RPKI検証ツール

IPアドレスの現在アナウンスされている経路がRPKI(Resource Public Key Infrastructure)によって保護されているかを確認します — RIPEstat経由でRoute Origin Authorization(ROA)と照合してライブ検証を行うため、自前でROAデータベースを同期させる必要はありません。

上にIPアドレスを入力し、「検証」を押してください。

RPKIにより、ネットワーク運営者は自らのIPプレフィックスに対してどの自律システムが経路を発信する権限を持つかを暗号学的に証明できます。有効な認可と一致しない経路も引き続きアナウンスされる可能性があります — RPKI検証は受信側でオプトインです — しかし、無効な経路を拒否または優先度を下げるインターネットルーターの割合は増えており、これが確認する価値がある理由です。

ステータスの意味

有効
アナウンスされたASNとプレフィックスが公開されたRoute Origin Authorization（ROA）と一致します。
無効
このプレフィックスにROAは存在しますが、別のASNを認可しているか、アナウンスされたプレフィックスがROAの許可範囲より具体的です — 経路ハイジャックまたは設定ミスの可能性を示すシグナルです。
不明
このプレフィックスをカバーするROAが全く存在しません — インターネットの大部分がまだこの状態です。RIPEstat自体に到達できない場合も、推測ではなくこの値が返されます。

よくある質問

5つすべての地域インターネットレジストリ(RIPE、ARIN、APNIC、LACNIC、AFRINIC)の検証結果を集約するRIPEstatからライブで取得しています — このサイトが取り込んで同期がずれる可能性のある独自データベースではありません。
そのIPが現在パブリックにアナウンスしている経路を、ライブで解決した結果です — あなた自身の接続経路に固有の情報ではありません。
インターネット上の大半のネットワークは、まだRPKI ROAを公開していません。Unknownはエラー状態ではなく、正直なデフォルト値です。

このツールについて

RPKIでは、アドレスブロックの所有者が、どのネットワークがそのブロックを広告してよいかを示す署名付きの声明を公開できます。これは経路起点認証(ROA)と呼ばれます。このツールは、IPアドレスについて現在広告されている経路が有効なROAでカバーされているかどうかを確認します。

仕組み

検証はRIPEstatを通じてリアルタイムで行われるため、当社側にはROAのインポートパイプラインがなく、データが古くなる心配はありません。結果には、経路が有効(valid)、無効(invalid)、またはどのROAにもカバーされていないかが報告されます。

ご利用上の注意

カバーされていない経路が、必ずしもハイジャックされているとは限りません。多くのネットワークは、まだROAを公開していません。無効という結果は、起点またはプレフィックス長が所有者の承認した内容と一致しないことを意味し、調査する価値があります。

主な用途

ネットワーク運用者は、プロバイダーを変更した後に自社の広告を確認するために使い、セキュリティチームは、アドレスブロックが正しい主体によって広告されているかを評価する際の判断材料の1つとして使っています。

関連ツール: ASN検索 · IP whois検索 · IPレンジ一覧 · IPアドレス検索