BGPハイジャック とは？

BGPは、ASと呼ばれるネットワーク同士で、宛先のIPアドレス範囲への経路情報を交換するよ。不正な経路を知らせ、それが使われると、本来のネットワークとは違う側へ通信が向かってしまうんだ。

必ずではないよ。不正な情報をBGPの経路交換に入り込ませる必要があり、受信側がその経路を受理して、通信に使う経路として選択した場合に影響する。フィルタや経路選択の設定によって、影響するネットワークの範囲も変わるんだ。

到達不能にする、別の場所へ集める、途中を通して横取りする、といった被害が考えられるよ。ただし、正しく相手を認証したTLS通信なら、経路をそらしただけで暗号化された本文を読めるわけではない。経路の保護と通信内容の保護は別の役割なんだ。

RPKIの情報を使う起点ASの検証は、そのIPアドレス範囲をどのASが広告してよいかを確認するよ。Valid、Invalid、NotFoundという判定があり、Validでも途中のAS経路全体を保証するわけではない。NotFoundも、不正だと確定した意味ではないよ。

顧客から受け入れるIPアドレス範囲を制限するなど、経路フィルタを適切に設定するよ。BGPsecはAS経路を検証するための仕組みで、起点ASの検証を補う役割がある。検証結果をどう扱うかという運用も含め、対策を組み合わせるんだ。