A-ARP（Authenticated Address Resolution Protocol）は、ローカルエリアネットワーク（LAN）におけるIPアドレスからMACアドレスへの解決プロセスをセキュアに行うために設計された、比較的新しいネットワークプロトコルである。2023年にRFC 9942として標準化された。
従来のARP（RFC 826）が抱えていた深刻なセキュリティ脆弱性、特にARPスプーフィング（なりすまし）攻撃への耐性の欠如に対処することを主な目的としている。
- 概要
A-ARPは、イーサネットなどのローカルネットワーク環境において、通信相手のIPアドレスに対応する物理的なMACアドレスを問い合わせる「アドレス解決」の仕組みである。
最大の特徴は、この解決プロセスに暗号技術に基づく認証を導入した点にある。従来のARPは「ネットワーク内の全員を信頼する」という前提で設計されていたため、悪意のある第三者が「自分こそがルーター（ゲートウェイ）だ」と偽の応答をブロードキャストすることで、通信を盗聴・改ざんする「中間者攻撃（MITM）」が容易であった。
A-ARPは、ネットワーク内に「Resolution Authority (RA)」と呼ばれる信頼できる認証局を設置し、すべてのアドレス解決応答がこのRAによって暗号署名されることを強制する。これにより、クライアントは受信した応答が正当なものであるかを検証でき、なりすましを原理的に防止する。
- 登場の背景
従来のARPとその脆弱性
1982年に標準化されたARP（RFC 826）は、そのシンプルさと効率性から、40年近くにわたりTCP/IPネットワークの根幹を支えてきた。ARPは、特定のIPアドレスを持つ機器のMACアドレスを知るために、ネットワーク全体（ブロードキャストドメイン）に対して「このIPアドレスの持ち主は誰か？」という問い合わせ（ARPリクエスト）をブロードキャストする。そして、該当する機器だけが「それは私だ」と自身のMACアドレスを記載した応答（ARPリプライ）を返す。
1982年に標準化されたARP（RFC 826）は、そのシンプルさと効率性から、40年近くにわたりTCP/IPネットワークの根幹を支えてきた。ARPは、特定のIPアドレスを持つ機器のMACアドレスを知るために、ネットワーク全体（ブロードキャストドメイン）に対して「このIPアドレスの持ち主は誰か？」という問い合わせ（ARPリクエスト）をブロードキャストする。そして、該当する機器だけが「それは私だ」と自身のMACアドレスを記載した応答（ARPリプライ）を返す。
この設計は、LANに接続されたすべての機器が協調的であるという信頼モデルに基づいている。しかし、ARPリプライには送信元を認証する仕組みが一切存在しない。そのため、攻撃者が特定のIPアドレス（例えばルーター）になりすまし、偽のARPリプライをネットワークに流す「ARPスプーフィング」が容易に行える。被害者のPCは、攻撃者をルーターだと信じ込み、すべての通信を攻撃者経由で送信してしまう。これが中間者攻撃である。
IoTの普及とセキュリティ需要の急増
2010年代後半、Wi-Fiやイーサネットに接続されるデバイスはPCやスマートフォンに限られなくなった。スマートスピーカー、監視カメラ、スマート家電といった**IoT（モノのインターネット）**機器が爆発的に普及した。
2010年代後半、Wi-Fiやイーサネットに接続されるデバイスはPCやスマートフォンに限られなくなった。スマートスピーカー、監視カメラ、スマート家電といった**IoT（モノのインターネット）**機器が爆発的に普及した。
これらのIoT機器の多くは、セキュリティ対策が不十分なまま出荷されるケースが少なくない。また、一度設置されるとファームウェアの更新が長期間行われないことも多い。攻撃者にとって、これらセキュリティの甘いIoT機器は、ネットワーク侵入の格好の足がかりとなった。
WPA3やIEEE 802.1Xといった技術がWi-Fiやポートへの「接続」を認証する一方で、一度LANへの接続を許可された機器が、LAN内部で「なりすまし」を行うこと（すなわちARPスプーフィング）を防ぐ標準的な仕組みは存在しなかった。この内部脅威（East-Westトラフィック）のセキュリティ問題が、企業ネットワークやスマートホーム環境において深刻なリスクとして認識され始めた。
標準化への道
この問題に対し、ネットワークベンダー各社は独自にARPスプーフィングを検出・防止する機能（ダイナミックARPインスペクションなど）をスイッチに実装してきたが、これらは特定ベンダーの機器に依存するものであり、相互運用性も限定的だった。
この問題に対し、ネットワークベンダー各社は独自にARPスプーフィングを検出・防止する機能（ダイナミックARPインスペクションなど）をスイッチに実装してきたが、これらは特定ベンダーの機器に依存するものであり、相互運用性も限定的だった。
2019年、主要なネットワーク機器ベンダー、OS開発企業、およびセキュリティ研究機関が参加する非営利コンソーシアム「Network Infrastructure Security Forum (NISF)」が設立された。NISF内の「Layer 2 Security Working Group (L2S-WG)」は、既存のARPに代わる、セキュアで相互運用可能な新しいアドレス解決プロトコルの策定に着手した。
草案の策定は、スイスのセキュリティ企業Securitas AGのエンジニアであったエリアス・シュタイナー氏が議長を務め、日本の仙台先端技術大学院大学（SAIT）の影山純一教授の研究室が2020年に発表した「Signed Resolution（SR）モデル」が基礎的なアーキテクチャとして採用された。
数年間の議論と実証実験を経て、2023年10月、「Authenticated Address Resolution Protocol (A-ARP)」と名付けられた仕様が、IETFによってRFC 9942として正式に勧告された。
- 技術的特徴
A-ARPの根幹をなすのは、従来の「ブロードキャストと信頼」モデルから「ユニキャストと検証」モデルへの移行である。
Resolution Authority (RA)
A-ARPは、「Resolution Authority (RA)」と呼ばれる論理的なコンポーネントをネットワーク内に配置することを前提とする。RAは、そのネットワークセグメントにおけるすべてのアドレス解決要求を一元的に処理し、認証する役割を担う。
A-ARPは、「Resolution Authority (RA)」と呼ばれる論理的なコンポーネントをネットワーク内に配置することを前提とする。RAは、そのネットワークセグメントにおけるすべてのアドレス解決要求を一元的に処理し、認証する役割を担う。
RAは通常、L3スイッチ、エンタープライズ向けルーター、または専用のネットワークコントローラー（SDNコントローラーなど）上で動作するサービスとして実装される。RAは、ネットワークに参加するすべての正規のデバイスのIPアドレスとMACアドレスの対応表（バインディング・データベース）を安全な形で維持管理する。
暗号署名による応答
A-ARPの核心的な機能は、RAによる暗号署名である。RAは自身の秘密鍵を保持しており、すべてのアドレス解決応答（A-ARPリプライ）に、ECDSA-P256などの軽量な楕円曲線暗号アルゴリズムを用いてデジタル署名を付与する。
A-ARPの核心的な機能は、RAによる暗号署名である。RAは自身の秘密鍵を保持しており、すべてのアドレス解決応答（A-ARPリプライ）に、ECDSA-P256などの軽量な楕円曲線暗号アルゴリズムを用いてデジタル署名を付与する。
クライアント（PCやサーバー）は、ネットワーク参加時にRAの公開鍵を安全な方法（通常は802.1X認証プロセスやDHCPオプションを通じて）で取得する。クライアントは受信したA-ARPリプライの署名をRAの公開鍵で検証し、署名が正当であればその応答を信頼し、ARPキャッシュに登録する。
ブロードキャストの排除
従来のARPが用いるブロードキャストは、ネットワーク全体に負荷をかける。特に高密度な無線LAN環境や大規模なVLANでは、ブロードキャストストームがパフォーマンス低下の要因となる。
従来のARPが用いるブロードキャストは、ネットワーク全体に負荷をかける。特に高密度な無線LAN環境や大規模なVLANでは、ブロードキャストストームがパフォーマンス低下の要因となる。
A-ARPでは、アドレス解決の要求（A-ARPクエリ）はブロードキャストではなく、RAの既知のIPアドレス（またはMACアドレス）宛のユニキャスト通信として送信される。これにより、不要なブロードキャストトラフィックがネットワークから排除され、ネットワーク全体の効率が向上する。
- A-ARPの動作原理
A-ARP環境下でのクライアントの動作は、以下のステップで構成される。
オンボーディングとRA登録: デバイス（クライアント）がネットワークに接続する。まず、IEEE 802.1XやWPA3-Enterpriseなどを用いて、ネットワークへの参加自体が認証される。認証が成功すると、認証サーバー（RADIUSなど）はRAに対し、そのクライアントのIPアドレス（DHCPで割り当てられたもの）とMACアドレスを安全なバインディングとして登録する。RAはこの情報をデータベースに格納する。
A-ARPクエリ (問い合わせ): クライアントA (192.168.1.10) が、クライアントB (192.168.1.20) と通信しようとする。クライアントAのOSは、A-ARPクエリを作成し、RA（例: 192.168.1.1）宛にユニキャストで送信する。「192.168.1.20のMACアドレスを教えてください」という内容である。
RAによる応答と署名: RAはクエリを受信し、自身のデータベースを参照して 192.168.1.20 に対応するMACアドレス（例: 00:1A:2B:3C:4D:5E）を検索する。RAは「192.168.1.20 は 00:1A:2B:3C:4D:5E である」という情報、タイムスタンプ、およびその他の属性を含むA-ARPリプライを作成し、自身の秘密鍵で署名する。
クライアントによる検証: RAは署名済みのリプライを、クライアントAにユニキャストで返送する。クライアントAは、受信したリプライをRAの公開鍵で検証する。署名が正しく、かつタイムスタンプが有効期限内であれば、このIP-MACマッピングを正当なものとして受け入れ、自身のA-ARPキャッシュに保存する。
通信開始: クライアントAは、キャッシュされたMACアドレス（00:1A:2B:3C:4D:5E）を宛先として、クライアントBへの通信（イーサネットフレーム）を開始する。
もし攻撃者が偽のリプライを送信しても、RAの秘密鍵を持っていないため有効な署名を作成できない。クライアントAは署名検証に失敗し、その偽リプライを破棄するため、なりすましは成立しない。
- 普及と課題
RFC 9942の勧告を受け、2024年以降、主要なネットワーク機器ベンダー（シスコシステムズ、ジュニパーネットワークス、アリスタネットワークスなど）が、エンタープライズ向けスイッチやルーターのファームウェアアップデートでRA機能のサポートを開始した。
クライアント側では、MicrosoftがWindows 11の2025年後半のアップデート（コードネーム「Hudson Valley」）で、AppleがmacOS 15「Sequoia」で、それぞれA-ARPのクライアント機能をネイティブサポートした。Linuxカーネルにおいても、バージョン6.8以降でA-ARPがサポートされている。
しかし、A-ARPの普及にはいくつかの課題が存在する。
第一に、移行の複雑さである。A-ARPは従来のARPと直接的な後方互換性を持たない。ネットワークインフラ（スイッチ）とクライアント（OS）の双方がA-ARPに対応している必要がある。
第二に、混合モードの運用である。現実のネットワークでは、A-ARP対応の新しいデバイスと、A-ARP非対応のレガシーデバイス（旧型のプリンタやIoT機器など）が長期間混在することが予想される。このため、多くのネットワークでは「A-ARP移行モード」での運用が必要となる。このモードでは、RAが従来のARPリクエストに対しても代理で応答（ARPプロキシ）を行うが、レガシーデバイスが送信する従来のARP通信を完全に保護することはできない。
第三に、RAの可用性である。RAはネットワークのアドレス解決を一元的に担うため、RAがダウンするとネットワーク全体の通信が停止する可能性がある。実運用においては、RAを冗長化（VRRPや専用クラスタリング）し、高い可用性を確保する設計が必須となる。
