラストアーキテクチャ — 境界防御が前提とするネットワーク経路自体の信頼性がBGPの脆弱性で揺らぐ
  • DDoS攻撃と対策 — 経路ハイジャックはトラフィックの不正な迂回・ブラックホール化としてDoSの一形態にもなる
  • PKI（公開鍵基盤） — RPKIはPKIの仕組みをインターネット資源（IPアドレス・AS番号）の証明に応用したもの

重要キーワード

用語説明
BGP自律システム（AS）間で経路情報を交換するインターネットの基幹ルーティングプロトコル
AS（Autonomous System）単一の管理主体が運用するネットワークの単位。AS番号で識別される
経路ハイジャック正当な保有者でないASが他者のプレフィックスを不正に広告し通信を奪取する現象
RPKIIPアドレス帯とAS番号の正当な保有者を証明する公開鍵基盤
ROAプレフィックスと広告してよい起点AS番号を結び付ける電子署名付き証明
BGPsecAS_PATH全体に電子署名を付与し経路情報の改ざんを防ぐBGPの拡張