Доля интернет-маршрутов с защитой RPKI выросла за год до 70,3%
Изображение: OpenAI
К сентябрю 2026 года доля интернет-маршрутов с защитой RPKI выросла за год с 54% до 70,3% — во многом благодаря Китаю, выяснили в IPinfo.
За тот же период доля IPv4-адресов Китая, охваченных защитой RPKI, выросла с 3,7% до 83%. При подсчёте по IPv4-адресам страна обеспечила почти 60% мирового прироста.
RPKI позволяет владельцу блока IP-адресов опубликовать подписанное разрешение ROA, указав, какие автономные системы могут объявлять этот блок через BGP. Операторы, которые используют RPKI, сверяют объявления с такими разрешениями и могут отклонять те, что не прошли проверку.
По данным публичных систем сбора маршрутов RIPE RIS и RouteViews, типичный префикс, прошедший проверку, виден с 596 точек наблюдения. Префикс, который не прошёл проверку, виден лишь с двух: сети отбрасывают такие объявления.
Но RPKI проверяет только право объявлять префикс, а не путь маршрута. Слишком широкое разрешение в ROA оставляет возможность перехвата: злоумышленник может объявить более узкий блок от имени разрешённой автономной системы и пройти проверку. Исследователи обнаружили такие условия у 16,2% защищённых RPKI маршрутов IPv4 и 20,9% маршрутов IPv6. Речь о случаях, когда ROA разрешает объявлять более узкие блоки адресов, но сама сеть не публикует для них маршруты.
Такой приём использовали 28 августа 2026 года против адресного блока Hetzner. Поддельный маршрут для 162.55.80.0/24 с указанием AS24940 прошёл проверку, поскольку ROA разрешала объявлять блоки такого размера. По сведениям Kentik, перехвата хватило для получения настоящего TLS-сертификата и доставки вредоносного обновления Virtualizor на гипервизоры. После инцидента Hetzner ужесточила разрешения для трёх префиксов, включая перехваченный, но у 49 из 63 её маршрутов, защищённых RPKI, такая возможность перехвата сохранилась.
Документ RFC 9319 называет лучшей практикой не задавать параметр maxLength: тогда ROA разрешает объявлять только указанный блок, без более узких префиксов внутри него. Также стоит проверять, что опубликованные ROA не исчезли. Потеря разрешения сама по себе не вызывает сбоя связи, поэтому утрата защиты может остаться незамеченной. Проверку пути маршрута добавляет механизм ASPA, в котором сеть публикует подписанный список своих вышестоящих провайдеров: за год число сетей с такими записями выросло в 25 раз, со 131 до 3272.
