ROA で防げる経路の詐称
A 社は AS 64500 を運用し，192.0.2.0/24 を BGP で広告している。経路ハイジャック対策として，RPKI に ROA（プレフィックス 192.0.2.0/24，起源 AS 64500）を登録した。A 社の経路を受信する ISP のうち，起源検証（ROV）を行う ISP は，Invalid と判定した経路を破棄している。ROA の登録によって得られる効果に関する記述として，適切なものはどれか。
- アROA には経路が経由してよい AS の並びも記載されるので，ROV を行う ISP は，AS_PATH の途中に A 社が許可していない AS を含む経路も破棄できる。
- イROA は BGP の UPDATE メッセージに A 社の署名として付加されるので，ISP との BGP セッション上で経路情報が改ざんされることも防げる。
- ウ他の AS が，より長いプレフィックス 192.0.2.0/25 を自らを起源として広告した経路は，ROA のプレフィックスと一致しないので，ROV を行う ISP でも破棄されない。
- エROV を行う ISP では，他の AS が自らを起源として広告した 192.0.2.0/24 の経路は破棄されるが，AS_PATH の末尾に AS 64500 を付けて広告された偽の経路は破棄されない。
正解と解説を見る
正解 エ
この問題の基礎知識
- ROA は，プレフィックスの保有者が，指定した AS にそのプレフィックスを起源として広告することを許可する RPKI の署名付きオブジェクトで，AS 番号，プレフィックス，任意の最大長を含む。
- 起源検証（ROV）は，AS_PATH の末尾の起源 AS とプレフィックスを ROA と照合し，ROA の範囲内で起源 AS が一致し長さが最大長以内なら Valid，それ以外は Invalid，どの ROA の範囲にもなければ NotFound とする。
- ルータは，宛先アドレスに一致する経路のうちプレフィックス長が最も長いもの（最長一致）を使って転送するので，より長いプレフィックスの経路が優先される。
- 起源検証は起源 AS だけを確かめるもので，AS_PATH 全体の正しさを検証する経路検証（BGPsec）や，BGP セッション自体を保護する TCP-AO とは目的が異なる。
ROA は，プレフィックスの保有者が，ある AS にそのプレフィックスの経路を起源として広告することを許可する表明であり，経由する AS の並びは含まない。経路全体の検証は起源検証の対象外で，BGPsec が目指す機能である。
ROA はリポジトリで公開される署名付きオブジェクトで，検証者が取得して検証した結果をルータが経路の判定に使う。署名はプレフィックスと起源 AS の対応に対するもので，UPDATE の内容は保護しない。BGP セッションの保護には TCP-AO などを用いる。
192.0.2.0/25 は ROA の 192.0.2.0/24 の範囲に含まれるので起源検証の対象となり，最大長の値にかかわらず，起源 AS が 64500 ではないので Invalid と判定されて破棄される。最長一致で優先される，より長いプレフィックスによる詐称も防げる。
起源検証は，AS_PATH から得た起源 AS が ROA で許可されているかを確かめるだけで，経路全体は検証しない。RFC 6811 は，攻撃者は偽の経路に正当な起源 AS を付け加えるだけでこの保護を回避できるとしている。
照合の根拠（7 件）
- エ（正解）: 偽の経路の末尾に正当な起源 AS を付けるだけで起源検証は回避される
the attacker need only prepend the "valid" source AS to a forged BGP route announcement in order to defeat the protection provided by this system.
RFC 6811 · Section 6（新しいタブで開きます） - エ（正解）・ウ: ROA の範囲に含まれ（Covered），起源 AS が一致しない（Matched でない）経路は Invalid。他の AS が起源の 192.0.2.0/24 も 192.0.2.0/25 も Invalid になる
Invalid: At least one VRP Covers the Route Prefix, but no VRP Matches it.
RFC 6811 · Section 2（新しいタブで開きます） - ウ: より長い 192.0.2.0/25 も 192.0.2.0/24 の ROA に Covered される。Matched には起源 AS の一致が必要なので，最大長の値にかかわらず Invalid
(That is, the Route prefix is either identical to the VRP prefix or more specific than the VRP prefix.)
RFC 6811 · Section 2（新しいタブで開きます） - ア・イ: ROA の内容は AS 番号とプレフィックス（と最大長）だけで，経由する AS の並びや UPDATE の内容は含まない
At a high level, the ROA's content contains (1) an AS number; (2) a list of IP address prefixes; and, optionally, (3) for each prefix, the maximum length of more specific (longer) prefixes that the AS is also authorized to advertise.
RFC 6480 · Section 3.2（新しいタブで開きます） - イ: ROA は検証者がローカルに取得して署名を検証し，その結果を経路の判定に使う
In order to benefit from the RPKI system, it is envisioned that relying parties at either the AS or organization level obtain a local copy of the signed object collection, verify the signatures, and process them.
RFC 6811 · Section 1（新しいタブで開きます） - イ: BGP セッションの保護は TCP-AO などで行う
It has been obsoleted by the TCP Authentication Option (TCP-AO; RFC 5925 [4]), which offers stronger protection.
RFC 7454 · Section 5.1（新しいタブで開きます） - ア: 経路全体の検証は BGPsec が目指す機能で，起源検証の対象外
Path validation provided by BGPsec [29] seeks to make sure that no one announces fake/wrong BGP paths that would attract traffic for a given destination;
RFC 7454 · Section 6.1.2.2.2（新しいタブで開きます）
RFC 6480 Section 3.1 は ROA を BGP UPDATE で配布する可能性にも触れているため，イの解説は「UPDATE に付加されるものではない」から「署名はプレフィックスと起源 AS の対応に対するもので UPDATE の内容は保護しない」に改めた。ウは起源 AS の不一致だけで Invalid になるので，ROA の最大長の条件によらず誤り。